前段時間，360董事長周鴻禕在一次大會演講時給無人駕駛潑了冷水，也因此引起了眾人的熱議。
周鴻禕說：“無論是特斯拉還是別的智能汽車聯網後都可以用手機來控制，那就一定可以被劫持。你想象有一天，你吃著火鍋，唱著歌，坐在一輛車上，過著未來的美好生活，然後這個車就被黑客劫持了，美好生活也就結束了。”
周鴻禕的此番舉例並不僅是出現在未來自動駕駛的行業問題中。 實際上，信息安全事件已經在智能網聯汽車領域發生多起。
黑客發現車載嵌入式操作系統或車載軟硬件存在漏洞後，通過複雜技術手段，綜合利用多個不同系統漏洞，實施完整攻擊鏈，達到對相應車輛的攻擊。輕則可以盜走車輛，重則可以部分控制行駛狀態下的汽車。這樣一來，汽車信息遭到洩露的危害不僅是針對個人，還將延伸到整個社會。
據發改委預測，預計2020年，中國智能網聯汽車新車佔比將達到50%。屆時，每年將有上千萬輛智能汽車投放市場，中國也將進而成為智能網聯汽車第一大國。面對如此龐大的智能網聯汽車市場，智能汽車聯網安全成為最值得關注的問題。
汽車安全漏洞事件頻出
從歷史案例來看，目前已發生的黑客攻擊汽車事件主要包括三種：一種是通過車輛本地端口，例如USB和OBD-Ⅱ進行物理侵入，植入後臺代碼；一種是通過一些諸如藍牙和NFC等進行對車輛防盜系統的破解；還有一種更加高級的非物理接觸破解，主要利用WiFi和其他無線網絡數據通訊手段實施對車輛的破解和控制。
2013年7月，Twitter公司軟件安全工程師Charlie Miller和IOActive安全公司智能安全總監Chris Valasek表示，在獲得美國政府許可的情況下，對網絡入侵攻擊汽車進行了幾個月的研究，並對豐田普銳斯和福特翼虎實現了破解。
他們可以迫使普銳斯在80英里/時的速度下剎車、猛打方向盤、讓發動機加速；也能使得翼虎在超低速行駛時剎車失效。不過他們進行汽車攻擊的時需要把電腦連接到車上，並不能實現遠程攻擊。
去年，斯巴魯汽車遙控鑰匙系統的漏洞由一位荷蘭的電子工業設計師Tom Wimmenhove在多款斯巴魯汽車的鑰匙系統中發現的一個嚴重的安全設計缺陷。因為用戶每次使用智能鑰匙開啟車門時都會生成一個含有滾動代碼的數據包，攻擊者在信號範圍內能通過獲取數據包，推斷出該車輛鑰匙系統下一次生成的滾動代碼，使用該預測碼上鎖或解鎖車輛。
這個漏洞的利用難度並不高，攻擊者只需要製作一個能夠收集汽車鑰匙系統無線電信號的簡單設備，計算出下一個滾動代碼，在目標斯巴魯汽車的車主離開之後，攻擊者將類似的無線電信號發送回目標汽車就能夠劫持該車輛。
相同的問題也發生過在特斯拉和馬自達上。
特斯拉曾多次被曝出嚴重的信息安全漏洞。研究者們利用汽車網絡瀏覽器中存在的一系列漏洞。他們甚至還能夠通過無線局域網（Wi-Fi）和蜂窩連接（移動數據連接）來遠程控制汽車。
其破解的原理在於Tesla Model S 在車機系統存在瀏覽器安全、Linux 系統內核安全、固件更新機制不合理和網關調試後門等安全問題。攻擊者綜合利用後，可讓遠程控制形成一條通路，從而實現破解。由於是基於瀏覽器網頁漏洞的攻擊，因此在不接觸車輛的情況下，攻擊者也可以遠程攻擊，控制車上天窗、車門以及部分行駛狀態下的制動等。
而馬自達車機系統漏洞最早被Mazda 3 Revolution論壇用戶發現，用戶在馬自達車機系統而中插入優盤，可複製系統信息腳本並進行篡改，以此在系統固件之上執行惡意代碼，造成儀表顯示故障或失靈。
OBD-II端口和V2V通信易成為安全漏洞的入口
由於消費者不常使用OBD-II端口，更多的現代車輛開始配備USB端口和藍牙等技術，這導致與汽車配件進行通信變得非常簡單，因而增加了惡意軟件在不經意間入侵車輛的風險。
此外，黑客還可能從外部攻擊自動駕駛汽車。V2V通信（指機動車輛間基於無線的數據傳輸）正在逐漸成為汽車廠商為現代車輛配備的一項標準功能，它能夠在道路上實現車輛彼此間的通信，可用於分享交通流量、前方事故或惡劣天氣等數據。
從攻擊者的角度來看，只要連接外部網絡，就意味著打開了一個攻擊入口；通用系統被廣泛採用，則意味著攻擊難度下降；繼而，服務多樣化將使汽車擁有更多信息。如果盜取有價值的信息，黑客和背後的黑色產業就會獲得收益。
業界應主要考慮從三大層面來避免安全隱患
雖然目前並沒有因為破解漏洞而發生人命關天的事故，然而對於車企來說，這些都猶如一顆定時炸彈一樣，對用戶以及公司的品牌構成了威脅。因此，針對於車聯網安全問題，在技術、車企的相關管理、行業法律以及標準等方方面面，都在亟待進一步的完善。
首先，從技術層面來說，對應車聯網相關廠商及研究機構能夠研究出更加完善的安全防護技術，並增加汽車防火牆的應用，從物理上隔斷網絡入侵，同時對車主的各種隱私信息進行身份鑑別等完善加密機制，從而大大降低這方面的安全隱患。
其次，車企的管理層面，要組織好相關的信息安全團隊建設，建立信息安全相應機制和控制好上線產品驗收問題。
因為目前大多數的汽車廠商信息安全團隊和組織都是分離的。由平臺部門和電子電器部門組成，對於公司內部來講是跨組織跨架構的，而要做好信息安全工作，首先需要成立實體或者虛擬的團隊，將後臺和前端放到一起，培養專職人員總體牽頭工作。這需要車廠自己解決，不能依賴第三方服務商或供應商。
另外，車企也要控制上線前產品安全的驗收。從以往破解案例可以看出，目前汽車領域的安全手段是較為滯後的，國際或者國內沒有相關的安全標準可以指導汽車廠家去做正向開發，廠家在汽車聯網、智能化的產品開發設計之初就沒有考慮到信息安全問題。現在大多廠家的做法是和第三方合作完成上線前產品安全驗收。
還有業內對於相關法律的完善、以及對相關行業標準的建立也需進一步完善。
目前，全球的汽車信息安全標準制定工作都在積極進行中。如國際ISO/SAE在進行21434（道路車輛-信息安全工程）標準的制定，該標準主要從風險評估管理、產品開發、運行/維護、流程審核等四個方面來保障汽車信息安全工程工作的開展。傳統汽車安全緯度正在不斷更新演進，從主被動安全升級到功能安全，在完善到“功能安全+信息安全”已然成為必然趨勢。
隨著車聯網技術的不斷髮展，當車輛的遠程控制、輔助駕駛等技術取得突破後，車聯網必將加速汽車共享業務的步伐。車聯網是無人駕駛汽車的基礎，而基於無人駕駛的新能源汽車租賃服務將是汽車共享業務發展的重要方向。
如今百餘年曆史的汽車產業，正面臨和經歷被“新四化”（電動化、智能化、網絡化、共享化）的變革與顛覆浪潮中，而在我們每天高談闊論智能網聯化的汽車產業未來時，是不是少了一些對汽車產業“新安全”重視的責任心呢？
畢竟，這不是一個廠家的責任，這是需要全球汽車產業參與者們共同面對的問題。
閱讀更多 運營的小事 的文章
