转载说明:以下保留最西澳原报道全文。ABC节目、Fortify Labs测试及BYD声明均按原文归属呈现;假设性风险不表示已经发生大规模远程入侵,节目涉及的其他内容没有在本轮独立调查。
BYD将为旗下Shark 6推出一次远程安全更新,此前ABC节目《Four Corners》的一项调查引发了外界对这款车型网络安全问题的关注。
此次更新针对车辆的Android车载娱乐系统,主要目的是防止有人在获得车辆实体访问权限后,将自己的软件上传到车载系统中。
事件源于IT公司Fortify Labs与ABC合作的一项网络安全测试。Fortify Labs此前参与了ABC《Asleep at the Wheel》报道,并在节目播出后发布文章,进一步解释节目中没有呈现的测试过程。
Fortify Labs表示,ABC当时希望他们“模拟汽车制造商对联网车辆拥有的远程访问权限,并展示这种访问权限可能被如何滥用”。
不过,由于存在严重的伦理和安全风险,ABC节目并没有完整展示他们究竟是如何进入一辆BYD Shark 6的电子系统。Fortify Labs指出,如果公开具体的攻击方法,同样的技术可能被用于其他汽车制造商采用的Android车载系统。
ABC记者Angus Grigg此前在报道中写道,他们请网络安全专家对这辆BYD进行测试,“结果发现太容易了”。
报道还称,驾驶员坐在方向盘前时,并不意味着车辆完全由自己控制,黑客理论上也可能对部分车辆功能产生影响。
节目在专题报道中抨击了中国汽车
其中一个演示就是让车辆的车灯熄灭,使驾驶员突然陷入黑暗。
不过,Fortify Labs随后公布的技术细节显示,这个过程远没有节目中描述得那么简单,也不是拿着电脑远程操作一下就能完成。
为了关闭Shark 6的车灯,测试人员实际上需要直接接触车辆内部线路,并将自己的电脑接入车辆的线路系统。他们使用了一台小型Raspberry Pi电脑,通过模拟遭到入侵的电子控制单元(ECU),向车辆CAN总线发送相关指令。
Fortify Labs表示,正是通过这种方式,测试人员才成功关闭车灯并启动雨刷。
换句话说,此次测试需要对车辆进行实体操作,并不是黑客坐在远处就能直接控制车辆。
而且,即使测试人员已经将额外电脑接入车辆线路,并向车载系统加载外部软件,测试仍然无法访问车辆的部分关键功能。
ABC的报道确认,车辆的刹车系统和摄像头等“关键功能”仍然无法被控制,因为这些系统受到了较好的安全保护。
BYD也在声明中确认,测试人员对车灯和雨刷的控制,需要直接接触车辆内部的CAN总线,并通过接入车辆线路才能实现。
BYD表示,公司一直在持续加强车辆整个生命周期内的网络安全防护,包括漏洞分析、安全测试、风险评估以及软件更新。
Fortify Labs则表示,这次与ABC合作的测试,本质上是一场假设性演示,目的是让公众了解,随着汽车越来越智能、越来越依赖联网功能,车辆网络安全可能面临什么样的风险。
该公司进一步提出,如果未来犯罪团伙能够入侵某家汽车制造商的后台系统,理论上甚至可能向该品牌在澳大利亚道路上行驶的大量联网车辆同时推送OTA更新。
Fortify Labs警告称,一旦这种情况真的发生,后果可能非常严重。
也正因为如此,随着汽车越来越像一台联网的“电脑”,车辆网络安全问题也需要得到更多重视。


