做好準(zhǔn)備，應(yīng)對(duì)網(wǎng)絡(luò)安全

2015年7月，FCA曾主動(dòng)針對(duì)搭配8.4吋觸摸屏的部分車型展開召回，包括2014-2015年款吉普大切諾基(Jeep Grand Cherokees)和切諾基SUV(如圖所示)。本次召回將與軟件升級(jí)同步進(jìn)行，保護(hù)互聯(lián)車輛免受遠(yuǎn)程攻擊的危害。

車輛在高速巡航時(shí)發(fā)出“車門打開”的警告，這肯定很讓人擔(dān)心。但如果車門根本沒有打開，那這就很有可能是網(wǎng)絡(luò)黑客在“作怪”。

研發(fā)總部位于以色列特拉維夫的車用安全軟件供應(yīng)商TowerSec主席Bruce Coventry表示，“一定看要是否符合常理。如果你車速70英里，卻看到車載計(jì)算機(jī)顯示車門已開啟，那這就不符合常理，肯定有問題。”

如果支持無線功能，車內(nèi)通過電子控制單元運(yùn)行的胎壓監(jiān)測(cè)、車載診斷、防盜等系統(tǒng)均有可能成為黑客入侵的切入點(diǎn)。

“作為車用安全軟件供應(yīng)商，我們已經(jīng)找到了這些切入點(diǎn)。”Coventry表示，“從安全角度而言，汽車系統(tǒng)非常脆弱，很難與其他強(qiáng)大的系統(tǒng)對(duì)抗，聰明的黑客就會(huì)選擇最薄弱的環(huán)節(jié)入手，比如加密、算法和接口的位置。”

Coventry等專家均以專家組成員的身份參與了汽車工業(yè)行動(dòng)集團(tuán)(Automotive Industry Action Group，下簡(jiǎn)稱AIAG)主辦的汽車分析師協(xié)會(huì)(Society of Automotive Analysts)討論。

截止到目前，最臭名昭著的汽車網(wǎng)絡(luò)攻擊案“受害者”為一輛被兩名黑客無線訪問的吉普切諾基。雖然車內(nèi)仍有司機(jī)，但由于黑客遠(yuǎn)程切斷了制動(dòng)，這輛SUV還是“不由自主地”滑向路邊的草溝。

本事件促使FCA主動(dòng)召回140萬輛搭配了特定音響的汽車，進(jìn)行軟件升級(jí)，確保車輛安全。專家組仲裁員John McElroy表示，“吉普事件好的一面是FCA立即行動(dòng)制止了危害的擴(kuò)散，也避免了巨大的支出。假設(shè)修一輛車要100美元，那FCA本來要花140萬美元。”

美國(guó)聯(lián)邦調(diào)查局(FBI)底特律地區(qū)網(wǎng)絡(luò)小組監(jiān)管員Tom Winterhalter在加入FBI前曾在惠普擔(dān)任ASIC工程師,設(shè)計(jì)計(jì)算機(jī)芯片。他表示，“如果我要注入另一種數(shù)據(jù)包?如果我不這樣連接呢?又如果我采用其他電壓或電流呢?這會(huì)帶來什么影響?”

Attorney James Giszczak表示，汽車公司必須建立全面計(jì)劃，保護(hù)虛擬信息，這對(duì)公司業(yè)務(wù)非常重要。

“每個(gè)擁有信息的機(jī)構(gòu)都是黑客攻擊的目標(biāo)，無論是保密信息、專利信息，甚至僅是公司職員信息。”Giszczak表示，“需要我們保護(hù)的信息有很多，比如員工的數(shù)據(jù)、客戶的數(shù)據(jù)，還有商業(yè)機(jī)密信息。我們是否已經(jīng)采取合理措施，保護(hù)這些數(shù)據(jù)呢?”供應(yīng)鏈上的每位員工都應(yīng)經(jīng)過培訓(xùn)，學(xué)習(xí)如何處理文件和數(shù)據(jù)，這些包括存儲(chǔ)在云端的信息。

互聯(lián)汽車培訓(xùn)與認(rèn)證公司Mobile Comply的公司CEO Elaina Farnsworth表示，保護(hù)數(shù)據(jù)安全并不全是信息技術(shù)專家的事。

他表示，“公司能做的事是僅傳達(dá)必要的信息，并培訓(xùn)員工和經(jīng)銷商認(rèn)識(shí)風(fēng)險(xiǎn)的存在，以及如何減少風(fēng)險(xiǎn)。”

Mobile Comply、互聯(lián)汽車貿(mào)易協(xié)會(huì)和國(guó)際汽車工程師協(xié)會(huì)將聯(lián)手推出互聯(lián)汽車專業(yè)認(rèn)證服務(wù)，包括行業(yè)建議做法、通信協(xié)議和安全問題。

培訓(xùn)與認(rèn)證的結(jié)合可以在員工中普及相關(guān)常識(shí)。“最終，公司上下都應(yīng)對(duì)信息安全有基本認(rèn)識(shí)，并知曉應(yīng)對(duì)威脅的建議作法。”她說，“如果有危害發(fā)生，我們應(yīng)該了解如何應(yīng)對(duì)危害。”