【我們為什麼挑選這篇文章】
在車聯網的領域中，特斯拉一直以來都算是領先業界的公司，畢竟其他公司都是嘗試從傳統汽車走向智慧汽車，但是特斯拉則是從一開始就是電動智慧車起家。在智慧車發展的過程中，安全性問題一直受到資安界的質疑，而特斯拉也努力的在這部份發展。
近日，中國騰訊的科恩實驗室人員再次(繼去年)成功的突破了特斯拉的安全系統，使汽車可以在非物理接觸的狀況下遭到入侵，然而，實驗室表示，特斯拉已經是業界中少數非常積極應對相關安全，也擁有業界領先安全技術的車聯網公司了。那麼，問題來了，在眾多汽車廠商都嚷嚷著要將自家產品改造成智慧汽車，跟進車聯網的狀況下，連業界龍頭特斯拉都還有機會被攻破，這些傳統車企所生產的車輛不就漏洞百出？莫非我們在《玩命關頭8》當中看到的僵屍車攻擊場景即將化為現實？
（責任編輯：林厚勳）
去年攻陷特斯拉汽車讓騰訊科恩實驗室在汽車產業界一戰成名，在今天的世界駭客大會上，科恩實驗室宣佈再次實現了以「遠端無物理接觸」的方式入侵特斯拉Model X，獲得了最高權限（full access）。就汽車資訊安全問題，騰訊汽車聯合科恩實驗室發起了汽車資訊安全沙龍，36氪受邀參加。我們一起來看一下，資訊安全專業人士眼中的汽車資訊安全問題。
先來說說這次科恩實驗室發現的新漏洞，與去年類似，從最基本的使用手機遠端解鎖任意車門，到遠端介入並控制剎車系統，再到通過控制車輛的多個ECU（電子控制單元）模組，進而控制整車的車電網路。
根據科恩實驗室的說法，本次研究實現了和去年一樣的完整攻擊效果，最終入侵特斯拉車電網絡實現任意遠端操控。除此之外，2016年9月，特斯拉為了提升車輛安全性增加了「代碼簽名」安全機制，對所有FOTA升級固件進行強制完整性校驗，本次研究突破了該「代碼簽名」機制。以下是科恩實驗室演示影片——
與去年的做法類似，2017年6月底，媒體尚未曝光之前，科恩實驗室已經按照「負責任的漏洞披露」流程，將本輪研究中發現的所有安全漏洞技術細節提交給特斯拉美國產品安全團隊。特斯拉產品安全團隊快速確認了漏洞有效性和危害，並於7月初進行了快速修復並通過FOTA推送了升級系統固件。根據特斯拉安全團隊的報告，目前全球範圍內絕大部分特斯拉車輛已經通過FOTA成功升級系統韌體，確保了特斯拉用戶的行車安全。
特斯拉車主可以檢查一下系統版本，如果系統低於8.1 (17.26.0)版本，請盡快升級，確保安全漏洞得到及時修復，避免行車安全問題。
全球電商大趨勢下，你屬於哪一種競爭類型？
我們好奇的是，特斯拉在資訊安全防禦方面做到了什麼水平？為了應對汽車網聯化這個趨勢，傳統汽車製造商又需要做哪些工作？
以下是科恩實驗室總監呂一平的觀點：
我們必須給特斯拉一個比較客觀的評價，雖然我們遠端攻破了特斯拉，但是根據我們對特斯拉的研究，特斯拉目前在車企裡面，在資訊安全技術、包括人力上的投入可能是全球汽車行業裡面最多的一個。他們目前已經在汽車上實現了一些安全防護的技術，也是全球領先的。
從國內OEM的角度來看，我們現在看到一個最大的問題是什麼，他們在資訊安全知識、能力和經驗方面的積累都很弱。都比較少，我們其實做了很多的用戶教育工作，和行業教育工作，我們要告訴他們，在去年我們破解特斯拉之前，這個教育工作很難做，大家都覺得說問題會發生嗎？你們說的威脅能實現嗎？但是，去年我們做了特斯拉的研究以後，我們展示的影片可以做遠端剎車，遠端控制汽車的時候大家才意識到原來這件事情是可以做到的。
所以說，我覺得這個用戶教育工作已經花了很多力氣了。而且你會看到我們在跟很多車企交流的時候，大家對資訊安全的理解，到底要怎麼去投資在資訊安全領域，去加強我的能力，去建立我的資訊安全體系——特斯拉這方面的經驗和知識都明顯不足，所以說，我覺得在資訊安全能力補齊這個方面還是要做特別多的工作。
第二，傳統車企對供應商體系的依賴度非常高。有很多資訊安全的問題其實都涉及到汽車的供應商體系的模組。對於車企來講，怎麼更好管理他的供應商，能夠提供更安全的、更可靠的模組，這個是國內OEM廠商需要去關注和做好的點。
第三，多、透明。大家講汽車（資訊安全）研究很貴，那是不是能夠更開放一點，引入專業的資訊安全團隊和公司來做合作，能夠提供目標車輛讓大家做分析和研究，然後幫助發現更多安全問題，這個也希望是國內車廠做得更好的，能夠更開放一點。
一個非常明顯的差異是，在特斯拉深度採用OTA空中更新遠端推送功能及安全更新幾年後，罕有傳統車企跟進。背後的原因有幾點，一是上文中說的那樣，傳統車企在軟件團隊建設方面投入不大，二是可OTA、可云端互聯的車型會在遭到攻擊時是否會像計算機病毒一樣迅速傳播？如何有效的管控？這些不確定性讓傳統車企在車聯網和OTA技術上態度非常保守。
但真正曝出安全問題時，被動的反而是這些傳統車企。特斯拉在去年曝出重大漏洞後，在10天內修復了漏洞並通過OTA將安全補丁推送給了全球各地的特斯拉車端。而傳奇駭客Charlie Miller曝出2014款Jeep車型的漏洞後，菲亞特克萊斯勒集團最終耗費數億美元面向全球召回140萬輛汽車進行返廠升級。
通用汽車CEO Mary Barra最近在財報會議上表示，通用全新的電氣架構和支持OTA的車載影音娛樂系統部署節點在「2020年之前」，並稱通用此舉「抓住了機遇」。
這個表態大致支撐了呂一平的觀點，他認為傳統車企「具備豐富網聯功能的車型」上市最早也在2018年末甚至2019年，智慧網聯汽車的問題在2020年才會左右集中爆發。因此短期內並不會發生像《玩命關頭8》中遠端控制大規模車隊的那種災難。此外，針對汽車資訊安全的低下黑色產業鏈也尚未發展成型。
但這並不意味著車企可以懈怠，汽車資訊安全與計算機資訊安全的一個明顯區別是，除了財產損失威脅，被攻陷的汽車還會帶來生命安全威脅。因此，在資訊安全領域未雨綢繆顯得尤為必要。
好的一面是，國內創業公司在這一點上做得很好，例如滴滴一直在強調未來智能汽車安全的重要性，成立滴滴硅谷研究院的同時將上文中傳奇駭客Charlie Miller招致麾下，出任滴滴自動駕駛安全負責人；蔚來汽車直接把自動駕駛、車聯網團隊設在了美國加州；威馬汽車CEO沈暉也在朋友圈表示網聯汽車的安全問題非常重要。
特斯拉CEO Elon Musk說系統和網絡安全問題已經成為他關注問題的最高優先級，隨著技術的發展，這一問題的重要性還將繼續上升。他警告傳統車企，網絡安全遲早會成為大問題。
伴隨著汽車產業智能化變革，車企們還有大量的資訊安全領域的工作要做。
迎戰電商市場，最適合你的決勝經營戰技是什麼，立即測驗找出你的經營盲點！
（本文經合作夥伴 36 氪 授權轉載，並同意 TechOrange 編寫導讀與修訂標題，原文標題為 〈 科恩實驗室入侵特斯拉Model X背後，關注汽車信息安全問題刻不容緩〉。）
延伸閱讀
儀表板就可看 Line！光陽工業首發車聯網系統「Noodoe」，用它打造全球騎士社群
【5 分鐘深度閱讀】車聯網來襲你準備好了沒？特斯拉無人車只是開胃菜
換做汽車晶片要找專家！傳聯發科併 NVIDIA 牽手挺進車聯網
