Allianz研究人员与汽车制造商在网络安全上使用

根据Allianz德国的首席信息安全官员，据Stephan Gerhager称，随着汽车的电子系统数量增加，他们已经变得更容易受到网络攻击的影响。

“我开始研究项目进入这些漏洞，因为作为保险公司，我们想了解车辆如何受到犯罪分子的保护，”他告诉欧洲身份和云大会2017慕尼黑。

由于2015年Charlie Millerandchris Valasek的高度公布的远程黑客灵感来自高度公布的远程黑客的研究项目，Allianz正在与汽车制造商合作，以改善车辆电子系统的安全性。

现代车辆通常具有100个或更多的电子控制单元（ECU），彼此相互作用，用于敏感系统，例如制动和其他安全特征。

但是这些系统很少有任何形式的身份管理，身份验证或加密，研究揭示。

“汽车制造商的挑战是将所有这些东西放在基层上方的一层上[这是针对速度优化]，但在这方面还有很多工作要做”Gerhager。

正如Jeep Chackee Hack所证明的那样，车辆娱乐系统是对网络罪犯的潜在方式，因为他们坐在控制器区域网络（CAN）总线上。

通过访问CAN总线，攻击者能够将命令发送到坐在CAN总线上的各种其他系统，这是汽车系统彼此通信的主要方式之一。

仅仅通过覆盖其中一个汽车的传感器或插入假传感器，Gerhager表示攻击者能够绕过安全系统来运行速度的刹车和转向系统。

“在CAN总线上的任何人都可以与公交车上的任何人交谈，因为没有身份验证机制来帮助确认任何命令或信号的来源，也意味着它很容易执行拒绝服务[DOS]通过阻止所有通信攻击这些总线系统。

Gerhager表示，对车辆的网络安全的另一个挑战是现在使用的一些软件运行到数十亿行代码中，这意味着必须有漏洞可以利用。

“但与流行的业务应用程序不同，没有常规和自动的软件安全更新，”他说。

Gerhager的研究人员能够使用开源WireShark Packet Analyzer软件构建一个廉价的电子设备来连接到汽车到“嗅探”内部命令。一旦捕获命令，就可以重播它们向汽车的各种系统发出命令。

Allianz与德国警方合作，调查了使用加入随时随地插入汽车的汽车盗窃团伙，将一些汽车放入“维修模式”，这使他们能够将汽车与新密钥配对。

研究人员还建议了一些汽车制造商从互联网上删除详细的维修指南，因为它们能够使用这些文件来违反汽车的内部通信系统。

Gerhager表示，通过蓝牙远程访问现代汽车的潜在路线，也是锁定和解锁车门的无线通信。

“攻击者可以堵塞信号，以欺骗车主思考他们锁定了车门或者在快速连续中重复信号序列时，只允许第一信号在后续的时被卡住并记录以供以后使用，”他说。

研究人员还能够捕获无线键信号，这使得它们不仅可以访问车辆，而且只要不需要物理键即可开始发动机并驱动。

Gerhager认为，要解决这些和其他常见的安全问题，所有现代汽车的基础设施都必须更新和更改。“但这需要数年，这就是为什么我们此刻真的有一个问题，”他说。

然而，他说，一些制造商如Tesla领先于他人，因为他们已经开发了自己的IT系统，为安全更新提供了一些规定，使用没有第三方软件的封闭系统，它们允许过空中软件更新。

在一个积极的纸币上，他说所有的大型车制造商都知道最常见的漏洞，并且已经开始从内部汽车功能分离用户函数的方式。