研究人员发现潜在的致命汽车黑客没有快速修复

智能汽车制造商面临潜在的致命黑客，无法使用传统的软件安全更新来解决。

Hack被认为会影响所有智能汽车，并且可以使攻击者能够关闭安全功能，例如安全气囊，ABS制动器和动力转向或连接到其控制器区域网络（CAN）总线的车辆计算机化组件中的任何一个。

被发现和经过证明的黑客通过Thecollaboraborative Resechsofpolitecnico di Milano，Linklayer实验室和趋势科学的前瞻性威胁研究（FTR）团队有效。

黑客是“目前通过现代汽车安全技术无法侵染，完全解决它需要广泛的，趋势科学和设备的标准的彻底改变，”趋势科技的高级威胁研究员在一个中写道博客帖子。

“现实地，它将为这种脆弱性进行全面产生的车辆，这不仅仅是召回或OTA [在空中]升级，”他说。

与吉普Cherokeeby安全研究员的高度公布的Remote攻击是必要的Millerandchris Valasekin，Maggi表示，Maggi表示，这种新的黑客无法通过当前入侵检测和预防技术来检测。

他补充说，汽车制造商不能简单地升级汽车设备上运行的软件来修补攻击漏洞的漏洞。

除了没有快速修复的事实外，研究人员认为发现是显着且令人不安的，因为它是一种禁用包括主动安全系统的设备，这些攻击，这些攻击是以不可见的状态无形的方式连接到汽车的设备网络-Of-最艺术安全机制。

根据研究人员的说法，所有现代车辆都很可能是脆弱的，因为攻击是供应商中立的，但他们表示，特定供应商可能采取非标准对策，使攻击更难以执行。

鉴于这些事实，研究人员正在呼吁标准化机构，决策者和汽车制造商来修改控制未来车辆的网络物理系统的设计，因为他们发现的安全问题在于指定汽车设备的方式网络工作。

该攻击滥用了连接所有车载设备的网络协议 - 例如安全气囊 - 以及允许它们进行通信的系统。

他们说，如果更新的可以提议，采用和实施，则唯一能够消除风险的唯一方法，可能需要另外一代车辆。

自1993年ISO标准11898中的CAN议定书以来，它已被用作实际上当前在循环中的每一辆轻型车辆的标准，并被推动为美国联邦法院的唯一可接受的车辆。研究人员。

问题是，研究人员发现的攻击滥用了标准指定的遗传处理过程。如果设备发送过多的错误消息，则标准要求通过输入“总线关闭”状态来隔离潜在故障的设备，从罐中切断设备。

这使攻击者能够通过诱导足够的错误来触发此功能，使得可以将目标设备或系统孤立并呈现不可操作。

“这反过来又可以大大影响汽车的性能，以至于它变得危险甚至致命，特别是当像安全气囊系统或防姑娘制动系统一样停用时，”Maggi说。

“所有所需要的是一个专门制作的攻击装置，通过本地访问引入了汽车可以通过本地访问，并且在可以以这种方式进行以前的攻击来重用框架[消息]的重用[消息]所做的，”他说。

但是，还可以通过任何远程利用的漏洞启用攻击，该漏洞允许攻击者重新编程电子控制单元（ECU）的固件，例如信息娱乐系统。

然而，根据Maggi的说法，甚至应该认真对待当地攻击，因为 - 目前的运输趋势，如乘车共享，拼车和汽车租赁 - 许多人可以达到同一辆车的场景越来越普遍。“因此，必须发生车辆网络安全方面的范式转变，”他说。

研究人员认为，一项有效的系统将需要在监管和政策方面发生巨大变化，并将采用一代车辆采用。

建议包括在车辆中更改拓扑或分段A可以阻止目标错误泛洪影响特定系统，并调节诊断端口访问并创建一个特殊的键，以防止未经授权的设备被引入到罐中。

推荐还建议加密CAN Message ID字段，以防止攻击者识别要定位的消息并更容易检测到哪些消息。

为了回应研究结果，美国工业控制系统网络应急响应团队（ICS-Cert）发出了警报。

“唯一目前用于保护此漏洞的推荐是限制访问汽车上的输入端口（特别是OBD-II）。ICS-CERT目前与供应商和安全研究人员协调，以确定减轻效果，“警报说。

警报还表示ICS-Cert提供了Acontrol Systems推荐的实践PageOn Matics-Cert网站，并且有几种推荐的实践可用于阅读或下载，包括通过防御深度策略的工业控制系统网络安全。

“遵守任何疑似恶意活动的组织应遵循其既定的内部程序，并将其调查结果报告给ICS-Cert以跟踪和相关，以便与其他事件进行跟踪和相关性，”警报表示。

艺术达海特智能安全公司Synopsys的顾问表示，CAN总线技术的发展返回到20世纪80年代，预测万维网。

“那时没有人认为有人会故意试图破坏车载网上的车辆，”他说。

Danhert表示，此次攻击与先前看到的概念验证网络攻击有关车辆，因为它可以在没有进入车辆的情况下进行并且具有超出重启的能力。

“利用连接的电话和远程信息处理功能，攻击可能发生在没有直接物理访问的情况下 - 这不一定被隔离到单一的制造或车辆型号，”他说。