Global Sources
電子工程專輯
 
電子工程專輯 > 射頻/無線
 
 
射頻/無線  

調查顯示:汽車業者缺乏防範駭客能力

上網時間: 2015年10月26日     打印版  Bookmark and Share  字型大小:  

關鍵字:汽車  駭客  安全性  調查  軟體 

一份在2015年7月份所進行的汽車網路安全調查結果顯示,汽車產業仍缺乏保護連網汽車不受駭客入侵的能力──儘管該產業對主管機關、媒體與消費者信誓旦旦。

研究機構Ponemon Institute透過電訪、安全的網路線上以及面對面的訪問,取得了500位來自主要來自車廠與一線汽車零組件供應商的汽車軟體開發者、工程師與企業高層的意見,發表了一份題為「汽車網路安全:車廠們實際上是怎麼想的?」的報告;該報告發現,汽車開發者不相信他們所屬的企業有認真看待安全性問題,或是有督促他們開發更安全的軟體。

這份Ponemon調查的兩家贊助商之一,Security Innovation的產品管理與行銷總監Gene Carter在接受EE Times美國版訪問時表示,該調查最令人驚訝的結果是:「不到半數的受訪者未將安全性列為優先考量;但隨著各種有關公共網路安全的研究結果出爐,以及來自政府機關的壓力,我預期人人都會同意安全性考量的優先性。」

根據該報告,只有41%的開發者同意,他們所屬的車廠將安全性軟體列為優先考量,而有28%的受訪者不同意這點。

調查顯示,多數車廠未將安全性問題納入產品開發優先考量
調查顯示,多數車廠未將安全性問題納入產品開發優先考量
(來源:Ponemon Institute)

更糟的是,在那些受訪的開發者中,有69%認為要保障汽車應用程式的安全性是困難或非常困難的;此外他們之中有近一半認為汽車的架構需要有大幅改變,才能確保更高的安全性。該調查並顯示,至少有44%的受訪開發者認為駭客會主動將汽車列為攻擊標的。

Ponemon並詢問受訪者關於汽車廠商們在軟體開發上的實際做法,也就是安全性考量是否已經被納入軟體開發生命週期中,以及要提升安全性所面臨的障礙;調查結果顯示:「車廠與零組件供應商尚渴望打造安全汽車有,也缺乏所需技巧、工具與製程。」

這樣的結果聽起來不是好事,不過該調查也顯示,車廠之間對於安全性相關知識有基礎性的落差──也就是如何主動避開安全性故障。不過該報告也為各家車廠辯護,指出他們缺乏知識並不意味著他們一直停滯不前。

有63%的受訪者是在汽車開發期間執行自動化軟體掃描,有一半會在應用程式發表之後才執行掃描,有36%則執行滲透式測試(penetration test)。而更值得注意的是,該調查發現,只有四分之一的受訪者表示他們支援安全的編碼標準,或正在執行例如威脅模型(threat models)等高層次的評估。

汽車廠商的心態

汽車廠商缺乏經過特殊訓練的人員是顯而易見的,而更明顯的是,汽車廠商的行為表現還無法像是軟體廠商那樣。以下有個案例說明汽車廠商在軟體方面的心態:

Ponemon的調查發現,汽車開發者以及他們所屬的企業並沒有利用、甚至說沒有意願去學習IT世界過去十年來在網路安全方面取得的經驗;例如與所謂的「白帽駭客(white hat hacker)」共同合作,透過「抓漏賞金」之類的程序來發現錯誤。汽車開發者還未有這樣的意識。

該報告指出,令人驚訝地,有43%的受訪者認為白帽駭客應該要受到數位千禧年著作權法案(Digital Millennium Copyright Act,DMCA)的規範,也就是說如果他們以汽車應用程式碼來做實驗,就有被逮捕的可能;而有42%的受訪者認為白帽駭客不該受DMCA的規範,還有52%的受訪者認為那些白帽駭客不應該被鼓勵去測試汽車軟體。

汽車產業的辯護者可能會說,從汽車廠商開始注意到需要考量網路安全其實只有幾年的時間。遠端無線連結可能危及汽車的威脅,是2011年才出現在美國華盛頓大學(University of Washington)與美國加州大學聖地牙哥分校(University of California at San Diego)研究人員發表的論文中。

有一部分汽車產業的工程師將上述的開創性報告放在了心上,他們發現那是對即將來臨之連網汽車時代的一個早期警訊。但其他汽車產業的工程師則主張,若沒有實際進入到一輛車子裡,要「駭」進一輛車幾乎是不可能的;他們還指出,汽車駭客並沒有明確的「業務模式」,因此這也是他們不認為汽車駭客會成為普遍性問題的理由之一。

市場研究機構IHS的汽車產業分析師Egil Juliussen表示,在過去幾年,汽車業者通常自滿於自己的行動;他們自滿的理由是:「不可能發生(汽車駭客)那樣的事情;」以及:「那要花很多力氣但回報很少;」還有:「沒有實際已知的破壞行為。」

汽車產業的行為沒有改變;其中一個案例是今年稍早發表的「Markey報告」。在2014年,美國麻州的參議員Edward Markey寫信詢問20家汽車製造商有關於他們的車輛安全性與隱私權保障措施,而汽車廠商坦承他們的車輛幾乎100%配備某種無線連結功能,卻只有七家公司表示他們有委託第三方業者測試他們的車輛安全性,五家表示沒有,其他則忽略該問題。

而今年夏天,有數起著名的汽車駭客事件發生了,包括克萊斯勒(Chrysler)吉普車被發現的安全漏洞,導致該車廠召回1,400萬輛車;此外還有通用汽車(General Motors)的OnStar RemoteLink系統缺陷,駭客發現有個方法能遠端解鎖車門或啟動引擎。這些事件推翻了汽車廠商認為汽車駭客問題是「不可能發生」以及「危言聳聽」的觀點。

不過IHS分析師Juliussen表示,要成功「駭」進汽車,還是需要不少時間以及專業;但他也警告,好用的汽車駭客工具或是汽車駭客專家預期三到五年內就會出現。他也觀察到,汽車產業已經在投資網路安全解決方案;Ponemon的調查支持了以上觀點,發現汽車廠商已經開始注意到安全性,並沒有退縮或是忽略該問題。

但Juliussen指出,汽車廠商的動作稍嫌落後了些,可能得花費十年才能趕上IT世界的腳步。Ponemon則總結表示,關鍵在於汽車廠商開始使用經驗證以及測試的最佳(軟體開發)方法,提供他們的工程師在軟體開發週期所需的安全性工具與程序。

編譯:Judith Cheng

(參考原文: Survey: Cars Contain Few Barriers to Hackers,by Junko Yoshida)





投票數:   加入我的最愛
我來評論 - 調查顯示:汽車業者缺乏防範駭客能力
評論:  
*  您還能輸入[0]個字
*驗證碼:
 
論壇熱門主題 熱門下載
 •   將邁入40歲的你...存款多少了  •  深入電容觸控技術就從這個問題開始
 •  我有一個數位電源的專利...  •  磷酸鋰鐵電池一問
 •   關於設備商公司的工程師(廠商)薪資前景  •  計算諧振轉換器的同步整流MOSFET功耗損失
 •   Touch sensor & MEMS controller  •  針對智慧電表PLC通訊應用的線路驅動器
 •   下週 深圳 llC 2012 關於PCB免費工具的研討會  •  邏輯閘的應用


EE人生人氣排行
 
返回頁首