為什麼車企紛紛招聘計算機安全專家

來自 CloudFlare 公司的網路安全專家 Marc Rogers（左）和來自 Lookout 的 Kevin Mahaffey 能夠通過直接連接在汽車上的筆記本電腦控制特斯拉汽車進行許多操作。圖為他們在 CloudFlare 的大廳里的的熔岩燈前的合影，這些熔岩燈被用來生成密匙。（紐約時報 Credit ，Christie Hemm Klok 拍攝）

大約在七年前，伊朗的幾位頂級核科學家經歷過一系列形式類似的暗殺：兇手的摩托車接近他們乘坐的汽車，把磁性炸彈吸附在汽車上，然後逃離並引爆炸彈。

安全專家們警告人們，再過 7 年，兇手們不再需要摩托車或磁性炸彈。他們所需要的只是一台筆記本電腦和發送給無人駕駛汽車的一段代碼——讓汽車墜橋、被貨車撞扁或者在高速公路上突然拋錨。

汽車製造商眼中的無人駕駛汽車。在黑客眼中只是一台可以達到時速 100 公里的計算機。

網路安全公司 CloudFlare 的首席安全研究員 馬克·羅傑斯 Marc Rogers 說：「它們已經不再是汽車了。它們是裝在車輪上的數據中心。從外界接收的每一條數據都可以作為黑客的攻擊載體。「

兩年前，兩名「白帽」黑客（尋找系統漏洞並修復它們的研究員，而不是利用漏洞來犯罪的 破壞者 Cracker ）成功地在數里之外用電腦獲得了一輛 Jeep Cherokee 的控制權。他們控制汽車撞擊一個放置在高速公路中央的假人（在場景設定中是一位緊張的記者），直接終止了假人的一生。

黑客 Chris Valasek 和 Charlie Miller（現在是 Uber 和滴滴的安全研究人員）發現了一條 由 Jeep 娛樂系統通向儀錶板的電路。他們利用這條線路控制了車輛轉向、剎車和變速——他們在高速公路上撞擊假人所需的一切。

Miller 先生上周日在 Twitter 上寫道：「汽車被黑客入侵成為頭條新聞，但是人們要清楚，沒有誰的汽車被壞人入侵過。 這些只是研究人員的測試。」

儘管如此，Miller 和 Valasek 的研究使 Jeep 汽車的製造商 菲亞特克萊斯勒 Fiat Chrysler 付出了巨大的代價，因為這個安全漏洞，菲亞特克萊斯勒被迫召回了 140 萬輛汽車。

毫無疑問，後來通用汽車首席執行官 瑪麗·巴拉 Mary Barra 把網路安全作為公司的首要任務。現在，計算機網路安全領域的人才在汽車製造商和高科技公司推進的無人駕駛汽車項目中的需求量很大。

優步 、特斯拉、蘋果和中國的滴滴一直在積極招聘像 Miller 先生和 Valasek 先生這樣的白帽黑客，傳統的網路安全公司和學術界也有這樣的趨勢。

去年，特斯拉挖走了蘋果 iOS 操作系統的安全經理 Aaron Sigel。優步挖走了 Facebook 的白帽黑客 Chris Gates。Miller 先生在發現 Jeep 的漏洞後就職於優步，然後被滴滴挖走。計算機安全領域已經有數十名優秀的工程師加入無人駕駛汽車項目研究的行列。

Miller 先生說，他離開了優步的一部分原因是滴滴給了他更自由的工作空間。

Miller 星期六在 Twitter 上寫道：「汽車製造商對待網路攻擊的威脅似乎更加嚴肅，但我仍然希望有更大的透明度。」

像許多大型科技公司一樣，特斯拉和菲亞特克萊斯勒也開始給那些發現並提交漏洞的黑客們提供獎勵。通用汽車公司也做了類似的事情，但批評人士認為通用汽車公司的計劃與科技公司們提供的計劃相比誠意不足，迄今為止還收效甚微。

在 Miller 和 Valasek 發現 Jeep 漏洞的一年後，他們又向人們演示了所有其他可能危害乘客安全的方式，包括劫持車輛的速度控制系統，猛打方向盤或在高速行駛下拉動手剎——這一切都是由汽車外的電腦操作的。（在測試中使用的汽車最後掉進路邊的溝渠，他們只能尋求當地拖車公司的幫助）

雖然他們必須在 Jeep 車上才能做到這一切，但這也證明了入侵的可能性。

在 Jeep 被入侵之前，華盛頓大學和加利福尼亞大學聖地亞哥分校的安全研究人員第一個通過藍牙遠程控制轎車並控制其剎車。研究人員警告汽車公司：汽車聯網程度越高，被入侵的可能性就越大。

2015 年，安全研究人員們發現了入侵高度軟體化的特斯拉 Model S 的途徑。Rogers 先生和網路安全公司 Lookout 的首席技術官 凱文·馬哈菲 Kevin Mahaffey 找到了一種通過直接連接在汽車上的筆記本電腦控制特斯拉汽車的方法。

一年後，來自中國騰訊的一支團隊做了更進一步的嘗試。他們入侵了一輛行駛中的特斯拉 Model S 並控制了其剎車器達12 米遠。和 Jeep 不同，特斯拉可以通過遠程安裝補丁來修復那些可能被黑的安全漏洞。

以上所有的例子中，入侵者都是無惡意的白帽黑客或者安全研究人員，但是給無人駕駛汽車製造商的教訓是慘重的。

黑客入侵汽車的動機是無窮的。在得知 Rogers 先生和 Mahaffey 先生對特斯拉 Model S 的研究之後，一位中國 app 開發者和他們聯繫、詢問他們是否願意分享或者出售他們發現的漏洞。（這位 app 開發者正在尋找後門，試圖在特斯拉的儀錶盤上偷偷安裝 app）

儘管犯罪分子們一直在積極開發、購買、使用能夠破解汽車的關鍵通信數據的工具，但目前還沒有證據能夠表明犯罪分子們已經找到連接汽車的後門。

但隨著越來越多的無人駕駛和半自動駕駛的汽車駛入公路，它們將成為更有價值的目標。安全專家警告道：無人駕駛汽車面臨著更複雜、更多面的入侵風險，每一輛新無人駕駛汽車的加入，都使這個系統變得更複雜，而複雜性不可避免地帶來脆弱性。

20 年前，平均每輛汽車有 100 萬行代碼，通用汽車公司的 2010 雪佛蘭 Volt 有大約 1000 萬行代碼——比一架 F-35 戰鬥機的代碼還要多。

如今， 平均每輛汽車至少有 1 億行代碼。無人駕駛汽車公司預計不久以後它們將有 2 億行代碼。當你停下來考慮：平均每 1000 行代碼有 15 到 50 個缺陷，那麼潛在的可利用缺陷就會以很快的速度增加。

「計算機最大的安全威脅僅僅是數據被刪除，但無人駕駛汽車一旦出現安全事故，失去的卻是乘客的生命。」一家致力於解決汽車安全問題的以色列初創公司 Karamba Security 的聯合創始人 David Barzilai 說。

安全專家說道：要想真正保障無人駕駛汽車的安全，汽車製造商必須想辦法避免所有可能產生的漏洞——即使漏洞不可避免。其中最大的挑戰，是汽車製造商和軟體開發商們之間的缺乏合作經驗。

網路安全公司 Lookout 的 Mahaffey 先生說：「新的革命已經出現，我們不能固步自封，應該尋求新的思維。我們需要像發明出安全氣囊那樣的人來解決安全漏洞，但我們現在還沒有看到行業內有人做出改變。」

Mahaffey 先生說：「在這場無人駕駛汽車的競爭中，那些最注重軟體的公司將會成為最後的贏家。」

via: https://www.nytimes.com/2017/06/07/technology/why-car-companies-are-hiring-computer-security-experts.html

作者：NICOLE PERLROTH 譯者：XiatianSummer 校對：wxy

本文由 LCTT 原創編譯，Linux中國 榮譽推出

本文轉載來自 Linux 中國: https://github.com/Linux-CN/archive