核心定位：信息安全与功能安全是汽车安全的两大支柱。本文揭示智能网联汽车面临的五大信息安全威胁：远程攻击、物理接入攻击、供应链攻击、数据泄露、拒绝服务攻击，用真实黑客案例说明"为什么一个蓝牙漏洞可以让百万辆车被远程控制"。
2015年：那场震惊全球的Jeep远程劫持事件
事件回顾
2015年7月21日，美国密苏里州高速公路上，一辆Jeep Cherokee正以时速110公里行驶。
突然：
- 空调开始自动调节温度
- 收音机音量突然调到最大
- 雨刷器自动开启
- 仪表盘显示异常
- 最可怕的是：车辆突然失去动力，冲出路面
真相：这不是车辆故障，而是两位白帽黑客Charlie Miller和Chris Valasek通过远程网络，侵入了这辆正在行驶的汽车。
攻击路径：
蜂窝网络（4G）
↓
Uconnect车载信息娱乐系统（存在漏洞）
↓
CAN总线（无认证机制）
↓
发动机控制器ECU、制动系统、转向系统
↓
完全控制车辆
后果：
- 菲亚特克莱斯勒紧急召回140万辆汽车
- 损失超过10亿美元
- 成为全球首起因信息安全漏洞导致的大规模召回
这场事件让全球汽车行业意识到：智能网联汽车的信息安全，已经不是可选项，而是生死存亡的必选项。
信息安全 vs 功能安全 | 两者的本质区别
很多人容易混淆信息安全（Cybersecurity）和功能安全（Functional Safety），但它们关注的威胁完全不同：
对比表
| 维度 | 功能安全（ISO 26262） | 信息安全（ISO/SAE 21434） |
|---|---|---|
| 威胁来源 | 随机硬件故障、系统性设计缺陷 | 恶意攻击者的主动攻击 |
| 攻击者假设 | 无攻击者 | 存在攻击者，且能力不断提升 |
| 防护目标 | 防止意外失效伤害人 | 防止恶意攻击伤害人/窃取数据 |
| 防护方法 | 冗余设计、失效保护、FMEA分析 | 加密、认证、入侵检测、安全启动 |
| 典型场景 | 传感器失效、MCU死机 | 黑客远程入侵、CAN报文伪造 |
| 关键标准 | ISO 26262 | ISO/SAE 21434、UN R155 |
简单理解：
- 功能安全：防止"自己犯错"
- 信息安全：防止"别人搞破坏"
举例：
- 转向系统传感器老化导致失效 → 功能安全问题
- 黑客通过CAN总线发送恶意报文控制转向 → 信息安全问题
智能网联汽车的五大信息安全威胁
威胁1：远程网络攻击
定义：攻击者通过蜂窝网络、Wi-Fi、蓝牙等无线通信方式，远程入侵车辆。
攻击面：
- T-Box（车载通信终端）：与云端通信的接入点
- 车载信息娱乐系统（IVI）：运行Android/Linux系统，存在操作系统漏洞
- OTA升级系统：升级包可能被篡改或劫持
- 手机App：车联网App存在漏洞可能被利用
- 蓝牙/Wi-Fi：近场通信协议存在已知漏洞
典型攻击案例：
案例1：2016年特斯拉Model S远程入侵（腾讯科恩实验室）
攻击链路：
伪造Wi-Fi热点
↓
特斯拉浏览器漏洞（QtWebKit）
↓
获取CID（中控系统）shell权限
↓
利用网关漏洞
↓
向CAN总线注入恶意报文
↓
控制车门、座椅、天窗、刹车
关键漏洞：
- 浏览器使用过时的QtWebKit版本（存在多个0-day漏洞）
- 网关未对CAN报文进行认证
- 诊断服务（UDS）未加密
案例2：2022年某品牌远程解锁漏洞
漏洞描述：攻击者可以通过蓝牙信号伪造车钥匙，解锁车辆并启动发动机。
攻击原理：
- 蓝牙配对过程未正确验证密钥
- 攻击者可以录制并重放蓝牙信号
- 影响车型：数百万辆
防护措施缺失：
- 未使用滚动码（Rolling Code）防止重放攻击
- 未使用安全距离检测（如UWB技术）
威胁2：物理接入攻击
定义：攻击者通过物理接触车辆，从OBD接口、USB接口等入侵。
攻击面：
- OBD-II诊断接口：直接连接到CAN总线，无认证机制
- USB接口：可能执行恶意代码或固件
- 充电接口：通过CCS/CHAdeMO协议通信，可能存在漏洞
- 维修接口：经销商维修工具可能被滥用
典型攻击案例：
案例1：OBD-II洪水攻击（Flooding Attack）
攻击原理：
- 攻击者将恶意设备插入OBD-II接口
- 向CAN总线高频发送高优先级报文（如ID=0x000）
- 正常ECU无法发送报文，车辆瘫痪
实际后果：
- 车辆无法启动
- 仪表盘显示大量故障码
- 所有电子系统失效
防护措施：
- 在OBD接口增设网关或防火墙
- 实施CAN报文频率限制
- 增加OBD接口的物理防护（如需要钥匙才能打开盖板）
案例2：USB恶意固件攻击
攻击场景：
- 攻击者将恶意U盘插入车载信息娱乐系统
- U盘中包含恶意软件，自动执行
- 获取系统权限，植入后门
2024年马自达漏洞（CVE-2024-8355至CVE-2024-8360）：
- SQL注入漏洞：通过伪造Apple设备序列号注入恶意SQL
- 操作系统命令注入：通过USB设备执行任意系统命令
- 未签名代码更新：可以安装未经验证的MCU固件
- 影响：可直接访问CAN总线，控制车辆
威胁3：CAN总线攻击
定义：攻击者通过伪造、篡改、重放CAN报文，控制车辆功能。
CAN总线的天生弱点：
- 无身份认证：任何节点都可以发送任何ID的报文
- 全局广播：所有节点都能看到所有报文
- 优先级仲裁：高优先级报文可以抢占总线
- 明文传输：报文数据无加密
四种典型CAN攻击：
攻击1：重放攻击（Replay Attack）
原理：
步骤1：攻击者录制正常CAN报文
例如：解锁车门的报文 ID=0x245, Data=[01 23 45 67 89 AB CD EF]
步骤2：重放该报文
车辆误认为收到了合法指令，执行解锁
实际案例：
- 2019年，研究人员通过重放攻击成功解锁某品牌车辆
- 录制车主按下遥控钥匙时的CAN报文
- 24小时后重放该报文，成功解锁
防护：增加时间戳或新鲜度值（Freshness Value），使每条报文唯一
攻击2：篡改攻击（Tampering Attack）
原理：
正常报文：ID=0x100, Data=[00 50 ...] （车速=80 km/h）
篡改后：ID=0x100, Data=[00 00 ...] （车速=0 km/h）
结果：仪表盘显示车速为0，驾驶员误以为车辆静止
防护：增加MAC（消息认证码），确保报文完整性
攻击3：拒绝服务攻击（DoS Attack）
原理：
攻击者以最高优先级（ID=0x000）、最高频率（1ms）发送报文
↓
占满CAN总线带宽（最大1Mbps）
↓
正常ECU无法通信
↓
车辆所有电子系统瘫痪
实际测试：
- 在某车型上，DoS攻击2秒后，发动机ECU停止响应
- 车辆立即失去动力
防护：网关实施报文频率监控和限制
攻击4：诊断攻击（Diagnostic Attack）
原理：
攻击者通过OBD发送UDS诊断指令：
指令1：27 01（请求种子）
响应：67 01 AB CD（返回种子）
指令2：27 02 12 34（发送密钥，密钥已被破解）
响应：67 02（解锁成功）
指令3：2E F1 90 XX XX（写入VIN码）
响应：6E F1 90（写入成功）
实际危害：
- 篡改VIN码（车辆识别码）：用于洗车、克隆车辆
- 修改里程表数据
- 刷写ECU固件，植入后门
防护：
- 27服务增加更强的密钥算法（如AES-128）
- 限制诊断服务的前置条件（如车速=0、档位=P）
威胁4：供应链攻击
定义：攻击者在车辆生产、运输、销售环节植入恶意软件或硬件。
攻击场景：
场景1：恶意ECU固件
- 供应商的开发环境被入侵
- 攻击者在ECU固件中植入后门
- 车辆出厂时已携带恶意代码
场景2：第三方零部件
- 车主安装第三方行车记录仪、OBD设备
- 这些设备可能包含恶意功能
- 通过OBD接口向CAN总线注入恶意报文
2023年某品牌供应链事件：
- 某Tier 2供应商的软件开发工具被黑客入侵
- 恶意代码被注入到ECU固件中
- 影响：需要召回已生产的车辆进行固件更新
防护措施：
- 安全启动（Secure Boot）：ECU启动时验证固件签名
- 供应商审计：定期审计供应商的信息安全流程
- 代码签名：所有固件必须经过数字签名
威胁5：数据隐私泄露
定义：车辆采集的大量数据（行驶轨迹、驾驶习惯、车内对话等）被非法获取。
车辆采集的敏感数据：
- 位置数据：GPS轨迹，精度可达米级
- 驾驶行为：加速、制动、转向频率
- 车内音视频：哨兵模式、车内摄像头录音
- 生物特征：人脸识别、声纹识别
- 通讯数据：蓝牙通话记录、手机联系人
隐私泄露案例：
案例1：特斯拉"哨兵模式"争议（2023年）
事件：
- 湖南岳阳三荷机场禁止特斯拉进入
- 原因：哨兵模式会录制周边环境视频
- 担忧：可能泄露涉密区域信息
特斯拉回应：
- 哨兵模式非特斯拉独有（蔚来、理想、小鹏等都有）
- 视频仅存储在车内USB设备，无法远程查看
- 车主和特斯拉均无法在线访问
其他品牌对比：
- 蔚来、理想：部分车型支持远程实时查看
- 小鹏：仅本地存储
案例2：车辆轨迹数据泄露
风险场景：
- 黑客入侵TSP云平台
- 获取数百万车辆的GPS轨迹数据
- 可用于：
- 追踪特定个人的行动轨迹
- 分析企业高管的出行规律
- 推测用户的居住地、工作地
防护措施：
- 数据脱敏：上传云端前删除敏感信息
- 最小化原则：仅采集必要数据
- 本地化存储：敏感数据不上传云端
防护技术全景图
针对上述五大威胁，汽车行业采取了多层防护措施：
第一层：边界防护
目标：阻止攻击者进入车内网络
技术手段：
- 防火墙：在网关处过滤恶意报文
- 入侵检测系统（IDS）：监控异常通信行为
- 物理隔离：关键安全系统与娱乐系统隔离
第二层：通信加密
目标：即使攻击者截获通信，也无法解读或篡改
技术手段：
- TLS/SSL：T-Box与云端通信加密
- SecOC（Secure Onboard Communication）：CAN报文加密与认证
- 端到端加密：关键数据全程加密
第三层：身份认证
目标：确保通信双方的身份合法
技术手段：
- 数字证书：ECU启动时验证身份
- 密钥管理：定期更换通信密钥
- 双因素认证：手机App登录需要密码+生物特征
第四层：安全启动
目标：防止恶意固件运行
技术手段：
- Secure Boot：ECU启动时验证固件签名
- 可信执行环境（TEE）：关键代码在隔离环境中运行
- 硬件安全模块（HSM）：密钥存储在硬件中，无法被软件读取
第五层：入侵检测与响应
目标：及时发现攻击并采取措施
技术手段：
- 车载IDS：实时监控CAN总线异常
- SOC（Security Operations Center）：云端监控车队安全
- 应急响应：检测到攻击后自动断开高风险通信
大家不知道的隐藏知识
1. 为什么不能简单把所有CAN报文都加密？
原因1：性能瓶颈
- CAN总线带宽有限（最大1Mbps）
- 加密后报文长度增加30-50%
- 可能导致关键安全报文延迟
原因2：实时性要求
- 制动、转向等安全功能要求<10ms响应
- 加密/解密耗时可能超过实时性要求
解决方案：
- 仅对关键报文加密（如诊断、控制指令）
- 使用轻量级加密算法（如HMAC-SHA256截断版）
2. OBD接口为什么不能简单封死？
法律要求：
- 美国EPA（环保署）要求所有车辆必须提供OBD-II接口
- 用于排放检测
- 欧盟也有类似法规
售后需求：
- 维修诊断必须通过OBD接口
- 年检需要读取OBD数据
平衡方案：
- 在OBD接口增加认证机制（需要专用工具）
- 限制OBD可访问的功能（如禁止写入VIN）
3. 为什么特斯拉安全团队禁用了远程哨兵模式查看？
技术原因：
- 实时传输视频需要大量带宽（1-2Mbps）
- 增加T-Box功耗和流量成本
- 可能被黑客劫持，用于监控用户
隐私考量：
- 远程查看意味着视频存储在云端
- 存在数据泄露风险
- 可能违反GDPR等隐私法规
售后视角 | 信息安全对维修服务的影响
1. 诊断工具的安全认证
要求：
- 第三方诊断工具必须通过车企认证
- 未认证工具可能被车辆拒绝连接
- 认证成本：数万至数十万元
2. 固件更新的签名验证
流程：
维修站下载ECU固件
↓
固件包含数字签名
↓
ECU验证签名是否来自车企
↓
签名有效→允许更新
签名无效→拒绝更新
3. 售后人员的信息安全培训
培训内容：
- 识别可疑的OBD设备
- 避免使用来路不明的诊断软件
- 保护客户隐私数据（如行驶记录）
关键要点总结
✅ 信息安全≠功能安全：前者防恶意攻击，后者防意外故障
✅ 五大威胁：远程攻击、物理接入、CAN总线、供应链、隐私泄露
✅ CAN总线是最薄弱环节：无认证、明文传输、全局广播
✅ 多层防护：边界防护→通信加密→身份认证→安全启动→入侵检测
✅ OBD接口两难：既要满足法规和维修需求，又要防止被滥用
✅ 数据隐私：哨兵模式、GPS轨迹等数据需要严格管理
✅ 售后挑战：诊断工具认证、固件签名验证、人员安全培训
作业：
- 分析你公司车型的OBD接口有哪些安全防护措施
- 思考：如果CAN总线全部改用SecOC加密，会带来哪些挑战？
- 研究：特斯拉、蔚来、小鹏的哨兵模式在数据存储和访问上有何区别