专家警告：汽车制造商更重视技术而不是网络安全，车企对网络安全的忽视可能会在未来几年阻碍智能汽车、电动汽车系统的发展和用户的扩大。技术人员发现本田汽车和讴歌汽车（日本汽车品牌）的远程启动功能之间的无线电传输存在漏洞。据两名研究人员称，网络威胁行为者可以轻松拦截一系列本田和讴歌汽车的进入钥匙扣的无线电信号，以锁定、解锁甚至启动汽车。UMassDartmouth（马萨诸塞州达特茅斯大学）的学生AyyappanRajesh和BlakeBerry(HackingIntoYourHeart)报告了该漏洞(CVE-2022-27254)，并在GitHub帖子中提供了有关该漏洞的更多详细信息。帖子称，根据研究报告，黑客可以利用该漏洞自由锁定、解锁、控制车窗、打开后备箱和启动目标车辆的引擎。目前，防止攻击的唯一方法是永远不要使用您的汽车钥匙，或者在汽车钥匙损坏时在经销商处重置，但这很难做到。该帖子补充说，攻击者要想接管汽车的控制权，只需记录通过汽车钥匙链发送的未加密命令，记录并重放来自指定目标的解锁命令。这适用于本田制造的大多数感应钥匙，这种方法将允许威胁行为者随时解锁车辆，而且不会就此止步。因为除了能够通过记录远程启动密码随时启动车辆引擎之外，网络威胁参与者似乎实际上可以通过本田使用FSK的“智能钥匙”来解析任何命令，编辑它，并重传它，允许目标车辆随意使用。因此，网络威胁参与者能够对多款本田和讴歌汽车进行攻击，但研究人员怀疑这种类型的攻击是否适用于任何本田或讴歌车型。他们确定易受攻击的车型包括：2009AcuraTSX。2016本田雅阁V6旅行车。2017本田HR-V(CVE-2019-20626)。2018款本田思域掀背车。2020本田思域LX。但本田发言人克里斯马丁告诉Threatpost，该缺陷并不是什么新鲜事，并表示由于公司无法确认风险确实存在，因此没有更新旧车型的计划。因为目前这些智能设备似乎只有在附近或物理连接到目标车辆时才能工作。如果车辆需要就近开启和启动，则需要在很短的距离内接收到车主钥匙发出的无线电信号。事实上，本田面临的并非个例。2020年底，研究人员在没有密钥卡的情况下，在几分钟内闯入并偷走了一辆配备智能传感器系统的特斯拉。马丁还指出，如果攻击者的意图是偷车，如果没有fob的安全芯片，他们将无法走多远。他还解释说，对于Acura和Honda车辆，虽然某些车型具有远程启动功能，但在车辆中存在带有独立制动芯片的有效钥匙之前，无法驾驶远程启动车辆，从而降低了被盗的可能性。没有迹象表明报告中描述的门锁漏洞会降低驾驶讴歌或本田汽车的安全性。但即使有本田发言人的解释，最近的其他网络安全威胁也突显出，随着智能技术和功能越来越多地融入现代汽车，网络攻击带来的威胁将继续增长。VulcanCyber??的高级技术工程师MikeParkin向Threatpost解释说，虽然传感系统中的漏洞不会产生特别灾难性的影响，但这并不意味着它们应该被汽车和网络安全社区忽视。Parkin认为，智能汽车技术的发展以意想不到的方式扩大了我们遇到的威胁范围。虽然只有少数严重的远程攻击影响到车辆，但潜在的危险是存在的，而且还在不断增加。他补充说，有可能导致整个车队瘫痪，这让汽车制造商的产品安全团队彻夜难眠，而电动汽车联合充电系统(CCS)的新漏洞很可能会导致这种情况。联合充电系统存在缺陷牛津大学的一个团队最近披露的另一份报告指出，允许对电动汽车进行快速直流充电的联合充电系统存在重大安全缺陷。根据他们的研究报告，研究人员只需要依靠现成的技术手段，就能在10米外切断实验室的充电电路，这种攻击被团队称为“断线”。为此，他们警告称，此举不仅有可能影响目前行驶在路上的超过1200万辆电动汽车，还会影响电动飞机、船只和重型车辆的使用。该团队还发现，这种攻击会中断车辆与充电器之间必要的控制通信，从而导致充电会话终止。这种攻击可以通过电磁干扰从远处无线进行，导致个别车辆或整个车队同时中断。Netenrich的首席威胁猎手JohnBambenek向Threatpost解释说，汽车技术中存在的各种各样的漏洞表明，汽车制造商需要采取更多措施来保证汽车的安全使用。他认为这些问题表明电动汽车技术制造商没有充分考虑人们会如何篡改他们的技术。虽然这个漏洞目前只是一个不便，但最终有人会发现这些技术可以用来做一些更邪恶的事情。Bugcrowd的创始人兼首席技术官凯西·埃利斯(CaseyEllis)同意，这家汽车制造商早该将重点从技术推广转向网络安全。埃利斯建议说：“虽然这个漏洞看起来带来的不便多于危险，但它再次提醒人们工程师和网络攻击威胁参与者之间的紧张关系，尤其是在涉及汽车等安全关键系统时。”反馈回路非常重要。本文翻译自：https://threatpost.com/automaker-cybersecurity-lagging-tech-adoption/179204/如有转载请注明出处。
