汽车与黑客“赛跑”
撰文 / 马晓蕾
编辑 / 钱亚光
设计 / 赵昊然
来源 / Nytimes，作者：Eric A. Taub
如今，停在你家车库或甬道上的那辆汽车，它的代码行数可能比一架现代客机还多。
黑客随着互联网的诞生而出现。我们都见过某个网站被黑、电脑被黑等等。而一辆汽车或车队被黑的后果可能会是致命的。就像电影《速度与激情8》里面的场景，整条街道上所有的车辆都被黑客操纵。
汽车制造商和供应商都有积极的计划来应对，还设立了很多防火墙。
今天的汽车，只要有网络连接，就能报告天气、支付油费、找到停车位、躲避交通拥堵，收听世界各地的电台。很快它们还可以互相交流，在路过你最喜欢的商店时提醒你里面的具体情况。未来的某一天它们甚至会自己开车。
不仅消费者可能会喜欢这些功能，黑客们可能更喜欢它们。这让汽车行业的许多人夜不能寐，担心如何才能一直比那些对交通系统搞破坏的人领先一步，甚至两到三步。
黑客们似乎已经迫不及待地想要劫持车辆。2019年，汽车网络安全公司Karamba Security在网上发布了一个假冒的汽车电子控制单元。在不到三天的时间里，有两万五千次入侵尝试，其中竟然有一次成功了。
比黑客快一步
2015年，两名研究人员黑了一辆Jeep切诺基，还把自己的照片投在了显示屏上▼
最著名的车辆被黑事件发生在2015年，当时安全研究人员在10英里（16公里）外，仅凭一台笔记本电脑便让一辆Jeep切诺基断电、给无线广播换台、打开雨刷并打开冷气。Jeep的母公司FCA召回了140万辆汽车以修复该漏洞。
如今，黑客入侵的影响可能只是轻微的骚扰，也可能是毁灭性的。黑客可以窃取驾驶员的个人数据或窃听电话通话。在车辆的电子控制单元中插入恶意代码，可能会导致车辆突然加速、熄火或刹车失灵。
如果一支车队被劫持，造成转向失控，更有可能造成重大事故。一辆被黑的电动车可能会在汽车充电时断电、甚至是用人眼看不到的方式更改路牌信息，使汽车把“停车”标志误判为“限速”标志。
消费者监督机构Consumer Watchdog 2020年在一辆特斯拉的屏幕上发送了一条信息 ▼
而2020年，美国加州圣莫尼卡（Santa Monica）的一个非营利组织Consumer Watchdog向一辆特斯拉的屏幕发送了一条“！被黑了！”的信息。
这不仅仅是为了演示黑客入侵。Karamba一直在与一家南美卡车运输公司合作，该公司的车队被黑客攻击，将追踪系统关闭，让小偷神不知鬼不觉地偷走了它们的货物。而只要在互联网上搜索一下，你就会发现多起案例，都是针对世界主要汽车品牌的入侵成功但迄今无害的黑客攻击。
“它们能够控制车辆的方向和速度，这是行业内每个人都担心的事情。”Karamba的首席执行官阿米·多坦（Ami Dotan）说，“而且每个人都意识到这可能会发生。”
这项任务可能比保障全球航空公司的安全还要大。根据麦肯锡公司关于汽车网络安全的报告，现代汽车采用了大约150个电子控制单元和大约1亿行代码。到2030年，随着自动驾驶功能和所谓的汽车通信的出现，代码行数可能会增加两倍。
相比一架现代客机仅有1500万行代码，或一个大众化的PC操作系统约有4000万行代码，它的复杂程度就显而易见了。
像碰撞评级一样的网络安全评级
汽车制造商明白，一次成功的黑客攻击一旦造成死亡或损坏，就可能是一次重大打击。麦肯锡合伙人、报告作者之一冈伯特·谢尔夫（Gundbert Scherf）表示，“人们阻止一场巨大的恶意攻击，动机是很足的。”
而司机们相信他们的车辆是属于自己的私密空间，即使是一个良性的攻击，如汽车信息娱乐屏幕上收到的整蛊信息，也很容易造成重大的公共关系问题。
网络安全公司必须以多种方式保护车辆。汽车可能面临的威胁包括携带恶意代码的SIM卡、伪造的空中软件更新、从智能手机向车辆发送的代码，以及车辆传感器和摄像头被错误信息欺骗。
此外，恶意代码还可以通过连接到车辆电脑端口（通常称为OBD-II端口）的“加密狗”引入，通常在方向盘下方，用于车辆诊断和跟踪。
GuardKnox网络技术公司的首席执行官莫西·什利塞尔（Moshe Shlisel）表示，卡车车队面临的风险更大。他说，整个车队可能会直接歇菜或以其他方式受到损害，以获得赎金。
“我们最担心的是车队被黑客攻击。”汽车供应商大陆（Continental）旗下Argus网络安全公司的首席执行官罗宁·斯莫利（Ronen Smoly）说，“大多数厉害的黑客都来自资金雄厚的团体，并为他们长期工作。”
什利塞尔说，“发生重大黑客事件只是时间问题。最安全的汽车是1916年的福特Model T，因为它没有连接到任何东西。”
OTA更新可以修补汽车的软件漏洞，但汽车行业的目标是在这种情况发生之前保护电子系统，包括最容易暴露在外界的系统，如音频、导航和电话。为了保护这些系统，从软件到硬件设计的制造链的每一步都采取了安全措施。
世界制造商的主要软件和硬件供应商都建立了防火墙，以确保防止信息娱乐系统等元素向调节速度、转向和其他关键功能的系统传递代码。
汽车电子控制单元采用了这样的设计：如果一个平时从不与另一个系统通信的系统突然试图这样做，就会发出警报。而且它们还被锁定，这样注入新代码的企图就会被粉碎。
“涉及到人的生命，所以网络安全是我们的重中之重。”通用汽车负责全球网络安全的副总裁凯文·蒂尔尼（Kevin Tierney）说。该公司有90名工程师全职从事网络安全工作，他们践行着所谓的“深度防御”，删除不需要的软件，并制定规则，让汽车系统只有在必要时才能相互通信。
该公司软件和技术团队的发言人马伊-布里特·彼得斯（Maj-Britt Peters）表示，大众汽车公司也采用了这种做法。她指出，大众汽车公司易感的车辆控制系统都放在不同的域中。
大陆集团是汽车制造商电子零部件的主要供应商，该公司采用了入侵检测和预防系统来粉碎攻击。“如果节气门位置传感器突然与安全气囊对话，那是我们设计之外的。” 斯莫利说，“我们可以阻止这一切，但我们不会在车辆行驶时这样做。”
不过，执着的黑客最终还是会找到入侵的途径。到目前为止，汽车网络安全一直是一个零碎的工作，没有国际标准或法规。但这种情况即将发生改变。
2021年，联合国一项关于车辆网络安全的法规正式生效，规定制造商有义务进行各种风险评估，并报告入侵尝试，以证明网络安全准备情况。该法规将于2024年7月起在欧洲销售的所有车辆生效，2022年在日本和韩国生效。
虽然美国不在54个签署国之列，但在美国销售的车辆在制造时将执行与其他地方销售的汽车相同的网络安全标准。
“联合国的规定是一个全球标准，我们必须满足全球标准。”通用的蒂尔尼说。
而2月份，美国国家公路交通安全管理局发布了一份网络安全最佳实践建议的拟议新草案的征求意见稿，这是2016年报告的最新版本。
甚至有可能未来新车的前风挡贴纸会多了一个车辆符合网络安全标准的标签。“我们应该对车辆的网络安全进行评级，就像我们对车辆的碰撞保护进行评级一样。”汽车安全中心的执行董事杰森·k·莱文（Jason K. Levine）说。
这一切都引发了一个问题。如果美国政府连俄罗斯入侵自己的电脑都阻止不了，那汽车制造商能做得更好吗？
“我是一个说话比较悲观的人，我会提醒大家不要这样。”麦肯锡的谢尔夫说，“我们仍然有足够的时间来重写故事。”