2024年2月東京Automotive World全球汽車技術展覽會上舉辦了第一屆Pwn2Own Automotive汽車資安漏洞競賽，也是首個專門發掘及解決聯網汽車技術漏洞的比賽。本文探討聯網車輛目前使用技術中存在的安全漏洞，如何被轉化為現實世界的攻擊。透過演示攻擊過程了解如何發現漏洞和網路威脅研究的必要性，將有助於避免類似情況在真實世界上演。
API受攻擊面
在這個新的行動時代，車輛變得更加依賴數據資料、聯網能力和其他技術，使它們能夠與其他車輛和系統互動。就像是車輛攜帶實體或虛擬SIM卡已變得幾乎司空見慣一般。
以一個情境為例：車主向車子發送按喇叭的命令。這個命令會從車主的手機傳輸到最近的行動通訊基地台，然後傳輸到車廠的後端伺服器，再轉發到車輛的遠端資訊處理控制單元，該單元接著將命令發送到控制汽車喇叭的元件。命令的發送幾乎在一瞬間就經過了這麼多個接觸點。
於是從安全角度來看，必須全面檢視跨越這麼多的接觸點會可能會在哪裡出錯，以及攻擊者如何透過某些漏洞或網路攻擊來破壞訊息流通。
API的攻擊情境
在這個情境下，目的是示範攻擊者可以利用受損的帳戶憑證來執行哪些操作。預設已經從某處取得了跨越半個地球之遙、已綁定車輛的一個帳戶憑證。模擬來自受感染帳戶的遠端攻擊，以感知在這種情況下，距離已經不是問題，如圖1所示。
網路釣魚技術或勒索軟體等網路攻擊可能會破壞憑證。對於車隊營運商來說，儘管聯網車輛具有很高的財務價值並且存在隱私風險，但它們通常還是被認定成一般網路資產來進行管理。
攻擊方式則可透過行動應用程式/入口網站或API獲得訪問權限，透過發出指令來控制車輛。由於已擁有目標車輛的憑證作為破口，因此希望了解使用車輛的API(應用程式介面)可以執行哪些類型的請求。透過研究，發現有幾個可以嘗試的重要指令。在圖2中，可以看到其中兩個指令：車門狀態和遠端啟動車輛。
值得慶幸的是，大多數與我們所進行類似駭入的測試，都是在受控條件下進行的。如果這些安全漏洞沒有被解決，而且用戶/車主自己仍然沒有意識到風險，那麼這種駭入情況很可能會在路上發生。想像地球另一端的車子在行駛途中車門打開或者是車子在靜止的狀態突然被啟動，這些都將對車主或是附近的人與物造成危險。
漏洞發現與網路安全研究目標
汽車產業資料外洩、系統受到威脅和漏洞的消息應該會提升採取更強硬網路安全方案的緊迫性。要在威脅仍然是假設場景的情況下搶得先機、先一步消弭可能威脅，就需要更強大的威脅情報和研究。
將網路安全放在首位，從汽車產業發展至今從未像現在這般重要。從前文描述的遠端駭入測試的情境中所看到的資安缺陷，其實可以透過執行簡單的安全措施來幫助降低類似的攻擊風險，例如：
・更嚴謹的授權是提高汽車製造商(OEMs)安全性的一種方法。汽車製造商(OEM)應實施更強大的安全措施，以便在某些資訊外洩時，例如車輛識別號碼(VIN)，無法用於進行有效的API呼叫。
・更多重的身份驗證是提高安全性的有效手段。實施多因素身份驗證(MFA)等措施可以增加一層保護，使惡意行為者更難進行API呼叫。
・更完整的記錄和監控是提高安全性的重要步驟。所有API呼叫都需要記錄下來，這樣，如果發生API呼叫的地點遠離汽車位置的情況，OEM可以相應地向車主發出警報。
在本文API演示中，展示了未解決的安全缺陷和鬆懈的安全措施如何成為散布在不斷擴大的汽車生態系統中的地雷。電動車的漏洞發現和一般網路安全研究的目標都是在這些問題引發現實世界的網路攻擊之前，發現並解決這些問題。
(本文由VicOne車用資安研究團隊提供)
