当涉及到安全风险和联网汽车时，销量下降和品牌受损是汽车制造商需要关注的潜在底线影响。
根据最新发布的消息IOActivereport，高级安全顾问Corey Thuen撰写的《车辆漏洞的共性》，“39%的漏洞与网络有关。这是一个包括所有网络流量的通用类别，比如以太网或网络。”
使用安全最佳实践出版物来设计联网汽车可以减少高达45%的漏洞，但OBD2适配器、远程信息处理系统和其他嵌入式设备仍然是现代汽车的安全问题。
系统设计、工程问题、部署机制和测试方面的问题是IOActive确定的八大漏洞的根本原因:供应商引入的后门、易受攻击的依赖、对最小特权原则的不正确利用、认证系统需要硬编码凭证、意外信息泄露、编码逻辑错误、缓冲区溢出和web漏洞实现问题。
[更多关于cso的信息:6种高科技方法可以偷走联网汽车］
这些漏洞的嵌入性在一定程度上降低了它们被利用的可能性，因为黑客需要非常熟练和复杂的技术才能知道到哪里去寻找它们。然而，Thuen表示:“许多物联网设备使用相同类型的技术，随着越来越多的人与物联网进行交互，他们将更了解如何与车辆进行交互。”
虽然正在设计令人难以置信的创新功能，但这些系统也让汽车接触到更多的连接，因为每增加一个功能，就会给汽车增加一个额外的攻击向量。
大多数人都不愿意控制汽车，把它撞坏。“虽然车辆本身与传统黑客的目标(比如金钱)并不一致，在野外也发生过袭击事件”,Thuen说。最引人注目的是那些用钥匙fobs黑进远程无钥匙进入系统的窃贼。
这些动机是不同的。目标是偷一辆车。如果恶意行动者为了造成伤害而控制车辆，这些事件仍未报告。我们从著名的汽车安全研究人员，查理·米勒和克里斯Valasek是证明第三方能够在经过长时间的研究后控制车辆。
咨询公司的高级研究分析师萨姆·阿伯萨米德(Sam Abuelsamid)说指南针的研究他说，其中有两个示威活动最有可能引发问题。“很多OBD2适配器通常配备蜂窝收音机，将你的驾驶行为反馈给保险公司。并不是所有的适配器都有同样的安全保障。”
在联网汽车中，另一个常见的漏洞是汽车远程信息处理系统，如OnStar或UConnect。“现在大多数汽车制造商都在汽车内安装蜂窝无线电，用于远程上锁和开锁，或者追回被盗车辆。这是去年的大新闻。他们找到了如何远程访问车内内置的手机模型的方法。
互联汽车的诀窍在于，为了实现客户想要的功能，“通信系统必须能够与汽车网络的其他部分通信，”阿伯萨米德说。根据安全性的设置，攻击者将使用与攻击其他网络时相同的攻击向量。
“这些系统面向公众，所以它不像一个网站。首先，车辆连接器并不容易找到。他们通常会试图找到车辆数据系统的IP地址或电话号码，以确定通信设备在网络中的位置。”
几年前，制造商在同一套程序包上运行所有计算机的系统，现在他们了解这些主要入口的漏洞，并正在作出更大的努力来加强他们的安全操作系统。
内森·温兹勒，首席安全架构师，AsTech咨询
“这是一个问题，”Nathan Wenzler说，他是AsTech咨询这个行业的发展速度并不快。他们正在用自己并不熟悉的软件进行重新设计。”
公平地说，汽车制造商不仅是制造汽车的负担，也是安全专家的负担。“他们被要求成为软件开发人员、数据库经理、SaaS经理。他们从制造汽车变成了谷歌。”
现在这种需求已经没有退路了，所以温茨勒说:“制造商有责任设计安全的软件系统。他们可以上网或联网。许多开发人员认为，因为它是操作系统的精简版，所以安全。不，你需要的远不止这些。”
虽然有相当一部分消费者驱动的焦虑促使汽车公司建立安全的系统，但仍有很多地方需要改进。然而，压力的关键在于，没有可怕的恐慌。我不认为这是一个重大的公共安全问题。”
[相关:4个简单的方法来保护你的联网汽车］
温茨勒说:“他们需要编写适当的代码，组建安全团队来测试产品，试图破解这些问题，构建安全的系统。”
汽车研究中心(Center for Automotive Research)运输系统分析主任理查德·华莱士(Richard Wallace)也指出，编写糟糕的代码很容易被恶意行为者访问。“如果你的网络(CAN)是受保护的，那么你可能会避免额外的漏洞，但CAN的设计并没有考虑到网络安全。许多漏洞都是由编写糟糕的代码造成的。其他漏洞可能存在于供应链中:供应的组件或子组件缺乏足够的安全性，或者OEM甚至没有要求这种安全性，”Wallace说。
由于漏洞总是存在，汽车行业需要一个检测和报告系统，以及空中(OTA)更新功能，以快速响应。
专家们一致认为，最好的解决方案是先建立更强的安全性。但是，如果安装更好的网络安全是降低风险的最好方法，为什么没有发生呢?
华莱士说:“这在很大程度上是组织文化的问题。“他们以前从来没有这样做过，所以没有历史。他们要处理的是复杂的供应链，其中带有软件和ecu的组件是由二级和一级供应商设计和制造的，而不是原始设备制造商。”
对于休恩关于现代汽车制造商的要求，华莱士说:“新车中有大量的代码。他们希望经常出现错误，但几乎不可能找到所有错误——即使你尝试了——因为可能的命令有近乎无限的排列。”
继续努力灌输一种设计的安全文化，而不是事后才考虑的安全文化，将有助于减轻当前和未来的安全风险。“汽车制造商已经建立了一个汽车信息共享和分析中心(ISAC)，以共享有关漏洞的信息，并制定最佳做法，”阿伯萨米德说。
虽然他们不能保证一个复杂的系统是100%安全的，但他们正在努力使其具有弹性。如果他们能更好地发现威胁并阻止它，他们就能避免事故。
对汽车制造商来说，幸运的是，“有一些初创公司正在开发解决方案，为车辆设置防火墙，检测任何传入的信息和车辆网络内的任何恶意行为，”阿伯萨米德说。
在过去，整个汽车行业似乎都在否认安全问题。阿伯萨米德说:“这个行业内部的态度真的发生了变化，他们现在非常认真地对待安全问题。”
这篇题为《汽车制造商什么时候能保护你的车?》的文章最初发表于方案 ．