福斯Polo與福特Focus

圖片來源: 

Vauxford CC BY-SA 4.0

萬物聯網的時代,汽車使用的各式系統因為與網際網路連接,曝露於資安風險,成為駭客發動攻擊的管道,由於涉及到車輛的控制單元,甚至可以左右車上乘客的人身安全。針對上述的現象,英國消費者權益組織旗下的媒體Which?,便與資安公司Context聯手,鎖定歐洲兩款熱銷的汽車進行研究,結果發現,它們採用的車載系統都有漏洞可被濫用,但通報後,車商回應有關的攻擊手法難度很高,沒有直接對駕駛或乘客構成生命危險的情況,而認為風險尚在可控管的範圍。對此,該媒體認為,消費者要有意識保護自己的個資,同時政府也該藉由公權力,讓車廠正視相關的資安防護。

為了檢驗連網汽車的資安風險,Which?挑選了兩款歐洲市場的熱銷車款,分別是最新年式的福斯Polo,以及福特Focus。根據汽車市調公司Jato Dynamics的統計,去年這兩款汽車的銷售量,分別賣出了超過25萬臺與22萬臺,都是當地前十大的車款,因此這次的研究結果,也算是相當具有代表性。

車輛控制系統可被非法操控,乘客人身安全亮紅燈

首先,在Polo的各式車用系統上,Which?與Context發現,透過能夠停用循跡控制系統(Traction Control System,TCS)的命令,他們便能入侵這臺車的資訊娛樂系統,然後從中竊得車主的個人資料,包含電話的通訊錄,以及行駛過的地點等內容。再者,這臺車的實體防護層面也被忽略,研究人員留意到,如果駭客要存取車輛前方雷達模組其實相當容易,只要移開水箱罩上的福斯廠徽就行,駭客便能藉此竄改汽車的防碰撞警示(Collision-warning)系統。然而,無論是遠端開關循跡控制系統,還是變更防碰撞警示系統設定,都可能在車輛失控的時候,導致這些輔助機制失效,造成車上人員傷亡。

而Which?的資安專家針對Focus進行檢查後,察覺這款車的胎壓監控系統(Tire-Pressure Monitoring System,TPMS)所傳送的訊息,只要透過一臺筆電和價值25歐元的小工具,他們就能從中控制在儀表板顯示的內容,也就是說,攻擊者可以在車輛胎壓不足的情況下,讓儀表板顯示為正常,進而影響行車安全。此外,操控從輪胎監控器傳出的資訊,駭客還可以左右行車電腦記錄的駕駛行程內容。

除了上述影響行車安全的威脅,研究人員也在福特編寫的程式碼裡,發現疑似該廠商位於底特律生產線電腦的無線網路資料,而且還包括了密碼。

不只是車輛上的系統存在遭駭客濫用的風險,值得留意的是,上述的兩臺車,車廠也提供手機應用程式,讓車主能進行行程的記錄,或者是分析油耗情形等工作,然而研究人員指出,這些應用程式也存在資安疑慮。以福斯推出的We Connect而言,他們發現於安裝時,會向使用者要求許多額外的權限,像是存取手機的個人行事曆機敏資訊,以及USB外接裝置的內容。而在這款App的隱私政策條文裡,也表明福斯會在用戶執行的過程收集資料,並且與外部合作廠商分享。

而福特所提供的FordPass行動應用程式,則是被授權能隨時分享車輛的地點及行程的方向,再者,連同車上各式感應器的資料,也包含在允許分享的範圍,涵蓋了警示燈和油耗的感應器。

汽車廠商認為影響有限,恐輕忽問題的嚴重程度

綜合上述的發現,Which?將他們的研究細節提供給廠商,但是福斯與福特的反應有所不同。前者態度算是較為積極,儘管他們認為資訊娛樂系統與車上的其他系統所使用的網域不同,假如影響到其他重要控制單元,他們不可能沒有發現,然而該公司與資訊娛樂系統的供應商,都認同這次研究的結果。

不過,福斯也認為,車輛資訊娛樂系統的資料,還有網站上提供的韌體,都沒有加密保護的必要,並且宣稱他們已經檢查過是否有漏洞。同時該公司表示,在Which?研究的結果裡,攻擊者需要耗費極高的代價才能進行攻擊,因此他們覺得是在可以控管的風險程度。

相較於福斯還算是正面的態度,福特則是全面否認相關的研究結果,只有表示他們相當重視連網車輛的資訊安全,並宣稱胎壓監控系統的漏洞必須搭配額外條件才能濫用,至於行動應用程式的部分,則是一切在用戶同意下收集資料,而且車主隨時可以要求停止收集。

對於兩家車廠的回應,Which?則是認為,汽車製造廠普遍缺乏資安意識,有待政府單位透過立法加以規範。而對於一般的社會大眾,對於車輛的買賣或是租賃,都要留意,像是出售車輛時,必須消除車上所存放的個人資料,並且註銷與手機應用程式的連結。假如購買二手車,也應該請賣家清除前一個車主留下的帳號資料,以免自己的行蹤曝露給他人。

至於租用車輛時,Which?表示,民眾最好不要將手機與車輛的資訊娛樂系統連結。


Advertisement

更多 iThome相關內容