車(chē)子可能和初代iPhone有一樣的安全漏洞

企業(yè)應(yīng)該實(shí)時(shí)追蹤產(chǎn)品內(nèi)的組件，進(jìn)行更新?lián)Q代。盡管代價(jià)昂貴，但顯然這是必須的。

十年前，第一代iPhone嶄露頭角，它的出現(xiàn)對(duì)移動(dòng)計(jì)算的影響可謂深遠(yuǎn)。不過(guò)第一代iPhone上搭載的英飛凌芯片存在這么一個(gè)缺陷，它的基帶被篡改后可運(yùn)行除AT&T之外的運(yùn)營(yíng)商網(wǎng)絡(luò)，要知道當(dāng)時(shí)AT&T是iPhone唯一合法的網(wǎng)絡(luò)運(yùn)營(yíng)商。時(shí)間快進(jìn)到2017年，這同一枚芯片出現(xiàn)在了2011年~2015年間生產(chǎn)的各種配置的日產(chǎn)聆風(fēng)車(chē)型上。

雖然這種芯片在不同市場(chǎng)的多種設(shè)備上都有應(yīng)用，但問(wèn)題是多年后，具有相似缺陷的英飛凌芯片卻出現(xiàn)在了一臺(tái)現(xiàn)代汽車(chē)上。不只是一輛車(chē)遇到了這樣的問(wèn)題，寶馬和福特的汽車(chē)中也發(fā)現(xiàn)了有類(lèi)似缺陷的芯片，通過(guò)該芯片，黑客能夠遠(yuǎn)程訪(fǎng)問(wèn)和控制汽車(chē)內(nèi)存。在最近剛剛結(jié)束的Def Con黑客大會(huì)上，來(lái)自殺毒軟件McAfee的幾位研究員就警告稱(chēng)，“勒索病毒可通過(guò)該芯片進(jìn)入車(chē)內(nèi)。”

研究員邁克表示，他們只是隨機(jī)地在廢料場(chǎng)挑了一輛車(chē)子，卻偶然發(fā)現(xiàn)了這一事實(shí)，十分令人吃驚。這個(gè)缺陷存在于大陸集團(tuán)供應(yīng)的TCU車(chē)聯(lián)網(wǎng)控制單元中，而這個(gè)由芯片供應(yīng)商提供的零部件則封裝了英飛凌的芯片產(chǎn)品。而在今年7月27日，美國(guó)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)緊急響應(yīng)團(tuán)隊(duì)（ICS-CERT）發(fā)布的公告稱(chēng)，類(lèi)似的硬件存在于寶馬、福特以及英菲尼迪車(chē)型上。

幸運(yùn)的是，英特爾（2011年收購(gòu)英飛凌）和日產(chǎn)與相關(guān)研究人員合作為涉事車(chē)主提供鑒定服務(wù)，并找到了解決這一隱患的方法。同時(shí)，日產(chǎn)、寶馬和福特通過(guò)系統(tǒng)更新的方式，修復(fù)或禁用了受影響的調(diào)制解調(diào)器。但是，這并不一定會(huì)解決更大的潛在問(wèn)題，存在缺陷的芯片一旦感染病毒，這些病毒依舊會(huì)滲透入一些與該芯片不相連接的汽車(chē)設(shè)備上。雖然iPhone是黑客的主要目標(biāo)，但是與iPhone一樣使用相同芯片的不太知名的一些設(shè)備則還沒(méi)有被列入黑客襲擊的名單。至少，這些設(shè)備最初不會(huì)被侵入。

汽車(chē)制造商直到最近才開(kāi)始擔(dān)憂(yōu)“汽車(chē)黑客”的侵入。即使在這個(gè)世界上所有的黑客都是“蹩腳黑客”，不能成功侵入汽車(chē)設(shè)備，那對(duì)于最具有安全意識(shí)的公司也會(huì)發(fā)現(xiàn)，如果要檢查汽車(chē)上所有的硬件以及車(chē)內(nèi)上千個(gè)芯片，那也是非常困難的。 

不僅是汽車(chē)界應(yīng)該關(guān)注這一隱患。已知有漏洞的硬件裝備到了諸多設(shè)備以及設(shè)施上。船舶、安全系統(tǒng)和基礎(chǔ)設(shè)施組件上可能有很多硬件是不合格的。2014年，研究人員利爾·奧本海姆（Lior Oppenheim）和沙哈·爾塔爾（Shahar Tal）發(fā)現(xiàn)了一批用于內(nèi)嵌式設(shè)備，卻仍在運(yùn)行舊版本軟件的路由器。顯然大家都忽視了該裝備的安全性。即使供應(yīng)商七年前就發(fā)布了更新，但舊版本的軟件依舊被反復(fù)使用。

Veracode（軟件公司）創(chuàng)始人和研究員里斯·威索珀?duì)枺–hris Wysopal）表示，“問(wèn)題是在涉及到計(jì)算機(jī)技術(shù)與軟件時(shí)，管理供應(yīng)鏈的概念是不存在的。” 威索珀?duì)栔赋?，?dāng)涉及到硬件和軟件問(wèn)題時(shí)，似乎沒(méi)有人可以追蹤到組件級(jí)別。 

那么，當(dāng)出現(xiàn)“被黑”的情況時(shí)，誰(shuí)將對(duì)此負(fù)責(zé)？汽車(chē)制造商， 供應(yīng)商或芯片制造商？威索珀?duì)栒J(rèn)為所有有關(guān)方都應(yīng)該為此負(fù)責(zé)。例如，如果芯片出現(xiàn)漏洞缺陷，那么芯片生產(chǎn)商就應(yīng)該從芯片經(jīng)銷(xiāo)商處召回這批芯片。 

此外，企業(yè)應(yīng)該實(shí)時(shí)追蹤產(chǎn)品內(nèi)的組件，進(jìn)行更新?lián)Q代。雖然代價(jià)昂貴，但這是必須的。如不然，漏洞再次出現(xiàn)，這可能意味著某些車(chē)主清晨醒后會(huì)發(fā)現(xiàn)自己的車(chē)被鎖住了，只有繳納贖金才可解鎖汽車(chē)。當(dāng)發(fā)生這種情況后，經(jīng)銷(xiāo)商任何的公關(guān)努力，甚至是免費(fèi)修復(fù)的售后服務(wù)都不可能挽回汽車(chē)制造商或汽車(chē)產(chǎn)業(yè)鏈上任何一家公司的形象。

威索珀?duì)柋硎荆骸坝幸粋€(gè)新的世界在等待我們，我們需要一些新的工業(yè)流程，我們需要新的標(biāo)準(zhǔn)，只有這樣人們才能依賴(lài)這些日新月異的設(shè)備?！?/p>

生成海報(bào)

免責(zé)聲明：本網(wǎng)站內(nèi)容主要來(lái)自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書(shū)面權(quán)利通知或不實(shí)情況說(shuō)明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開(kāi)相關(guān)鏈接。