隨著連網汽車變得更加普及，其背後的技術將不斷進步並帶來各種效益。但就像任何技術一樣，這項全新技術也並非全無風險。在這份報告中，我們新增了大量來自去年的研究資料，進一步探討各種可能危害連網汽車的威脅。以下簡單介紹連網汽車各項相關的技術及概念 (5G、雲端、車隊管理及傳統 IT 領域) 將為連網汽車帶來什麼樣的好處以及潛在的威脅。
連網汽車與 5G
談到連網汽車與 5G 技術，就不能不談 5G 如何讓車輛經由「蜂巢式車聯網」(Cellular Vehicle to Everything，簡稱 C-V2X) 與周遭環境互動。儘管 C-V2X 原本在 4G 連網汽車上就能運作，但邁入 5G 之後，C-V2X 才真正開始成熟。而 C-V2X 的設計就是要讓 5G 連網汽車融入周遭環境當中，對周遭事件做出反應。
以下是車輛經由 C-V2X 與周遭環境通訊的幾種情況：
車輛對網路 (V2N)
V2N 有助於傳播訊息，例如：車流狀況、氣候變化，以及公共安全事件。此外，對於車輛內部，V2N 也可讓連線更加穩定，並提供防盜與車隊管理功能。
車輛對裝置 (V2D)
V2D 可利用行人身上的個人裝置或手機將其定位傳送給車輛，讓車輛避開行人。此外，從車內所蒐集的資訊，也有助於車隊管理人員進行數據分析。
車輛對車輛 (V2V)
V2V 可防止車輛之間的碰撞，車輛在行經十字路口時就更安全。當連網汽車接近十字路口時，可直接經由公開金鑰基礎架構 (PKI) 來交換金鑰進而彼此溝通。此外，V2V 在駕駛人平常開車 (如切換車道或尋找停車位) 時也能提供一些協助。
連網汽車與雲端
雲端連網汽車生態系的願景。
我們在報告中探討了將汽車部分電子控制單元 (ECU) 移到雲端的概念。這麼做的好處包括：
- 簡化電器/電子 (E/E) 架構，減少車輛本身必須管理的 ECU 數量。
- 利用雲端運算大幅提升運算效能。
- 提升道路狀況感應能力，最大涵蓋範圍可達半徑 500 公尺。
- 改善油耗、耗電、排放以及車輛運作效率。
- 分散式雲端伺服器加上完整的涵蓋率和低延遲網路，有助於對抗惡意攻擊。
不過雲端式車輛 E/E 架構目前仍存在著風險，車輛的 OEM 設備製造商、供應商及駕駛人必須提防以下幾種常見的雲端攻擊：
- 阻斷服務攻擊 (DoS)
- 中間人 (MitM) 攻擊
- 服務遭到挾持
- 延遲問題
- 組態設定錯誤
- 雲端供應鏈問題
連網汽車與車隊管理
所謂「車隊管理」是指像計程車、卡車、甚至自駕車 (例如無人車) 等大批車輛的統一管理，連網汽車的管理也適用同樣概念。車隊管理可降低成本並提升安全，但也無可避免地會引來網路犯罪集團的覬覦，例如以下威脅：
地下計程車詐騙
駭客地下論壇上販售了一些計程車詐騙軟體，這些軟體會模擬車輛的活動。當連網汽車安裝了這類軟體，就能偽造車輛的行駛與載客記錄，這樣司機就能賺更多錢。
DDoS 與 MitM 攻擊
即使是針對單一連網車輛的攻擊都可能造成重大危險，更何況是針對整個車隊的攻擊，這類攻擊很可能造成危及大量駕駛人及乘客生命安全的災難。
連網汽車與傳統 IT 攻擊
傳統的 IT 攻擊如果發生在連網汽車會是什麼情況？我們分析了四種從遠端挾持車輛的案例 (Jeep Hack 2015、Tesla Hack 2016 與 2017、BMW Hack 2018)，並歸納出一些攻擊模式。
以下是我們觀察到的一些現象：
- 攻擊一開是經由手機行動網路或 Wi-Fi 網路。在全部四個案例中，駭客都曾試圖經由這些管道發動某種中間人 (MitM) 攻擊。
- 駭客必定會攻擊主單元 (head unit)，也就是車輛的資訊娛樂系統，因為主單元在所有車輛當中都有，只不基本款與豪華款車種在功能上會有所區別。所有新式車款的主單元都會與閘道 ECU通訊，因此便成為歹徒駭入車用匯流排網路的最佳入口。
針對每一起攻擊事件，我們都根據 MITRE ATT&CK® 矩陣在報告中提供了完整的分析。
就像絕大多數的網路攻擊一樣，駭客攻擊連網汽車的最大動機就是為了獲利，因此會挑一些獲利較高的目標下手，例如進入車內來竊取駕駛服務、車內財物。或者整台偷走。此外，駭客也可能將目標放在車輛蒐集、產生、儲存及分享的資料，尤其是竊取個人身分識別資訊 (PII) 來賣給有興趣的第三者。還有，駭客也可能竊取這些車輛的網路與運算資源，以及車內儲存的電力。
有關這些網路資安風險及其影響，我們都有詳細的闡述，請參閱我們的報告「連網汽車的網路資安：探索 5G、雲端及其他連網技術的風險」(Cybersecurity for Connected Cars: Exploring Risks in 5G, Cloud, and Other Connected Technologies)。
原文出處：IN TRANSIT, INTERCONNECTED, AT RISK 作者：Numaan Huq、Craig Gibson、Vladimir Kropotov、Rainer Vosseler