作者：Alan Grau，Sectigo 物聯(lián)網(wǎng)/嵌入式解決方案副總裁

越來越多的汽車開始使用遙控鑰匙來處理各種操作，從簡單地解鎖車輛并遠(yuǎn)程啟動它到使用簡單的按鈕按鈕讓您的智能車輛自動從停放的地方行駛到您的位置正在等待。

這些汽車遙控鑰匙可以很棒——而且非常方便——直到一切都變糟。也就是說，直到網(wǎng)絡(luò)騙子設(shè)法破解您汽車的密鑰卡并試圖造成嚴(yán)重破壞，從而花費您的時間、金錢和潛在的安全性。

事實證明，汽車鑰匙扣很容易成為黑客的目標(biāo)。汽車系統(tǒng)開發(fā)商和 OEM 需要實施安全技術(shù)平臺，以保護(hù)車輛不被盜竊、固定或被黑客控制。

現(xiàn)代汽車本質(zhì)上是車輪上的軟件——復(fù)雜且通常相互關(guān)聯(lián)的汽車系統(tǒng)集合，如制動、電動鎖、轉(zhuǎn)向、娛樂、車窗控制等。除了這些很酷的功能之外，下一代汽車還為這種復(fù)雜性添加了大量新興的自動駕駛和 ADAS 功能。

結(jié)果，隨著車輛中電子控制單元 (ECU) 的數(shù)量激增，代碼行數(shù)也隨之增加，從而為黑客提供了豐富的機會。

盡管密鑰卡使用內(nèi)置身份驗證來控制和保護(hù)對車輛的訪問，但事實證明，它們很容易成為網(wǎng)絡(luò)犯罪分子攻擊車輛系統(tǒng)的目標(biāo)。除了前面提到的功能外，遙控鑰匙還可用于升降車窗、打開天窗、折疊后視鏡以及設(shè)置座位位置和收音機頻道。最近的特斯拉 Model S 和 Model X 遙控鑰匙甚至可用于啟動自動泊車和出車序列。點擊鑰匙上的“召喚”，你的特斯拉就會來找你！

這種豐富的相互關(guān)聯(lián)的控制功能使密鑰卡加密成為網(wǎng)絡(luò)攻擊的非常有吸引力的目標(biāo)。增加的功能導(dǎo)致更多數(shù)據(jù)通過此接口傳輸，這意味著黑客在試圖破解加密方案并克隆密鑰卡時攔截和分析更多數(shù)據(jù)。

密鑰卡安全性如何工作大多數(shù)密鑰卡使用射頻識別 (RFID) 轉(zhuǎn)發(fā)器，使其能夠與車輛通信。首先，密鑰卡向車輛發(fā)送加密數(shù)據(jù)；這通常是一個滾動代碼，允許車輛識別密鑰卡。然后車輛解密該數(shù)據(jù)并使用解密的數(shù)據(jù)來驗證該特定密鑰卡應(yīng)該解鎖該車輛。

身份驗證由車輛防盜器（車內(nèi)的防盜系統(tǒng)）執(zhí)行。在防盜器成功驗證密鑰卡以防止竊賊啟動車輛之前，汽車無法啟動。

不幸的是，有各種各樣的攻擊已經(jīng)證明了這種加密是如何被破解的，使得密鑰卡數(shù)據(jù)被未經(jīng)授權(quán)的一方復(fù)制，然后他們可以解鎖車輛并將其開走。

這些攻擊破壞了密鑰卡和防盜器之間使用的加密，導(dǎo)致嚴(yán)重的安全漏洞。雖然使用了許多密鑰卡，但大多數(shù)都使用類似的底層加密技術(shù)。

密鑰卡加密失敗谷歌搜索會很快發(fā)現(xiàn)大量密鑰卡加密失敗。由于汽車制造商經(jīng)常在不同車型年份重復(fù)使用技術(shù)，因此在一輛汽車中發(fā)現(xiàn)的攻擊可能會影響其他汽車制造商和車型。許多汽車制造商甚至在他們的車輛中使用與其他制造商相同的芯片組，這使得黑客更容易弄清楚如何入侵車輛。

如何讓汽車鑰匙扣安全——從硬件開始

硬件必須足夠強大，以支持生成最強大的加密算法進(jìn)行身份驗證。為了使用密鑰卡實現(xiàn)強大的安全性，汽車制造商必須投資支持非對稱加密的硬件，確保選擇適當(dāng)?shù)拿荑€長度和算法，并驗證所有密鑰是使用足夠的熵（缺乏順序或可預(yù)測性）生成的，以確保它們是真正隨機。

改進(jìn)密鑰卡加密——正確的軟件和 PKI適當(dāng)?shù)挠布鉀Q方案是為汽車密鑰卡構(gòu)建安全身份驗證解決方案的第一步。此解決方案必須與不易被擊敗的身份驗證解決方案搭配使用。將非對稱加密與基于證書的身份驗證結(jié)合使用可提供強大的黑客攻擊防御。基于證書的身份驗證需要 PKI 解決方案來頒發(fā)和管理證書。

Sectigo 的?物聯(lián)網(wǎng)身份管理?平臺等解決方案使汽車 OEM 能夠快速輕松地實施可擴展、易于管理且具有成本效益的 PKI 解決方案。

Sectigo IoT 身份平臺是一種自動化的 PKI 管理解決方案，它消除了與保護(hù)和驗證連接設(shè)備相關(guān)的復(fù)雜性，以便企業(yè)能夠以一種簡單、可擴展、經(jīng)濟(jì)高效的方式保護(hù)其基礎(chǔ)設(shè)施。該平臺使企業(yè)和 OEM 能夠確保其設(shè)備的完整性和身份，并通過在汽車及其密鑰卡的生命周期內(nèi)管理證書來維護(hù)這種安全性。

車輛認(rèn)證的獨特方法

在證明汽車密鑰卡安全性方面發(fā)揮領(lǐng)導(dǎo)作用的 OEM 是 Apple。Apple 的 iOS 版本 13.4 包含一個新的“CarKey API”。這個新的 API 與 Apple Wallet 配合使用，使 Apple iPhone 能夠與車輛的身份驗證應(yīng)用程序進(jìn)行安全通信。

由于手機將對車輛應(yīng)用程序進(jìn)行身份驗證，因此身份驗證的強度仍然取決于汽車制造商對車輛應(yīng)用程序的實施。然而，這種方法有助于以最少的處理硬件解決許多低成本密鑰卡中引入的問題。

iPhone 具有內(nèi)置的處理能力和安全功能，可以在不增加密鑰卡成本的情況下實現(xiàn)強大的身份驗證。此外，Apple 的產(chǎn)品始終提供強大的內(nèi)置安全性，不太可能被輕易入侵。正如您所料，許多其他公司也在開發(fā)智能手機應(yīng)用程序以及實施生物識別身份驗證解決方案以替代或增強基于密鑰卡的解決方案。

總結(jié)汽車是我們生活中必不可少的一部分。想象一下，如果網(wǎng)絡(luò)***能夠控制移動的車輛會發(fā)生什么。想象一下，如果一個不良行為者入侵整個車隊并阻止它們運行，除非支付適當(dāng)?shù)内H金，否則可能會造成經(jīng)濟(jì)損失。

在為汽車等復(fù)雜設(shè)備添加安全性時，系統(tǒng)開發(fā)人員必須確保車輛能夠抵御常見攻擊，并使用與該設(shè)備保護(hù)需求一致的加密方案。僅僅因為低成本或方便而使用加密算法是不夠的——尤其是對于下一代智能、自動駕駛汽車而言。

參考文獻(xiàn)：Gizmodo、The Parallax、The Kim Komando Show、CNET、國際密碼學(xué)研究協(xié)會 (IACR) Transactions on Cryptographic Hardware and Embedded Systems和Engadget

關(guān)于作者Alan Grau 在電信和嵌入式軟件市場擁有 30 年的經(jīng)驗。他是 Sectigo 的物聯(lián)網(wǎng)/嵌入式解決方案副總裁，Sectigo 是世界上最大的商業(yè)證書頒發(fā)機構(gòu)和專門構(gòu)建的自動化 PKI 解決方案提供商。Alan 于 2019 年 5 月加入 Sectigo，這是該公司收購物聯(lián)網(wǎng)和嵌入式設(shè)備安全軟件的領(lǐng)先供應(yīng)商 Icon Labs 的一部分，他是該公司的首席技術(shù)官和聯(lián)合創(chuàng)始人，以及 Icon Labs 屢獲殊榮的 Floodgate 的架構(gòu)師防火墻。他經(jīng)常在行業(yè)演講和寫博客，并擁有多項與電信和安全相關(guān)的專利。

審核編輯 黃昊宇