50%的OBD盒子有安全隐患，你还敢用吗？

　　2014 年是车联网的发展元年。ABI 研究公司预计到 2017 年全球 60% 的新车将具备互联网连接。移动设备的数量呈指数级增长，手机应用集成智能汽车的解决方案。手机不是威胁爆发的目的地，而是一个能移动的威胁传输平台：攻击会随着手机的移动性进入到新的领域，由此攻击将扩散开去。汽车随着汽车移动应用进入车载或者车载娱乐系统将变成潜在的攻击目标。车联网安全公司 VisualThreat 在 2014 年研究了国内外 19 家 OBD 产品和近 60 个车联网移动应用。报告研究表明，没有设计自己的私有加密协议而采用开放的通用协议是 OBD 盒子最普遍的安全问题；而代码没有保护措施和泄露用户数据是汽车应用最常见的安全问题和潜在风险。

　　本研究报告调研的车联网应用是从国内外各个应用商店下载的。按照功能分为下面三类：1. 汽车法规，年检，诊断手册类；2. 地图，道路状况实时更新类；3. 汽车诊断，行驶记录仪，车主驾驶习惯收集类。从 OBD 产品的通信方式角度评估风险，把此类安全隐患氛围两类：1. 通讯加密安全（加密强度、解密密钥暴露、应用与服务器通信、服务器安全）；2. 协议安全（通信流程伪造、是否是通信私有协议）。从隐私泄露角度评估风险，研究人员定义了 5 类隐私泄露行为：数据泄漏、短信活动、文件操作、监视和网络活动。在此基础上，结合对手机应用的静态和动态分析，为每一个移动应用生成一份详细的隐私泄露风险分析报告，并计算出对应的 Mobile ThreatCert 安全分数值。从安全隐患角度评估风险，包括 3 个方面： 数据存储安全、功能安全和代码安全。

　　隐私泄露的多少不能直接代表应用安全性的开发水平。事实上很多厂家为了能充分获其应用使用者的个人隐私信息和车辆信息，主动地在应用开发代码中收集过多的用户个人信息，并把这些信息提交到云服务数据库去，建立用户的档案，方便以后的服务推广和广告精准投放。其中地理位置是最常见的收集信息，高达 90% 的车联网 OBD 应用都会收集用户的地理位置用于实时路况，GPS 定位和开车行程等。手机信息（IMSI/IMEI）短信和通讯录信息也属于高频率信息收集范畴。下面这张图是“隐私泄露分数”分布图。高达 70% 的车联网应用有中度到高度用户隐私泄露安全隐患。每 10 个安卓汽车应用中有 7 个具有中度到高度隐私泄露风险

　　调研的应用中，URI 和组件暴露占到了最大的比例分别为 77.2% 和 69.8% 。代码保护方面，代码混淆的技术也没有普遍用到。我们对两家国外的 OBD 产品进行了安全测试，结果一样不容乐观。在其中一家的代码程序里很容易地找到发送指令的函数，而且的私有协议过于简单，只要用手机通过蓝牙对设备发送相应的指令，就能达到控制车的目的。另一家更糟糕，基本上没有防逆向措施，有代码混淆但是混淆强度很弱，无加固，导致代码逻辑泄露。对重新打包无感知。容易被篡改程序流程或者植入恶意 java 代码。

　　2014 年 9 月份美国拉斯维加斯刚刚结束的 CTIA 移动大会指出：到 2017 年， 有 60% 的新车（即 1000 万辆）会装载移动电信模块，72% 的受访用户表示会推迟一年购车专门等待智能汽车的出现。智能汽车全球市场将达千亿美元，只是美国市场就占了 340 亿美元。鉴于之前安卓应用每年增加 7-8 倍的规律，2015 年的汽车应用的数目应该会超出 100 万。不幸的是，由于缺少细粒度和定制化的安全审计流程，当前的所有智能汽车应用平台都没有必要的安全性审计测试，结果导致许多汽车移动应用可能会不知不觉地将获取驾驶者的重要数据，或者对智能汽车进行恶意操控，将驾驶者置于风险之中。

　　因此，市场迫切需要一个把 OBD 端口、车载系统、汽车应用商店安全审计、车联网产品安全渗透测试整合到一起的全面的安全解决方案，并能满足不同车主不同的安全防要求。同时，相关车联网产品厂商需要对自己的软硬件产品做深度安全测试，确保不被黑客利用把攻击带入到车里。