顶象发布《车企App安全研究白皮书》，剖析品牌汽车App的两大类风险

Posted 2023-06-08 顶象技术

近日，顶象发布《车企App安全研究白皮书》。该白皮书总结了当前车企App主要面临的技术威胁和合规风险，详细分析了风险产生的原因，并提出相应安全解决方案。

车企App成汽车品牌首选

自有App成为各品牌汽车的标配，也成为车企必争的新战场。车企App不仅能够实现远程开启空调、门锁、启动车辆等功能，还提供购车、购买配件、维修、保养等基础服务，更承载着优化车主用车体验、构建品牌私域流量池的新任务，成为车企与用户关系运营的重要渠道。

车企App最核心的功能可以概括为服务、社区、商城三个部分。服务是用户使用App的 基础需求；商城通过积分兑换提升用户粘性，通过商品售卖进行获利；社区则承担了增强用户粘性，提高用户活跃的重要功能。随着“以用户为中心”的市场战略和运营策略也在加快落地，车机互联、车友社区、购物娱乐等功能不断完善，车企App用户规模实现快速增长。
除了以上服务，对车辆软硬件的操控，如解锁车门、升降车窗、远程启动、查看车辆行驶轨迹或当前位置等最“原始”的功能。

车企App面临两类风险

随着车企App成为汽车交互的主要入口之一，隐私、安全问题更是频频爆出。一辆智能网联汽车每天会产生大约10TB的数据，驾乘人员的出行轨迹、驾乘习惯、车内语音图像等个人信息都面临着被泄露的风险。攻击者可以通过网络漏洞攻击劫持或控制车辆行驶，实施关闭引擎、突然制动、开关车门等操控。数据显示，2020年全球针对智能网联汽车的攻击达到280余万次。
总体来说，车企App面临技术与合规两重风险。
技术威胁主要是包含ROOT、模拟器攻击、验证码爆破风险、系统API Hook、代理环境、反编译、二次打包、通信、密码爆破、so文件、签名校验、动态调试、进程注入、数据明文储存、Logcat日志、任意文件上传、SQL注入、XSS漏洞等风险。
合规风险主要是监管部门对APP的审查。据2019年到2023年《关于侵害用户权益行为的App》通报显示，共有2142款App/SDK遭到处罚。这些App主要存在违规收集、使用用户个人信息、不合理索取用户权限、为用户账号注销设置障碍等问题，严重侵犯了用户的隐私和合法权益，监管部门按照《网络安全法》、《个人信息保护法》等法律法规，对违法违规的App通报批评，甚至被下架处罚。

车企App遭遇威胁攻击的三个原因

知名汽车网络安全公司UpstreamSecurity发布的2020年《汽车网络安全报告》显示，自2016年至2020年1月份，汽车网络安全事件增长了605%，仅2019年一年就增长1倍以上。按照目前的发展趋势，随着汽车联网率的不断提升，预计未来此类安全问题将更加突出。

第一、从封闭到联网的变化。

随着汽车产业向智能化、网联化、共享化、电动化为特征的“新四化”方向狂飙迈进，汽车不再只是孤立的交通工具，而是成为融入互联互通体系的信息终端，车与车、终端应用、路边基础设施以及云端之间的联通也随之大大增强，由此导致更多的信息安全接入点和风险点被暴露出来。业务、数据、用户信息、运营过程等均处于边界模糊且日益开放的环境中，存在各类风险。

第二、层出不穷的新漏洞。

一辆智能汽车的车载智能设备数量不小于100台，所有程序代码不小于5000万行，因此整个智能驾驶代码将达2亿多行。代码数量越是庞大，软件越是复杂，那么其中包含的漏洞就越多，由此被攻击的概率也就越高。按照目前汽车平均拥有一亿行代码来计算，每辆智能汽车就可能存在10万个缺陷或漏洞。而这些缺陷以及漏洞会造成什么样的风险，没有人可以预测。漏洞是威胁的爆发源头，无论是病毒攻击还是黑客入侵大多是基于漏洞，业务、软件、系统、设备都要漏洞，只是有的被发现有的没被发现。软件漏洞、接口漏洞、管理漏洞等等。

第三、攻击者愈加专业。

攻击者呈现专业化、产业化、组织化的形态，他们熟悉业务流程以及防护逻辑，能够熟练运用自动化、智能化的新兴技术，不断开发和优化各类攻击工具，不断发起各类攻击。
2021年机械工业出版社出版的《攻守道-企业数字业务安全风险与防范》一书和中国信通院2022年发布的《业务安全白皮书》中有详细地分析：

网络黑灰产彼此分工明确、合作紧密、协同作案，每一环节都有不同的牟利和运作方式，形成一条完整的产业链。以大规模牟利为目的网络黑灰产，熟悉业务流程以及防护逻辑，能够熟练运用自动化、智能化的新兴技术，不断开发和优化各类攻击工具，不断发起各类欺诈攻击。

相关数据显示，目前网络黑灰产从业人员近200万之众，每年造成的损失达数千亿元。

车企App安全解决思路

安全加固。针对App普遍存在的破解、篡改、盗版、调试、数据窃取等各类安全风险提供的有效的安全防护手段，其核心加固技术主要包含防逆向、防篡改、防调试及防窃取这四大方面，不仅保护了App自身安全，同时对App的运行环境及业务场景提供了保护。 
安全检测。通过自动化检测和人工渗透测试法对App进行全面检测，并挖掘出系统源码中可能存在的安全风险、漏洞等问题，帮助开发者了解并提高其应用开发程序的安全性，有效预防可能存在的安全风险。
《车企App安全研究白皮书》还详细介绍适用于车企App的安全产品，并着重介绍了多个车企App的安全实践案例，详细可以前往“顶象”官网免费下载。

---

业务安全大讲堂免费直播：立即报名

业务安全产品：免费试用

业务安全交流群：加入畅聊

腾讯安全科恩实验室发布最新研究成果，针对奔驰车载娱乐系统的安全研究

    5月12日，腾讯安全科恩实验室发布《梅赛德斯-奔驰汽车信息安全研究综述报告》（以下简称《报告》），这是安全研究机构首次对现代车载娱乐系统进行全面的安全性分析，对指引车企完善网联汽车安全防护、促进网联汽车产业安全稳健发展具有重要意义。

    腾讯安全科恩实验室遵循行业准则对梅赛德斯-奔驰网联汽车进行安全研究，在对其最新车载信息娱乐系统MBUX的软硬件进行全面深入的研究后，发现多个相关漏洞并成功在车载信息娱乐系统（Head Unit）和车载通讯模块（T-Box）的部分攻击面上实现利用。科恩实验室第一时间向戴姆勒报告本研究中发现的所有漏洞技术细节并协助进行漏洞修复。

    戴姆勒团队充分认可腾讯安全科恩实验室在安全领域国际一流的专业度和技术实力。为感谢科恩在梅赛德斯-奔驰汽车相关信息安全研究中取得的优异成果，戴姆勒股份公司首席信息安全官Daniel Eitler及梅赛德斯-奔驰乘用车车辆信息技术安全负责人Adi Ofek为科恩实验室颁发签名致谢函。

    现代信息娱乐系统比以往更强大、复杂和安全，梅赛德斯-奔驰的MBUX也不例外。据了解，MBUX是梅赛德斯-奔驰最新的车载信息娱乐系统，自2018年A级车型中首次推出后，陆续在梅赛德斯-奔驰E级、GLE、GLS、EQC等车型搭载上市。

    在实验环境中，科恩实验室首先通过物理接触获得车机权限，随后实现车载信息娱乐系统（Head Unit）远程控制。继而能够远程控制车辆的某些功能，例如更改内部氛围灯的颜色，在信息娱乐屏幕上显示图像等。同时，在调试版本的车载通讯模块（T-Box）上，能够入侵T-Box上的内部芯片，可以实现发送任意CAN数据。

    腾讯安全科恩实验室在第一时间向戴姆勒报告了本研究中发现的所有漏洞技术细节，目前所有漏洞细节和攻击方法均已得到戴姆勒官方确认。在整个过程中，科恩实验室与戴姆勒保持紧密高效地合作，严格遵守全球软件和互联网行业公认的“负责任的漏洞披露原则”, 并协助戴姆勒及时修复本次报告中涉及的漏洞。

    腾讯安全科恩实验室作为腾讯集团旗下一支国际一流的信息安全团队，在桌面端安全、移动终端安全等基础安全领域有十多年的积累。近年来，科恩实验室积极布局车联网安全、工业互联网安全和AI安全等前沿方向，技术实力和研究成果达到了国际领先水平。

    自2016年以来，腾讯安全科恩实验室已陆续协助特斯拉、宝马、雷克萨斯等国际知名汽车品牌发现并修复重大安全漏洞，提升整体安全性。

    同时，为了进一步赋能智能网联汽车行业，腾讯安全科恩实验室开放自身核心技术能力，提供给智能网联汽车、安卓应用生态、IoT等行业，并根据产业实际痛点和研究推出了智能网联汽车信息安全行业解决方案，助力厂商修复安全问题并构建全面的安全体系，护航各行业数字化变革。