有一个问题一直困扰着我们:在汽车智能网联“大流行”的时代，我们获得了便利，背后有哪些风险？我们的汽车面临着哪些信息安全风险，车主的什么样的权益可能会受到危害。为此，我们与JIVIC汽车信息安全实验室合作，希望能够通过科学严谨的测试来探索这样一些问题。经过前期对车联网App的大量测试，我们得知信息安全是一个大家都在努力的问题，但还需要继续多加关注。
我们和很多从事汽车信息安全技术的企业和从业者交流过，得到了这样一个令人震惊的结论:所有联网设备都无法破解，当然也包括汽车。但是，这并不代表车企在信息安全上投入的精力和费用全部白费。相反，它们非常有价值。
《速度与激情8》中有一个经典片段，反派黑客入侵了纽约曼哈顿街道一整个区域的1000多辆汽车，并控制它们拦截部长的车队。
当然，真实的生活中没有科幻小说，但汽车被“黑客团队”破解却是常事。从2021年到2021年，黑客入侵汽车的事件不断发生。据上游最新报告统计，公开报道的针对智能联网汽车的网络安全攻击事件从2021年的80起激增至2021年的155起，攻击类型也呈现多元化发展的新趋势。其中比较知名的涉及Jeep丰田特斯拉品牌，这三起事件恰好对应了入侵汽车的三种主要方式。
他们可以在不接触汽车的情况下入侵和控制汽车的多媒体系统、动力系统和制动系统。危机导致克莱斯勒召回140万辆汽车。
2021年3月，腾讯Cohen Lab指出雷克萨斯和丰田车型存在安全漏洞，黑客可通过识别出的蓝牙安全漏洞运行部分汽车功能。
越来越多的攻击表明，黑客对于不同攻击面的研究能力越来越深，黑客使用自制破解工具进行攻击的情况屡见不鲜。黑客的破解工具和破解教程还可以在黑暗网络论坛买到。
信息漏洞的风险极高。一旦被利用，车辆上常见的问题包括数据隐私泄露、软件系统篡改、系统故障失控、车辆被盗甚至远程控制等。
测试内容涵盖广播、证书、存储文件、信息、描述文件、网页和病毒等。在测试结果中，我们会逐一说明这样一些方面的漏洞和警示可能给车主带来的影响和风险。
之所以测试安卓系统环境，是因为苹果iOS系统的App Store有自己的检查流程，安全性已经过某些特定的程度的检查。因为软件包形式的问题，测试iOS版本应用需要厂家发，所以第一批15个应用是在安卓环境下使用APK软件包测试的。
后续与JIVIC汽车信息安全实验室还将在汽车网络架构安全、设备安全、ECU安全、无线连接安全等领域进行深度合作。
这是一件可怕的事情，所以证书的安全性和唯一性很重要。一般好的云会定期更新包含密钥和公钥的CA。更新过程需要严格的认证体系，主要依赖于用户的专用设备、用户ID和密钥，也给文件安全带来了很高的加密要求。
其实这是一种高级的方法，但风险是在使用前提示用户完成初始化证书配对认证。假如没有这样的过程，就从另一方面代表着没有预制的认证，后续的认证过程可能会出现被复制的风险。
最危险的是钥匙被发现并被替换。在文件和信息的疑似API关键测试中，福特和雪佛兰MyChevy的警告号分别为177和107，这部分的风险需要单独说明。
一个好的加密功能会使用动态密码来保护密钥信息，也就是使用动态白盒。白盒工具本身价格不低，只对C语言有效，有一定的成本和技术门槛。是否使用类似技术也在某些特定的程度上区分了软件对密钥等文件的保护能力。当然，安全性要求更高的软件，比如我们常见的支付宝、微信支付，也会和手机公司签约预制TEE，与手机中的安全芯片配对绑定。这是一种更安全的方式，但在车联网控制App领域，还没有人这样做。
第一批测试的应用有15款，其中7款来自6个海外汽车品牌，另外8款全部来自中国汽车品牌移动车协App。在测试的应用中，海外品牌的漏洞和警告数量普遍较少。如果将本文七款应用中漏洞和警告数量最多的福特学校放在第一批测试应用中，其漏洞和警告数量只会排在第五位。海外品牌的整体安全性能优于中国品牌。当然，鉴于功能丰富度的差异，也涉及到“多犯错误”的问题。
测试中的问题大多分布在在本地和信息文件测试中。这些漏洞可能会引起包括账户密码在内的信息泄露，因此导致车辆被盗等风险。但由于驾驶机构的管控权限很少向手机App开放，基本不存在极度影响行车安全的风险。
就像开头说的，没解决不了的系统，即使是性能最好的本田本田本田，总会出现一些明显的异常问题，我们要理性对待。无论结果好坏，我们都希望厂商能够重视App的信息安全，推动厂商提升用户的信息保护能力，减少和规避用户在使用便利功能时所面临的风险。
感谢你看到结局。下期我们将公布其余8款中国品牌应用的信息安全测试结果。欢迎各位关注智能车联App的安全测试。在，一直有一句话，汽车安全无小事。和你一起鼓励。
