2023智能汽车网络安全威胁报告

2023年智能汽车行业的快速发展引领了技术创新的新浪潮，智能化为车主带来了丰富的体验，也为网络安全提出了新的挑战。木卫四汽车威胁情报中心对2023年智能汽车发生的安全事件进行了深入分析，研究了405起安全事件和168个针对汽车的CVE漏洞。在新增事件中涵盖了多种针对汽车资产和远程服务的威胁，例如利用电压故障注入攻击来绕过MCU-Z的AMD安全处理器，攻击特斯拉汽车信息娱乐系统；利用WebSocket通信机制的开放充电站协议（OCPP）漏洞，导致电动汽车充电站无法使用，并导致服务中断；利用T-Box漏洞导致MQTT服务器的地址泄露，攻击者向后端管理车辆的控制器局域网（CAN）注入控制数据等。虽然攻击方法正在增加，但是我们应该感到庆幸，在木卫四VSOC中所检测到的事件和情报中心分析的全球范围的安全事件及暗网的表现，2023年针对汽车的漏洞和攻击事件大部分源于研究性的破解和攻防比赛、车辆改装以及部分功能安全问题，并通过社区、漏洞应急中心进行了上报，这也为我们应对恶意的汽车网络安全威胁赢得了时间。随着GPT的兴起，在AI的协助下，诸如对汽车供应链信息的获取，编写攻击脚本，对二进制代码进行逆向分析，ECU固件分析，漏洞挖掘等攻击手段的门槛会进一步降低，攻击方法会呈现多样性；而随着AI在网络安全中的应用，不仅能够帮助我们更有效地识别和消除威胁，还能应对新型攻击手段，提高系统的防护性和可靠性。随着智能汽车系统变得越来越复杂，AI将成为预测和应对未知威胁的关键工具。智能汽车是否安全不再是单一零部件的问题，而是涉及汽车多种资产和智能化服务的复杂问题，涵盖了针对EEA、软件架构到数据处理，从用户隐私到合规的研究，在这一进程中，将面临新的挑战，同时也迎来新的机遇。