作者：Alan Grau，Sectigo 物聯網/嵌入式解決方案副總裁

越來越多的汽車開始使用遙控鑰匙來處理各種操作，從簡單地解鎖車輛并遠程啟動它到使用簡單的按鈕按鈕讓您的智能車輛自動從停放的地方行駛到您的位置正在等待。

這些汽車遙控鑰匙可以很棒——而且非常方便——直到一切都變糟。也就是說，直到網絡騙子設法破解您汽車的密鑰卡并試圖造成嚴重破壞，從而花費您的時間、金錢和潛在的安全性。

事實證明，汽車鑰匙扣很容易成為黑客的目標。汽車系統開發商和 OEM 需要實施安全技術平臺，以保護車輛不被盜竊、固定或被黑客控制。

現代汽車本質上是車輪上的軟件——復雜且通常相互關聯的汽車系統集合，如制動、電動鎖、轉向、娛樂、車窗控制等。除了這些很酷的功能之外，下一代汽車還為這種復雜性添加了大量新興的自動駕駛和 ADAS 功能。

結果，隨著車輛中電子控制單元 (ECU) 的數量激增，代碼行數也隨之增加，從而為黑客提供了豐富的機會。

盡管密鑰卡使用內置身份驗證來控制和保護對車輛的訪問，但事實證明，它們很容易成為網絡犯罪分子攻擊車輛系統的目標。除了前面提到的功能外，遙控鑰匙還可用于升降車窗、打開天窗、折疊后視鏡以及設置座位位置和收音機頻道。最近的特斯拉 Model S 和 Model X 遙控鑰匙甚至可用于啟動自動泊車和出車序列。點擊鑰匙上的“召喚”，你的特斯拉就會來找你！

這種豐富的相互關聯的控制功能使密鑰卡加密成為網絡攻擊的非常有吸引力的目標。增加的功能導致更多數據通過此接口傳輸，這意味著黑客在試圖破解加密方案并克隆密鑰卡時攔截和分析更多數據。

密鑰卡安全性如何工作大多數密鑰卡使用射頻識別 (RFID) 轉發器，使其能夠與車輛通信。首先，密鑰卡向車輛發送加密數據；這通常是一個滾動代碼，允許車輛識別密鑰卡。然后車輛解密該數據并使用解密的數據來驗證該特定密鑰卡應該解鎖該車輛。

身份驗證由車輛防盜器（車內的防盜系統）執行。在防盜器成功驗證密鑰卡以防止竊賊啟動車輛之前，汽車無法啟動。

不幸的是，有各種各樣的攻擊已經證明了這種加密是如何被破解的，使得密鑰卡數據被未經授權的一方復制，然后他們可以解鎖車輛并將其開走。

這些攻擊破壞了密鑰卡和防盜器之間使用的加密，導致嚴重的安全漏洞。雖然使用了許多密鑰卡，但大多數都使用類似的底層加密技術。

密鑰卡加密失敗谷歌搜索會很快發現大量密鑰卡加密失敗。由于汽車制造商經常在不同車型年份重復使用技術，因此在一輛汽車中發現的攻擊可能會影響其他汽車制造商和車型。許多汽車制造商甚至在他們的車輛中使用與其他制造商相同的芯片組，這使得黑客更容易弄清楚如何入侵車輛。

如何讓汽車鑰匙扣安全——從硬件開始

硬件必須足夠強大，以支持生成最強大的加密算法進行身份驗證。為了使用密鑰卡實現強大的安全性，汽車制造商必須投資支持非對稱加密的硬件，確保選擇適當的密鑰長度和算法，并驗證所有密鑰是使用足夠的熵（缺乏順序或可預測性）生成的，以確保它們是真正隨機。

改進密鑰卡加密——正確的軟件和 PKI適當的硬件解決方案是為汽車密鑰卡構建安全身份驗證解決方案的第一步。此解決方案必須與不易被擊敗的身份驗證解決方案搭配使用。將非對稱加密與基于證書的身份驗證結合使用可提供強大的黑客攻擊防御。基于證書的身份驗證需要 PKI 解決方案來頒發和管理證書。

Sectigo 的?物聯網身份管理?平臺等解決方案使汽車 OEM 能夠快速輕松地實施可擴展、易于管理且具有成本效益的 PKI 解決方案。

Sectigo IoT 身份平臺是一種自動化的 PKI 管理解決方案，它消除了與保護和驗證連接設備相關的復雜性，以便企業能夠以一種簡單、可擴展、經濟高效的方式保護其基礎設施。該平臺使企業和 OEM 能夠確保其設備的完整性和身份，并通過在汽車及其密鑰卡的生命周期內管理證書來維護這種安全性。

車輛認證的獨特方法

在證明汽車密鑰卡安全性方面發揮領導作用的 OEM 是 Apple。Apple 的 iOS 版本 13.4 包含一個新的“CarKey API”。這個新的 API 與 Apple Wallet 配合使用，使 Apple iPhone 能夠與車輛的身份驗證應用程序進行安全通信。

由于手機將對車輛應用程序進行身份驗證，因此身份驗證的強度仍然取決于汽車制造商對車輛應用程序的實施。然而，這種方法有助于以最少的處理硬件解決許多低成本密鑰卡中引入的問題。

iPhone 具有內置的處理能力和安全功能，可以在不增加密鑰卡成本的情況下實現強大的身份驗證。此外，Apple 的產品始終提供強大的內置安全性，不太可能被輕易入侵。正如您所料，許多其他公司也在開發智能手機應用程序以及實施生物識別身份驗證解決方案以替代或增強基于密鑰卡的解決方案。

總結汽車是我們生活中必不可少的一部分。想象一下，如果網絡***能夠控制移動的車輛會發生什么。想象一下，如果一個不良行為者入侵整個車隊并阻止它們運行，除非支付適當的贖金，否則可能會造成經濟損失。

在為汽車等復雜設備添加安全性時，系統開發人員必須確保車輛能夠抵御常見攻擊，并使用與該設備保護需求一致的加密方案。僅僅因為低成本或方便而使用加密算法是不夠的——尤其是對于下一代智能、自動駕駛汽車而言。

參考文獻：Gizmodo、The Parallax、The Kim Komando Show、CNET、國際密碼學研究協會 (IACR) Transactions on Cryptographic Hardware and Embedded Systems和Engadget

關于作者Alan Grau 在電信和嵌入式軟件市場擁有 30 年的經驗。他是 Sectigo 的物聯網/嵌入式解決方案副總裁，Sectigo 是世界上最大的商業證書頒發機構和專門構建的自動化 PKI 解決方案提供商。Alan 于 2019 年 5 月加入 Sectigo，這是該公司收購物聯網和嵌入式設備安全軟件的領先供應商 Icon Labs 的一部分，他是該公司的首席技術官和聯合創始人，以及 Icon Labs 屢獲殊榮的 Floodgate 的架構師防火墻。他經常在行業演講和寫博客，并擁有多項與電信和安全相關的專利。

審核編輯 黃昊宇