昨天的一篇文章講到黑客對無人駕駛的巨大威脅，今天我們來聊聊車廠對黑客的態度

　　雖然有半數的產業受訪者認為黑客會將汽車列為攻擊目標，卻只有54%受訪者表示他們的公司有將安全性列為優先考慮。

　　近日美國政府的汽車安全法規主管機關針對汽車廠商公布了一套“網絡安全指導原則（cybersecurity guideline）”（參考鏈接），美國運輸部長Anthony Foxx表示，網絡安全是該部門列為首要優先性的安全議題。

　　顯然美國政府部門期望能在聯網汽車面臨網絡安全威脅之前，預先防范針對車輛的潛在攻擊；主管機關擔憂網絡安全問題可能對未來高度自動化車輛帶來不可挽回的破壞，但是不必太在意這種顧慮，事實證明，汽車產業的一些專家們并不認為黑客對攻擊汽車有興趣。

　　以上的觀點在一份由獨立安全技術研究組織Ponemon Institute進行的調查結果中顯而易見；該機構表示，調查的目標是收集產業界在安全實踐狀態上的信息；該調查回收了500位受訪者的問卷，所有受訪者都有直接參與汽車軟件開發，其中有44%的受訪者來自車廠，其余則是任職于汽車零組件供應商。

　　Ponemon調查的贊助商之一，Security Innovation產品管理與營銷總監Gene Carter表示，有鑒于在過去12個月以來數起引起大眾注意的汽車網絡安全事故，人們可能會預期汽車產業對于網絡安全的態度將有革命性的轉變；但調查結果卻發現，汽車廠商與零組件供應商并沒有將網絡安全列為車輛開發的優先考慮：“汽車產業在完全準備好應對網絡安全之前，還有很長一段路要走。”

　　根據來自500位受訪者的回饋，只有52%的人認為黑客會主動將汽車列為攻擊目標，該數字比前一年的調查結果44%略增──難道Jeep車款被黑客成功入侵、導致車廠克賴斯勒（Chrysler）在2015年召回140萬輛汽車，并沒有在該產業敲響警鐘？看來并沒有。

　　認為黑客會把汽車列為攻擊目標的受訪者比例 （來源：Ponemon Institute）

　　而雖然有半數的產業受訪者認為黑客會將汽車列為攻擊目標，卻只有54%受訪者表示他們的公司有將安全性列為優先考慮。此外，只有不到一半（42%）的受訪者表示，他們的公司在設計、實作與測試等產品開發程序中納入了嚴苛的安全性需求。

　　Carter表示，就算是某些產業已經開始接受了汽車黑客會真正成為威脅的現實：“汽車廠商與零組件供應商的行為在因應此一日益顯著的疑慮方面，并沒有什么改變。”

　　誰該負起責任？

　　Ponemon的調查也詢問受訪者，最終誰該在汽車開發過程中負責確保安全性？對此Carter解釋：“我們問這個問題是因為答案能顯示汽車廠商在推動網絡安全的優先地位。”

　　而調查結果顯示，受訪者認為在汽車開發過程中最該負責確保安全性的角色依次為：首席信息官（CIO，22%）、首席信息安全官（Chief information Security Officer，17%）、品保部門（Quality Assurance，18%）、開發工程師（12%）與合作伙伴（11%）。

　　然而只有五分之一（19%）的受訪者認為，沒有人應該在汽車開發過程中承擔所有的確保安全性之責任：“這是一個警訊，意味著沒有人負責。”

　　誰該為確保安全性負責 （來源：Ponemon Institute）

　　該調查結果也顯示，只有15%的受訪者覺得安全性已經完全整合到汽車產品開發過程中；約一半（47%）的受訪者則認為，安全性是在開發過程的最后才被加入的。不只是安全性并未整合在產品內部，調查還發現有超過一半（55%）的公司并沒有將安全性架構納入供應鏈以及合作伙伴網絡。

　　Carter的觀察是：“將安全性視為附加物，明確顯示安全性并非眾多廠商的優先考慮；”他表示，要達到最佳效果，網絡安全必須在車輛或汽車零件開發的最早階段就被列為必備項目。

　　連網汽車安全面臨之挑戰

　　在被問到保障車用軟件安全面臨的主要挑戰有哪些時，受訪依據嚴重程度所列出的包括：缺乏技術人員（65%）、推行壓力（65%）、資源不足（58%）、缺乏明確的企業應用程序安全策略（43%）、缺乏正式的安全需求（34%）、時間限制（18%），以及支出（11%）。以上結果與2015年度的結果類似，只有因為推行壓力一項，由去年度的54%大幅增加。

　　確保車用軟件安全性面臨的挑戰 （來源：Ponemon Institute）

　　平心而論，在實踐汽車網絡安全性方面，汽車產業因為舊有技術占據主導地位而面臨幾乎無法克服的挑戰；Carter表示，舉例來說，目前的CAN總線與OBD-II功能阻礙了讓汽車朝更有保障的方向發展，而在汽車內隨處可見的CAN總線，其實并不是一個實現網絡安全的好平臺，要改變需要不少投資，但也許汽車廠商認為這風險太大。

　　顯然產業界對于汽車黑客的憂慮有所提升，但反應還是超嫌薄弱；令人好奇的是，調查結果顯示汽車廠商對汽車的安全性弱點之意識提升了近10%，但汽車零組件供應商的反應更慢。

　　Carter猜測這是因為：“零組件供應商的營運利潤真的非常低，安全意味著成本，除非汽車廠商要求他們添加安全性，而且他們也愿意為此掏錢投資；然而要改變汽車零組件供應商的心態可能會很困難。”

　　用哪些工具實現安全？

　　Ponemon的調查還發現，汽車產業已經開始利用各種安全性工具：有超過一半（53%）受訪者表示他們已經在使用安全啟動（secure boot）功能，有44%受訪者表示有使用加密通訊，42%使用加密數據儲存，還有39%采用了端點認證（endpoint authentication）。

　　而調查的結論是，“雖然趨勢有鼓勵的作用，采用了那些安全工具與技術的廠商比例仍然偏低，只有24%的受訪者表示公司采用威脅模型分析（Threat Modeling）等高階風險評估工具，而這是經證明的、能在產品開發過程發現安全漏洞的方法，這是最有效（節省）的固定工具。”

　　汽車廠商使用的系統安全性功能 （來源：Ponemon Institute）

　　美國國家公路交通安全管理局（NHTSA）公布的五大汽車網絡安全目標綱要包括：

　　? 推廣并分享汽車網絡安全知識； ? 設定以產業為基礎的最佳實踐以及自愿性標準； ? 開發能抵御汽車黑客入侵的軟件； ? 確定最低性能標準的可行性； ? 收集研究數據，讓所有產業界以及NHTSA能用以開發策略與法令。

　　那些不一定是NHTSA施加于汽車廠商的最嚴苛網絡網絡安全目標，其實還相對較寬松、開放且流暢；NHTSA局長Mark Rosekind表示，在技術與網絡安全持續變動的環境中，只有單一解決方案是不夠的，所有相關業者應該繼續行動、適應并跑在惡意者的前面。

　　有美國國會議員批評NHTSA的指導原則是對汽車產業太友善，因為如果現今的汽車是有輪子的計算機，就需要強制性的標準而非自愿性的指引，才能確保汽車不被黑客入侵、不讓民眾的生命安全與隱私暴露在危險中。