“360给奔驰挖了19个漏洞”，车联网给黑客留下的空子要有人来补

小时候，我梦想能有一台车，那时候的我根本不知道什么是速度、什么是激情，当然更不懂为什么速度能带来激情。

想要一辆车的理由很简单，每年北方一进年关总会下雪，这时候，要想进城采购，只有两个选择，要么在冰天雪地里蹬上自行车一路连滚带爬，要么去挤一小时一趟的公交车，年节的公交车，只有后来我在通勤时间的八通线上才感受过同样的拥挤，所以记不清有多少次我是把脸贴在车玻璃上一路摩擦进的城。

总之，我们最初对汽车的需求很简单，它能在迈出家门后保护我们免去风吹、日晒、雨淋，能在一方小天地里隔绝噪音、拥挤，体面的抵达目的地，拓宽行走的边界。

在这样的需求之上，我们才给汽车装上了Bose音响、真皮座椅、换挡拨片，从舒适和性能上满足更多人的需求。

再后来互联网汽车的出现给车增加了智能的属性，车与人的互动变得更加丰富。

但是，一台上万零部件组成的精妙仪器连了网，稳定运行的决定因素就不再单是某个齿轮是否发生了磨损，从某种程度上说，如果不能保障汽车联网后的安全问题，一旦黑客通过网络在汽车驾驶过程中入侵汽车的关键系统，会造成无法挽回的致命后果。

比如说，在控制汽车的转向、制动功能后对驾驶员进行勒索，这样的危害远比计算机数据勒索更严重。

以“WannaCry”为例，WannaCry是2017年爆发的大规模计算机勒索病毒，利用封存关键数据的方法勒索受害者比特币，中招的有大学生的毕业论文、科研院所的研究资料。

相应的，如果这种劫持发生在网联车上，会直接威胁到驾驶人的性命。

360 Sky-Go团队与车联网漏洞

在车联网漏洞的问题上， 360 Sky-Go团队从很早以前就开始做研究。

Sky-Go团队是360集团的智能网联汽车安全实验室，该团队第一次出现在大众视野中是在2014年。

当时市面上的网联车并不多，而特斯拉一定是最受瞩目的一种，特斯拉电动跑车是街道上唯一一个集电动跑车、智能、半自动驾驶于一身的宠儿，360 Sky-Go团队的一次重大研究成果就与这辆跨时代的互联网跑车有关。

在对特斯拉的辅助驾驶系统Autopilot进行研究后，360 Sky-Go的研究人员发现，通过电磁波干扰，攻击者可以让辅助驾驶系统的传感器接收到错误数据。简单来说，可以在前方无车的状态下让传感器认为有车，自动刹车，同样也可以在前方有车的时候，让系统认为前方无车，而继续行驶。

倒车时干扰前方超声波传感器，Autopilot自动刹车

想象一下，当你驾驶特斯拉跑车在路上，放心的把驾驶权交给了辅助驾驶系统，你在车里吃着火锅唱着歌，路边有人手持一个干扰设备影响了辅助驾驶系统判断，不管是自动刹车，还是没有及时转向，后果都会不堪设想。360 Sky-Go团队将漏洞提交给了特斯拉安全部门，特斯拉随后以书面形式对团队表示感谢，并将成绩录入特斯拉名人堂特斯拉。

但是，尽管特斯拉升级了该传感器方案，自从特斯拉Autopilot辅助驾驶系统上线以来，由于该系统失灵原因造成的交通事故致死事件已经多达四起。

事实证明，车联网带来安全威胁不是空穴来风。

如果说，针对特斯拉的漏洞研究影响到的仅仅是一个小众品牌的少量车型的话，几天前，360SKY-GO团队与梅赛德斯-奔驰的研究人员合作修复了19个潜在漏洞。

就这一研究成果，梅赛德斯-奔驰决定向Sky-Go团队颁发卓越奖，梅赛德斯-奔驰和360集团Sky-Go团队计划在近期召开的信息安全会议上共同发布相关研究细节。

距离今年9月份360发布政企战略3.0以来仅3个月，360此次与奔驰达成的合作，是一份非常亮眼的答卷。

虽然漏洞的相关细节暂时无外对外透露，但是360 Sky-Go团队的核心能力不只在于漏洞挖掘，他们已经将漏洞挖掘能力输出为一套完整的车联网安全解决方案，即360汽车安全大脑。

360安全大脑落地车联网

自从2018年360安全大脑解决方案发布以来，汽车安全大脑作为这一解决方案在车联网领域的一个落地场景，已经实现了包括车机管家、车载入侵检测与防御系统、汽车防火墙在内的一系列安全功能。

实际上，据业界人士介绍，上文中提到的有关奔驰的19个潜在漏洞不只在奔驰存在，缺少网络安全防御能力是车联网后很多车商的通病。

如果我们把联网后的汽车看作一个计算机系统，那么防护的主要对象就是动力系统、转向系统。

计算机系统中大多数网络攻击没有实现的原因都是因为网络防火墙的存在，同理，给联网汽车构建防火墙也是隔绝车联网攻击的关键。

当然在技术实现上，汽车防火墙不可能照搬计算机系统防火墙。

360汽车防火墙硬件模块

这块安全芯片是360汽车防火墙的一个关键模块，与计算机系统中的软件防火墙不同，360汽车防火墙采用了主动防御+芯片级的安全防护，硬件设备搭配云端安全运营，从而实现联网监控、系统监控、安全存储密钥的功能。

汽车防火墙是360汽车安全大脑中较有代表性的一项功能，但是应对复杂的车联网环境，光靠防火墙防御还不够。

汽车越智能，安全风险越高

智能车进入大屏时代，在方便车主的同时，也给黑客入侵留下了隐患。

在今天的汽车市场上，越来越多的车商喜欢在汽车上装配大屏，用虚拟按键代替实体键，控制车内空调、玻璃升降、开关车门。

但是随之而来的是更多的安全威胁，因为目前市面上绝大多数的车载娱乐系统都是基于安卓系统定制的，类似于早期的智能手机，这种定制化的操作系统意味着牺牲了系统的安全性，一旦接入互联网，在没有提供相应的网络安全防护服务时，车载娱乐系统马上就会成为攻击发生的重灾区。

更加严重的是，如果车内的关键功能模块也接入了同一网络，黑客就能将娱乐系统做为跳板，威胁到汽车的安全驾驶。

360 Sky-Go研究人员表示：“这种改变将网络空间与物理空间打通了，汽车安全大脑就是保护这些控制接口的安全，防止黑客调用这些控制接口去造成一些事故和事件。”

汽车安全大脑的1.0版本，类似于最早的360手机安全管家，保障车载娱乐系统不被人root，确保控制系统不受劫持，甚至，还能帮系统做清理和加速。

成为网络安全“赋能者”

在今年9月份360的政企安全战略3.0发布会上，周鸿祎表示“360政企安全3.0新战略将执行以‘共建、赋能、投资、培训’构建安全大生态的发展模式，不做网络安全产业的破坏者和颠覆者。“这也意味着，360将更多以合作者的姿态出现在政企安全市场上。

老周随后在会上表示：“360愿意与其他安全企业、客户分享威胁情报和知识库，通过服务来帮助客户提升应对高级网络威胁的综合能力。”

360政企安全战略升级，这一切的核心还是360自身的安全能力。

360在近10年时间里，占据了全国最大的网络安全市场的同时，也积累了庞大的威胁情报能力、安全知识库，以及东半球最大的白帽人才力量，像Sky-Go这样具备核心安全实力的安全团队在360内部非常多。

实际上，漏洞挖掘是一个耗时、耗力的工作，对于一家公司来说，时间、人力、财力的投入，与厂商的漏洞奖励可能完全不成正比，但是在这家以安全能力做为核心支撑的公司里，无数的安全研究人员正是忍受这种漫长而又枯燥的过程。

当然，360重返政企安全市场，要做的事绝不仅仅是给厂商挖漏洞。周鸿祎在ISC 2019互网络安全大会中正式表示：“360愿意把自己的经验、数据、技术、能力开放出来，与大家进行合作，安全大脑要输出威胁情报，挖掘到的漏洞，网络攻防培训，未来可能会给很多单位提供上传接口，会把很多可疑的网络访问或可疑的应用，由安全大脑帮助判断是否具有威胁。“

这表明了，360并不想做单打独斗的英雄，而是要开放自己的安全能力，与其他安全公司合作，共同打造“大安全”生态。

我们有理由相信，在未来的政企安全市场，360或许将不再扮演竞争角色，类似360 Sky-Go这样的安全团队正在夜以继日的将核心技术与安全服务能力打造好，帮助360这个庞然大物的从容转向，成为很多安全公司背后一个技术和数据的赋能者。

也只有这样，360才有可能在国内真正把政企安全大生态做起来，让安全大脑成为真正意义上的国之重器。