在 美国纽约大学(New York University；NYU)与乔治•梅森大学(George Mason University；GMU)最近连手发表的研究应用平台的安全分析”(A Security Analysis of an In Vehicle Infotainment and App Platform)中，研究人员揭露了MirrorLink业界标准存在安全漏洞。
MirrorLink是连接智能手机与车载信息娱乐(IVI)系统的业界标准。
MirrorLink技术
汽车制造商经常让可信任的第三方应用程序(App)透过智能手机整合于IVI系统中，它通常经由一组App来实现，其中一个App在智能手机上执行，另一个则执行于连接至车载CAN总线的IVI本身。
“但对于可能控制驾驶人智能手机的黑客来说，这些App、协议与基本的IVI建置究竟有多么脆弱呢？”由NYU Tandon工程学院计算机科学与工程系教授Damon McCoy带领的研究人员们不禁自问？
研究人员们将关注重点放在一线汽车制造商在2015年车款中所建置的IVI系统，并且发现根据公开取得的数据，很容易就能实现对于MirrorLink协议的支持。接着，他们发展出经验证的概念——存在恶意攻击的智能手机App能利用IVI 系统建置的MirrorLink规格发现大量漏洞。
恶意的智能手机应用程序：将MirrorLink图示与名称传送至IVI
他们声称，这些漏洞可能会让攻击者取得在IVI上执行专用程序的控制权，因此，只要掌握了驾驶人的智能手机控制权，当然也可能利用同样的这些漏洞，在车辆内部CAN总线上传送恶意信息。
目前，车辆的原始设定并未启用MirrorLink标准，而是必须经由实体的USB联机，因此，研究人员提醒，必须在黑客攻击行动之前预先作好准备。
MirrorLink协议堆栈
但是，IVI硬件包括802.11配接器，而在未来，MirrorLink还将支持Wi-Fi作为备用的链路层协议。研究人员担心，如果Wi-Fi链路成为标准的一部份，它将使得远程黑客的攻击范围扩大到目标车辆的几百英呎内，甚至取得车辆附近802.11设备的控制权。
然而，这项研究发现恰好就发生在汽车制造商计划为更多App开发人员开放其IVI App平台之际。
这 些研究发现最初曾经先透露给一些连网的汽车制造商，但由于遗漏了有关黑客关键细节而延误了发布。在最近发表的期刊论文中并未提到任何公司名称，因为 MirrorLink已经普遍被汽车制造商所采用，而在文中所披露的漏洞也反映出系统上的问题，因而可能影响到许多制造商和以App实现IVI平台的供应商。
编译：Susan Hong
本文授权编译自EE Times，版权所有，谢绝转载
关注最前沿的电子设计资讯，请关注“电子工程专辑微信公众号”。
