互联网时代汽车安全重在全民素质和硬件（三）

谭晓生：我们俩是同行，我们很清楚，没有攻不破的东西，只要放在那，拿下来仅仅是时间问题。进入车联网的时代，因为网络空间安全造成了汽车车联网的安全威胁到底多大？

吕一平：我觉得这个风险很大，因为现在是智能手机时代，如果发生空间安全问题，可能引起隐私信息的泄露。但车跟人命是相关的，如果真的无人驾驶技术出现，会不会引发一些公共安全事件？无人驾驶车在路上乱开，现在是疯狂的驾驶员把人给撞飞，以后无人驾驶车被恶意操控，会不会造成一些风险？

谭晓生：这里面有一个悖论，任何系统，不敢说他做的系统网络安全不可以被攻破，总有可能被攻破。只要攻破，车变成杀人工具就有可能了。那这样是不是车联网就不要发展了，因为总有可能变成一个杀人工具？

沈峰：所以对汽车行业也是一个挑战，怎么把一些核心的模块能更好地保护、隔离开来？很多主机厂他们都已经在考虑了，比如对给用户提供娱乐体验方面的功能的，可能开放度更高一些，比如双APN通道，一条是专门提供娱乐的，连互联网的，还有跟车辆控制相关的，可能就不走在开放的系统上，可能还是相对比较封闭。也有很多硬件上的保护机制，可能有软件上的保护机制。当然有一点，很难做到100%的安全。但是有一点，尽量保护，同时这个世界上可能99%的人都搞得到，还有1%的人搞到，把问题变成个体问题就会好办一些。

谭晓生：大卫，对汽车制造商来说，成本是很重要的，你怎么看待这个问题？你认为安全风险对于汽车有多大威胁？制造商在保护措施方面应该有多大投入？

大卫·麦克卢尔：我们合作的整车厂和供应商，给你一个指标或者目标基准，这是很难的，刚才我们讲的重点，就是对风险怎样进行量化，优先排序，哪些是重要的，必须采取措施的，或者在短期必须采取措施的。这样就知道你面临什么样的风险、有什么样的工具，这些威胁有什么特别。有的时候风险可能是你看到了，但是到下一代车的时候才能解决。同时整车厂也知道未来会有相关的标准出来，保证网络安全的问题。但是我想要保证网络安全，最好的方法就是在最开始设计的时候就考虑，一旦设计完成生产出来之后，软件装上去以后再要解决问题就很困难，而且可能解决得不是很好。所以对整机厂，我们的建议就是设计的时候，就要开始考虑安全，从第一天就开始考虑安全的问题。车的终身寿命中，保护成本就会比较低。

谭晓生：沈总、黄总，汽车网络安全方面你们所在企业有什么样的考虑？

沈峰：技术发展过程中，这样的事情总会碰到，成本也好、安全也好。比如新能源车，今天的雾霾，你就说必须要做，做的过程中有没有成本？电池成本很高，有些企业没有做好，电池受损燃烧了，产生了一些事故，也不会说因为这些事故就不做了。所以一样，在互联的过程中，也会产生一些网络安全问题，但是这个问题是跟黑客的较量中一直在往前进，我们把安全放在第一位，从最大程度上保护跟消费者的利益。

谭晓生：比如我的team去年破了特斯拉的擎，如果哪天把沃尔沃的车黑了，一个PR出来，您会什么感觉？

沈峰：从黑客角度讲，在市场上可能他会选一些车，这些车有新有旧，厂家由于成本问题，会选择不同的技术，有些技术比较低端，比较容易破，有些高端的，就比较难破。有些技术你要破它完全是可以破的，但是实际场景中你可能达不到，比如要破，必须把装置放在车门边上，一米之内才能破，但实际过程中可能做不到这一点。所以会碰到各种各样的情况。所以黑客一定程度上，也推动着技术往前走。从主机厂角度讲，我会着重看这一块怎么样防止这样的事情发生。

谭晓生：您的回答很专业，就是说漏洞有可能在，但是想办法利用漏洞非常难以成功。

黄少堂：不能因为开汽车比马车出的事故多、死人多，从而就拒绝汽车。人类进步文明从哪里体现？不能因为有互联网，带来很多娱乐、舒适、方便，因为有些“苍蝇”、“蚊子”在旁边，就拒绝进化。道高一尺，魔高一丈，有心要破坏，总是有可能的。那安全来自哪方面？一个是全民素质，第一重要，人没有素质，什么都完了，你防范什么？你锁的是小偷，把门都撬了还要锁干什么？所以一个就是全民教育，一个动作，可以让计算机崩溃，但是要让汽车崩溃，里面是一个人命，下手不要太重。这个是要强调的一点。第二，在硬件设计上，真的有人成心破坏你的车，为什么不用最原始的手段，把刹车管锯一点，都没法启动。再一个简单的OBD口有几根总线，从A到B点用一个铜丝连起来，这个车也完了。我不是告诉你们怎么破坏车，何至于几百万开发一个软件来做呢？就这么简单的事。对无心、并非有意识，带进病毒并不是恶意的，包括制造软件的、发现我们的漏洞，善意提醒我们，善良的错误导致系统崩溃的，这种情况下我们就是防这种，对这样的公司我们也欢迎，怎么防范，怎么做。你悄悄告诉我，我们共同做一个方案，把车子带到一个更高的水平。我们进行一个良性的循环，让我们的网络更安全、人民更舒适。

谭晓生：吕总你对这个观点赞同吗？

吕一平：我赞同。我们是做信息安全专业的，很多时候我们要看，到底做一个文明的黑客，还是做对社会、对产业有价值的？

谭晓生：做信息安全，有个词，就是恶人假说，假设所有人都是坏人，在这个基础上做防范。如果有一定的概率能生存，才能活下来。

吕一平：汽车行业是有汽车第一天起，就是非常关注安全的一个行业。我们和很多主机厂，包括供应商沟通的时候，不用我们怎么强调说危险多大，大家对这个的理解都已经很充分了，我必须保证信息系统引入以后必须保证安全性，安全性没有保障，我没有办法对用户有交代。所以对汽车行业不需要用恐吓或者扒衣服的方法，我们可以坐下来，做好的技术交流、深入的沟通，帮他们搞清楚信息安全风险在哪里。其实汽车行业还是以技术为驱动、安全为首要风险的一个行业。

谭晓生：就是合作，大家就安全问题坐下来，互相形成一个生态圈，就是“生态”。

吕一平：我提4个C，一个就是沟通，相互要有更深的了解，第二个C，就是要跨界，信息安全行业要更多了解汽车行业的技术，汽车行业要了解信息安全给汽车行业带来的价值、帮助，第三就是合作。我们跟很多汽车行业的同仁聊，发现一点，就是大家对信息安全方面的经验、能力、知识、体系没有建立起来，像我们，非常愿意帮助汽车行业建立这样的能力和经验，第四就是融合，到最后我们非常希望渴望看到比如黄总，在广西，你们有自己的信息安全团队，我们做一些配合，我们一起合作、融合，最后让信息安全成为汽车安全的一部分。这是我们努力的方向。

谭晓生：谢谢各位嘉宾！感谢大家的精彩分享，也感谢各位与会的听众们。谢谢大家。