去年我參與一個(gè)小型車隊(duì)的無線安全評(píng)估那天下午我和同事把設(shè)備架在路側(cè)綠化帶邊上筆記本接了一個(gè)軟件無線電接收器調(diào)到 433MHz。不到五分鐘屏幕上就刷出了一串胎壓檢測(cè)系統(tǒng)的廣播報(bào)文其中幾幀里帶著完整的傳感器 ID、胎壓值、溫度甚至加速度數(shù)據(jù)。車隊(duì)負(fù)責(zé)人站在旁邊問這些數(shù)據(jù)能干嘛我說能追蹤你們每一臺(tái)車而且不需要破解任何密碼因?yàn)檫@條鏈路壓根就沒有加密。他當(dāng)時(shí)愣了很久。這件事其實(shí)已經(jīng)不是什么新鮮結(jié)論了。過去幾年國(guó)內(nèi)外多個(gè)安全研究團(tuán)隊(duì)都發(fā)布過類似的分析豐田、奔馳、雷諾、現(xiàn)代等不少車企的胎壓檢測(cè)系統(tǒng)TPMSTire Pressure Monitoring System在無線通信環(huán)節(jié)使用了明文廣播。如果你了解一點(diǎn)點(diǎn)射頻協(xié)議和信號(hào)處理就能在路邊用幾百塊的軟件無線電設(shè)備被動(dòng)接收這些報(bào)文并把每一輛車和它的傳感器 ID 關(guān)聯(lián)起來進(jìn)而實(shí)現(xiàn)大范圍的車輛追蹤。這不是鍵盤上的 0day 攻擊更像是“開著大門的小屋”——問題不復(fù)雜但暴露面很真實(shí)。我說清楚這個(gè)問題的原理、影響范圍、我們能做什么以及這件事背后更值得關(guān)注的智能汽車安全設(shè)計(jì)通病。無論你是車主、汽車工程師、安全從業(yè)者還是單純對(duì)車聯(lián)網(wǎng)隱私感興趣這篇文章都能給你一個(gè)完整的視角。1. 事件拆解為什么一顆胎壓傳感器的廣播會(huì)扯上車輛追蹤1.1 TPMS 的工作機(jī)制與鏈路結(jié)構(gòu)TPMS 全稱 Tire Pressure Monitoring System中文叫胎壓監(jiān)測(cè)系統(tǒng)主要作用是實(shí)時(shí)監(jiān)測(cè)四個(gè)車輪的氣壓和溫度。一旦某個(gè)輪胎出現(xiàn)慢漏氣、溫度過高或者氣壓異常系統(tǒng)就會(huì)在儀表盤上給出報(bào)警提醒車主及時(shí)處理。整個(gè)系統(tǒng)分為兩部分傳感器和接收器。傳感器安裝在每個(gè)車輪的輪轂上也有部分車型裝在氣門嘴位置內(nèi)部包含壓力傳感器、溫度傳感器、加速度計(jì)、MCU 和一顆紐扣電池。它平時(shí)處于低功耗休眠狀態(tài)當(dāng)車輛行駛后車輪轉(zhuǎn)動(dòng)加速度計(jì)喚醒 MCU傳感器開始測(cè)量然后通過射頻發(fā)射器把數(shù)據(jù)包廣播出去。接收器安裝在車身的網(wǎng)關(guān)或儀表盤控制單元附近負(fù)責(zé)接收四顆傳感器有的車型還有備胎傳感器發(fā)來的射頻信號(hào)解調(diào)出胎壓溫度數(shù)據(jù)在儀表盤上顯示并在異常時(shí)觸發(fā)報(bào)警。兩條核心鏈路一條是傳感器到接收器的單向上行射頻鏈路另一條是接收器到儀表盤/網(wǎng)關(guān)的車內(nèi)總線鏈路。前一條用的是 315MHz北美常見或 433MHz歐洲、亞洲常見的 ISM 頻段后一條大多是 CAN 總線。1.2 報(bào)文結(jié)構(gòu)與“固定 ID”這個(gè)關(guān)鍵錨點(diǎn)TPMS 的無線報(bào)文本身是一種遙測(cè)數(shù)據(jù)包。雖然各家車企的私有協(xié)議細(xì)節(jié)不一樣但報(bào)文里通常包含這幾類字段它們像一張公開的名片把每輛車都區(qū)別開來傳感器 ID一般是一個(gè) 8 到 32 位的編號(hào)在出廠時(shí)寫入傳感器整輛車的生命周期內(nèi)都保持不變。胎壓值通常用 kPa 或 psi 表示。輪胎溫度單位是攝氏度。加速度/運(yùn)動(dòng)狀態(tài)字段用于判斷車輛是否在行駛。電池電量狀態(tài)位傳感器電池電壓低時(shí)會(huì)設(shè)置報(bào)警位。最關(guān)鍵的是傳感器 ID。這個(gè) ID 本身沒有經(jīng)過任何加密處理直接以明文形式出現(xiàn)在無線電波里。而駕駛者看車牌號(hào)還要隔著幾十米才能識(shí)別但射頻信號(hào)的識(shí)別距離遠(yuǎn)得多——只要在數(shù)百米內(nèi)有接收設(shè)備你的車就會(huì)被“點(diǎn)出”一個(gè)唯一身份。1.3 為什么車企默認(rèn)不做加密很多第一次聽說這個(gè)問題的朋友反應(yīng)是這不科學(xué)啊現(xiàn)在都 2024 年了車企連個(gè)加密都舍不得做事實(shí)上這不是“舍不得”三個(gè)字能說清楚的。TPMS 傳感器是極端低功耗設(shè)備。一顆紐扣電池要用 5 到 10 年工作期間每幾秒發(fā)一次報(bào)文平時(shí)必須深睡。在這種功耗預(yù)算下加解密運(yùn)算需要占用額外的算力和能耗一個(gè) 16MHz 或 32MHz 的 MCU 跑非對(duì)稱加密確實(shí)很吃力但這并不是無法解決的——真正卡住車企的是成本與市場(chǎng)節(jié)奏。TPMS 帶有強(qiáng)安全法規(guī)屬性美國(guó) NHTSA 在 2007 年就強(qiáng)制所有乘用車安裝 TPMS歐盟在 2012 年起也對(duì)新車提出胎壓監(jiān)測(cè)要求。法規(guī)要求的是“必須有這么個(gè)功能”并沒有要求“無線鏈路必須加密”。各大車企為了滿足法規(guī)、控制成本、壓縮開發(fā)周期直接選用了市面上成熟但不加密的芯片方案。還有一個(gè)客觀原因TPMS 傳感器是消耗件輪胎換位、輪組更換時(shí)可能重新配對(duì)。如果做復(fù)雜的雙向認(rèn)證就會(huì)導(dǎo)致配對(duì)過程變得麻煩車主在第三方輪胎店換傳感器時(shí)也可能因?yàn)槭跈?quán)問題去不了。這屬于典型的“安全影響用戶體驗(yàn)產(chǎn)品經(jīng)理選擇了放棄”的取舍。所以說未加密不是疏漏而是長(zhǎng)期以來的設(shè)計(jì)慣性。只不過隨著汽車逐漸智能化、聯(lián)網(wǎng)化這個(gè)慣性正在變成實(shí)實(shí)在在的隱私風(fēng)險(xiǎn)。2. 追蹤攻擊的技術(shù)原理被動(dòng)監(jiān)聽如何實(shí)現(xiàn)車輛定位2.1 被動(dòng)采集你只需要一臺(tái) SDR先給對(duì)射頻不太熟的朋友解釋一下TPMS 信號(hào)的發(fā)射本身就是無差別的廣播傳感器不會(huì)去確認(rèn)“接收器是不是我自己車上的”只要功率夠、頻點(diǎn)對(duì)準(zhǔn)任何一臺(tái)能解調(diào)該協(xié)議的設(shè)備都能“偷聽”。實(shí)操層面現(xiàn)在做這件事的門檻非常低。一種方式是硬件直接解調(diào)買一個(gè)價(jià)格在 1000 元左右的多通道無線電接收器比如 Great Scott Gadgets 的 Yard Stick One配合電腦上現(xiàn)成的 TPMS 解調(diào)腳本插上 USB 天線就能抓包。另一種方式是使用軟件無線電SDR例如價(jià)格 200~400 元的 RTL-SDR 電視棒配合開源的通用無線電工具GNU Radio以及網(wǎng)上現(xiàn)成的 TPMS 協(xié)議解析模塊幾十行 Python 就能把報(bào)文里的字段解出來。我實(shí)測(cè)過用 RTL-SDR 在路邊接收經(jīng)過車輛的 TPMS 信號(hào)在一分鐘流量約 60 輛車的城市道路上平均能抓到 30 輛以上車輛的明文報(bào)文。整個(gè)過程不接觸目標(biāo)車輛、不干擾任何信號(hào)、不觸發(fā)目標(biāo)車上任何告警是完全被動(dòng)的監(jiān)聽。2.2 多點(diǎn)部署用“同一 ID 在不同地點(diǎn)的出現(xiàn)”畫出軌跡單獨(dú)抓到一個(gè)傳感器 ID 只能說明“有輛車經(jīng)過了這個(gè)點(diǎn)”。要實(shí)施車輛追蹤關(guān)鍵在于多點(diǎn)采集和 ID 交叉關(guān)聯(lián)。攻擊成本可以從兩個(gè)維度看單點(diǎn)長(zhǎng)時(shí)監(jiān)聽固定安裝接收器在一棟樓、一個(gè)停車場(chǎng)或一條主干道邊持續(xù)記錄經(jīng)過車輛的時(shí)間戳和傳感器 ID形成“某時(shí)間段內(nèi)有哪些車經(jīng)過”的數(shù)據(jù)積累。多點(diǎn)網(wǎng)格化部署在城市多個(gè)路口布置同樣的接收節(jié)點(diǎn)當(dāng)車輛駛過路口 A 時(shí)節(jié)點(diǎn) A 記錄 ID 和 RSSI 信號(hào)強(qiáng)度駛過路口 B 時(shí)節(jié)點(diǎn) B 也記錄到同一個(gè) ID。把兩個(gè)時(shí)間戳和信號(hào)強(qiáng)度一對(duì)比就知道這臺(tái)車從 A 開到 B 用了多少分鐘順藤摸瓜形成一條完整的行駛鏈路。RSSI 信號(hào)強(qiáng)度這個(gè)參數(shù)很重要。同一顆傳感器發(fā)射的射頻信號(hào)距離接收天線越近信號(hào)越強(qiáng)。單一節(jié)點(diǎn)只能估出車輛距節(jié)點(diǎn)大概多遠(yuǎn)但多個(gè)節(jié)點(diǎn)同時(shí)收到用三角定位原理就能把車輛的位置逼近到幾十米的誤差范圍內(nèi)。在城市路口布置三到四個(gè)接收節(jié)點(diǎn)配合 RSSI 測(cè)量基本可以做到“雙向車道級(jí)”的定位。這個(gè)攻擊意味著什么只要攻擊者在目標(biāo)車輛經(jīng)常出現(xiàn)的地方比如嫌疑人的小區(qū)門口、公司樓下布下幾個(gè)接收器一段時(shí)間內(nèi)就能積累目標(biāo)車輛的 TPMS ID 庫之后無論它開到哪里只要經(jīng)過己方網(wǎng)格節(jié)點(diǎn)就會(huì)被自動(dòng)識(shí)別和上報(bào)。2.3 這個(gè)方案的實(shí)際局限在哪里追蹤技術(shù)是有效的但不是沒有短板。干擾很常見TPMS 發(fā)射功率很低通常在 0 dBm 上下典型接收距離在開闊地約 100 到 300 米城市環(huán)境下由于建筑遮擋可能縮到幾十米。所以你要做成全覆蓋的追蹤網(wǎng)絡(luò)節(jié)點(diǎn)密度需求是非常高的成本遠(yuǎn)超裝 GPS 追蹤器。其次TPMS 傳感器只在車輛行駛且車輪啟動(dòng)后周期性發(fā)射。車輛熄火停放時(shí)傳感器進(jìn)入休眠廣播停止無法通過 TPMS 定位靜止車輛。這個(gè)局限直接限制了對(duì)“停車后人在哪”的追蹤。第三數(shù)據(jù)鏈路單向被動(dòng)采集無法實(shí)時(shí)推送車輛位置到攻擊者手機(jī)。除非攻擊者在每次節(jié)點(diǎn)捕獲后做網(wǎng)絡(luò)回傳否則這套網(wǎng)格系統(tǒng)實(shí)際部署復(fù)雜度很高不是小白能玩的。但這些局限并不能消除核心問題明文廣播把“一個(gè)穩(wěn)定的車輛指紋”暴露在空間里而且這個(gè)指紋不像車牌號(hào)關(guān)不掉也撕不下刷不掉。對(duì)于有能力部署網(wǎng)格的專業(yè)機(jī)構(gòu)來說TPMS 就是一個(gè)免費(fèi)的車輛追蹤基礎(chǔ)設(shè)施。3. 威脅不止于追蹤偽造報(bào)文與其它連鎖風(fēng)險(xiǎn)3.1 偽造 TPMS 報(bào)文偽造一場(chǎng)“爆胎”報(bào)警TPMS 追蹤問題廣為人知之后我們?nèi)ψ永镉懻摰牟粌H是“讀”還有“寫”。既然協(xié)議是明文的傳感器 ID 可見調(diào)制方式和編碼方式是公開的那攻擊者完全可以偽造一幀“0 kPa”的報(bào)警報(bào)文用同一頻點(diǎn)、大功率在目標(biāo)車輛經(jīng)過時(shí)發(fā)送。接收器對(duì)比 ID 匹配后會(huì)在儀表盤上觸發(fā)高壓報(bào)警甚至有可能觸發(fā)車輛低速行駛時(shí)的“請(qǐng)立即檢查胎壓”提示。誘導(dǎo)車停在路肩這件事危害遠(yuǎn)比想象大。高速路上一旦儀表盤突然彈出“當(dāng)前輪胎壓力為 0”多數(shù)駕駛員的反應(yīng)是猛踩剎車減速、靠邊停車萬一后車距離近直接導(dǎo)致追尾。這是典型的無線電制造“軟故障”卻能引發(fā)物理事故。這里需要說明不同車企對(duì) TPMS 報(bào)警的處理邏輯不太一樣有的只顯示圖標(biāo)有的會(huì)有聲音提示和儀表文字提示。要實(shí)際達(dá)到“逼停一臺(tái)車”的效果還需要結(jié)合具體車型做針對(duì)性協(xié)議分析。但從攻擊者角度這遠(yuǎn)比網(wǎng)絡(luò)攻擊門檻低。3.2 重放攻擊同一個(gè) ID重放同一段報(bào)文重放攻擊在無線通信里是老面孔了。攻擊者錄制一段包含某傳感器 ID 的 TPMS 報(bào)文稍作修改后在同一頻點(diǎn)上反復(fù)重放。如果目標(biāo)車型的接收器沒有做報(bào)文計(jì)數(shù)或時(shí)間戳校驗(yàn)就可能被欺騙實(shí)際胎壓正常儀表盤卻一直報(bào)警。更微妙的是重放攻擊還能用于偽造“車輛狀態(tài)”的假象比如傳感器信號(hào)被重放到錯(cuò)誤的時(shí)段接收器可能誤以為車輛剛啟動(dòng)。雖然 TPMS 報(bào)文觸發(fā)不了車輛啟動(dòng)等核心功能但在汽車安全研究里它往往成為攻擊鏈中的一環(huán)——攻擊者在嘗試接觸車內(nèi)總線、OTA 升級(jí)接口或診斷口時(shí)先用 TPMS 重放制造一個(gè)可乘之機(jī)比如誘導(dǎo)車主下車、誘導(dǎo)車主開窗操作這就是社會(huì)工程學(xué)和無線攻擊的交叉應(yīng)用了。3.3 從一條射頻消息到車主身份隱私串聯(lián)單看一條 TPMS 報(bào)文陌生人只會(huì)看到一個(gè)十六進(jìn)制 ID。但攻擊者只要做一次“線下關(guān)聯(lián)”就能把 ID 變成真實(shí)身份。最典型的場(chǎng)景是停車場(chǎng)攻擊者在某個(gè)高端小區(qū)地下車庫出口放置接收器連續(xù)記錄每天出入車輛。某個(gè)夜晚他可以拍攝到某輛車的車牌并記下車型顏色用 SDR 在同一時(shí)間窗口抓取這輛車的 TPMS ID。一次操作ID 和車牌就綁定了。之后ID 關(guān)聯(lián)的車牌有了身份信息交通違章、保險(xiǎn)、登記信息都在這套系統(tǒng)里傳感器的明文 ID 就成了這輛車的“電子身份證”。而且這個(gè) ID 幾乎終身不變只要車不換傳感器動(dòng)作永遠(yuǎn)暴露在監(jiān)聽網(wǎng)絡(luò)之下。這在歐盟已經(jīng)引發(fā)了監(jiān)管層面的關(guān)注2023 年歐洲一些隱私保護(hù)機(jī)構(gòu)開始討論 TPMS 信號(hào)是否構(gòu)成 GDPR 下的“個(gè)人數(shù)據(jù)關(guān)聯(lián)物”因?yàn)橐坏?ID 與自然人身份關(guān)聯(lián)它已經(jīng)具備身份識(shí)別能力。國(guó)內(nèi)雖然還沒有明確法規(guī)說“TPMS 明文廣播違法”但在車聯(lián)網(wǎng)數(shù)據(jù)安全標(biāo)準(zhǔn)如 GB/T 40855-2021和智能網(wǎng)聯(lián)汽車信息安全相關(guān)的標(biāo)準(zhǔn)里對(duì)遠(yuǎn)程通信鏈路的數(shù)據(jù)加密已經(jīng)提出了明確要求而 TPMS 這條鏈路恰好在合規(guī)審計(jì)中容易被漏掉。4. 車企整改路線圖從“明文裸奔”到“低功耗加密”4.1 加密不是不行是要選對(duì)方向先說結(jié)論TPMS 完全可以做加密只是不能照搬手機(jī)和電腦那套重加密方案。TPMS 傳感器端約束非?？量蘉CU 主頻低通常 16MHz~48MHzRAM 小幾百字節(jié)到幾 KBflash 也只有幾十 KB電池容量往往在 200~400mAh 之間壽命要求 5~10 年。這意味著非對(duì)稱加密RSA/ECC 簽名驗(yàn)簽雖然理論上可行但每次發(fā)射報(bào)文前都要做一次簽名運(yùn)算功耗和時(shí)間成本都比較高?，F(xiàn)實(shí)中更合理的形態(tài)是輕量級(jí)對(duì)稱加密 動(dòng)態(tài)滾動(dòng)碼。以 AES-128 為例在 48MHz 的 MCU 上執(zhí)行一次分組加密只需要幾十微秒單次加密電流增加約 1~2mA持續(xù)時(shí)長(zhǎng)極短。配合極低功耗的喚醒周期管理對(duì)電池壽命的影響可以控制在整顆電池容量的 5% 以內(nèi)。車企完全可以用一個(gè) 128 位 AES 密鑰對(duì) TPMS 報(bào)文做加密和完整性校驗(yàn)外加計(jì)數(shù)器滾動(dòng)讓重放攻擊無效化。當(dāng)然密鑰管理是個(gè)新問題傳感器和接收器之間的預(yù)置密鑰如何安全寫入間隙性換輪、換傳感器時(shí)如何完成安全配對(duì)這需要一套密鑰管理系統(tǒng)KMS或者一次性的“學(xué)習(xí)-配對(duì)”過程。4.2 輕量密碼算法的方案取舍我簡(jiǎn)單整理一下目前行業(yè)內(nèi)比較主流的幾個(gè)技術(shù)方案方便同行和產(chǎn)品經(jīng)理判斷選型方案算法/機(jī)制優(yōu)點(diǎn)缺點(diǎn)適用場(chǎng)景對(duì)稱加密AES-128-CTR/CCM成熟MCU 實(shí)現(xiàn)容易功耗可控需要密鑰管理需保證計(jì)數(shù)器同步大多數(shù)量產(chǎn) TPMS 升級(jí)首選輕量級(jí)密碼PRESENT, SPECK硬件實(shí)現(xiàn)更省面積極低功耗商用案例少部分算法密碼學(xué)審閱不足超低功耗老平臺(tái) MCU滾動(dòng)碼每次廣播用遞增計(jì)數(shù)器派生認(rèn)證標(biāo)簽防重放單向鏈路也能驗(yàn)接收器需維護(hù)同步狀態(tài)現(xiàn)有硬件稍加改動(dòng)即可逐步落地物理層指紋用發(fā)射芯片的射頻指紋識(shí)別傳感器不需要改協(xié)議、不用增加密鑰準(zhǔn)確率受環(huán)境溫度、老化影響輔助增強(qiáng)不是獨(dú)立方案你對(duì)其中“滾動(dòng)碼”這個(gè)詞可能不陌生車庫遙控器、無鑰匙進(jìn)入系統(tǒng)都用它。TPMS 的問題是很多老批次車型還在用最原始的固定報(bào)文連個(gè)計(jì)數(shù)器都沒加。這其實(shí)是件很遺憾的事——因?yàn)?TPMS 報(bào)文載荷很小加密和認(rèn)證帶來的額外字節(jié)數(shù)非常低在射頻鏈路里幾乎沒有通信開銷壓力。4.3 UNECE R155 與新法規(guī)的推動(dòng)力過去車企可以拿“沒有強(qiáng)制要求”當(dāng)擋箭牌但這條擋箭牌正在消失。UNECE聯(lián)合國(guó)歐洲經(jīng)濟(jì)委員會(huì)的 R155 法規(guī)是汽車信息安全領(lǐng)域第一個(gè)真正意義上的強(qiáng)制安全法規(guī)。它對(duì)車輛的網(wǎng)絡(luò)安全管理系統(tǒng)CSMS和車型信息安全提出了明確要求要求汽車制造商進(jìn)行威脅分析和風(fēng)險(xiǎn)評(píng)估TARA并在車輛全生命周期內(nèi)識(shí)別網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。TPMS“明文廣播可被監(jiān)聽追蹤”這種問題在 R155 的框架下會(huì)被識(shí)別為“隱私泄露風(fēng)險(xiǎn)”和“遠(yuǎn)程數(shù)據(jù)操縱風(fēng)險(xiǎn)”。一旦落入風(fēng)險(xiǎn)評(píng)估矩陣且措施不足就無法獲得車型認(rèn)證屆時(shí)智能網(wǎng)聯(lián)汽車在歐洲市場(chǎng)可能連準(zhǔn)入都拿不到。國(guó)內(nèi)同樣在跟進(jìn)。2021 年后發(fā)布的智能網(wǎng)聯(lián)汽車相關(guān)的信息安全和數(shù)據(jù)安全標(biāo)準(zhǔn)已經(jīng)開始覆蓋“無線通信鏈路安全、車外異常報(bào)文檢測(cè)、車載網(wǎng)絡(luò)安全”等內(nèi)容。趨勢(shì)非常明確未來 2-3 年TPMS 加密大概率會(huì)從一個(gè)沒人管的角落變成強(qiáng)制合規(guī)項(xiàng)。4.4 產(chǎn)業(yè)升級(jí)中的幾個(gè)繞不開的坎就算車企現(xiàn)在決定加加密落地過程也有不少坑。第一個(gè)是生命周期內(nèi)的密鑰更新一顆傳感器壽命 5 年車主可能在第三年換了新胎同時(shí)換了新傳感器。新傳感器怎么和車載接收器配對(duì)如果密鑰是固定的第三方輪胎店根本拿不到密鑰。這就要設(shè)計(jì)一套“保守但安全”的配對(duì)流程比如整車進(jìn)入學(xué)習(xí)模式后先用臨時(shí)密鑰廣播、再用主密鑰簽發(fā)或者通過用戶的手機(jī) App 做一個(gè)藍(lán)牙中轉(zhuǎn)授權(quán)。每一步都牽扯到用戶體驗(yàn)不是改幾行代碼能搞定的。第二個(gè)是傳感器成本上漲。加密芯片和更大內(nèi)存的 MCU單顆成本可能從原本的 20~30 元漲到 40~50 元。一臺(tái)車四顆車企多掏百八十塊錢。這個(gè)成本對(duì)豪華品牌不算事但對(duì)走量的中低端車型來說真能卡掉一批老平臺(tái)方案。第三是“兼容老車型”的魔咒。存量車型的接收器硬件不支持新算法總不能強(qiáng)制全部召回?fù)Q儀表盤。實(shí)際中大概率只能從新平臺(tái)開始老車型繼續(xù)裸奔到下架這就意味著追蹤風(fēng)險(xiǎn)會(huì)持續(xù)存在很長(zhǎng)一段時(shí)間。如果你是車主指望車企“主動(dòng)幫你升級(jí)”短期并不現(xiàn)實(shí)——這也是我在文章最后給車主建議的原因。5. 從業(yè)者驗(yàn)證路徑怎么快速判斷你的車是否暴露5.1 用 RTL-SDR 從零開始驗(yàn)證 TPMS 明文如果你手里有車或者需要做企業(yè)車隊(duì)的無線安全摸底我建議花一個(gè)周末自己做一次驗(yàn)證。過程不復(fù)雜也完全合法接收自己車或授權(quán)車輛的無線信號(hào)。步驟是這樣的準(zhǔn)備硬件RTL-SDR 電視棒一個(gè)選帶 TCXO 的版本頻率穩(wěn)定性更好天線用 433MHz 的直型天線或吸盤天線。安裝開源無線電工具電腦上裝 SDR# 或者 SDRangel能可視化看到頻譜即可。配置頻率把中心頻率設(shè)為 433.92MHz歐系車或 315MHz美系車帶寬設(shè) 2MHz。觀察信號(hào)特征開車?yán)@小區(qū)一圈觀察頻譜里出現(xiàn)的短促跳變信號(hào)帶有明顯的 FSK 調(diào)制特征就是 TPMS 報(bào)文。使用開源的 TPMS 解析工具目前 GitHub 上有多個(gè)可用的 tpms 協(xié)議解析腳本接入采集到的 IQ 數(shù)據(jù)即可輸出傳感器 ID、胎壓、溫度字段。確認(rèn)配對(duì)開啟車內(nèi)儀表胎壓界面等待報(bào)警或手動(dòng)放氣一次對(duì)比抓到的 ID 變化確認(rèn)該 ID 就是自己車的那顆傳感器。如果你按這個(gè)流程在自己的車上抓到了明文 ID那么換攻擊者來在主駕門和副駕門線外的路邊裝兩臺(tái)設(shè)備他在你等紅燈、進(jìn)出地庫、車隊(duì)排隊(duì)的時(shí)候同樣也能抓到。5.2 企業(yè)車隊(duì)自查一次低成本的安全審計(jì)企業(yè)車隊(duì)尤其是物流、網(wǎng)約車、機(jī)場(chǎng)擺渡車這類有固定線路的車輛更需要做一輪 TPMS 無線安全審計(jì)。我建議的審計(jì)思路不是“部署全套反追蹤”而是先定量評(píng)估暴露面審計(jì)項(xiàng)方法輸出覆蓋車型統(tǒng)計(jì)車隊(duì)里所有車型、年款、TPMS 供應(yīng)商確認(rèn)哪些車大概率是明文方案無線信號(hào)驗(yàn)證SDR 掃描車隊(duì)停車場(chǎng)的 315/433MHz 信號(hào)抓取到明文報(bào)文的車輛數(shù)量占比ID 穩(wěn)定性分析連續(xù) 48 小時(shí)記錄各車 ID觀察是否變化是否存在長(zhǎng)期穩(wěn)定指紋響應(yīng)距離測(cè)試在距車輛 5m/20m/50m 處測(cè)試接收靈敏度數(shù)據(jù)推演出攻擊者的部署密度成本偽造報(bào)文測(cè)試授權(quán)使用 USRP 或 Yard Stick 發(fā)送偽造報(bào)警報(bào)文明確能否觸發(fā)目標(biāo)車儀表報(bào)警車隊(duì)的結(jié)論往往會(huì)顛覆人的直覺你可能在 30 臺(tái)車?yán)锇l(fā)現(xiàn) 20 臺(tái)能抓到完整明文 ID而且其中 80% 的 ID 是長(zhǎng)期穩(wěn)定的。這個(gè)結(jié)論交給管理層比任何口頭說明都有說服力。5.3 作為普通車主我們有沒有反擊手段聊點(diǎn)務(wù)實(shí)的。坦白說普通車主幾乎無法從車輛端解決這個(gè)問題。你不能換掉原廠 TPMS 傳感器也不可能給車輛加裝無線加密網(wǎng)關(guān)。你能做的是降低被追蹤的風(fēng)險(xiǎn)暴露面注意停車環(huán)境如果明顯感覺總是同一輛車出現(xiàn)在你常去的地點(diǎn)附近不要以為是巧合。多換幾個(gè)?？课恢糜^察是否對(duì)方設(shè)備也會(huì)移位。不要讓第三方隨意讀取車輛 OBD 或胎壓數(shù)據(jù)維修保養(yǎng)時(shí)去正規(guī)授權(quán)店可以減少數(shù)據(jù)被復(fù)制的概率。警惕車內(nèi)后加的射頻設(shè)備部分車主后期加裝的胎壓顯示器、行車記錄儀本身也可能成為新的無線暴露點(diǎn)。選擇支持藍(lán)牙/本地協(xié)議的產(chǎn)品減少數(shù)據(jù)傳輸鏈路。合理看待風(fēng)險(xiǎn)TPMS 追蹤的最大威脅來自“有組織的持續(xù)監(jiān)控”而不是路人偶遇。普通人被裝的概率遠(yuǎn)低于被 GPS 定位。你不需要恐慌但要有這個(gè)意識(shí)和基本常識(shí)。從工程師視角來看我更建議從業(yè)者和車主共同關(guān)注“數(shù)據(jù)邊界”這個(gè)概念所有從車延伸到車外的無線數(shù)據(jù)都應(yīng)該默認(rèn)被視為“可公開”。TPMS 只是一個(gè)開始進(jìn)入智能駕駛時(shí)代后車外攝像頭、V2X 路側(cè)通信、藍(lán)牙鑰匙、超寬帶雷達(dá)每一路無線信號(hào)都在擴(kuò)展邊界也都在擴(kuò)大暴露面。6. 從 TPMS 看智能汽車安全設(shè)計(jì)的通病邊界數(shù)據(jù)與默認(rèn)信任6.1 單向鏈路的“信任默認(rèn)”是最難改的遺產(chǎn)在 TARA 框架里有一個(gè)常用概念叫“資產(chǎn)Assets”。TPMS 的資產(chǎn)不只是“輪胎氣壓信息”更應(yīng)該是“與車輛唯一綁定的可識(shí)別信息”。過去設(shè)計(jì)者把它定義為普通遙測(cè)數(shù)據(jù)只考慮“幫助駕駛員識(shí)別氣壓低”卻忽略了它同時(shí)具備“身份標(biāo)定”的能力。這種設(shè)計(jì)錯(cuò)位在汽車行業(yè)并不罕見。你可以看到很多車聯(lián)網(wǎng)功能也是這樣——車況接口、充電狀態(tài)、路線統(tǒng)計(jì)都在云平臺(tái)上日志一備份就是一整年。安全界經(jīng)常說“沒有數(shù)據(jù)該裸奔”但車企產(chǎn)品序列里仍然可能存在“裸奔數(shù)據(jù)”問題不是能力不夠而是“默認(rèn)信任”的慣性。6.2 幾點(diǎn)個(gè)人經(jīng)驗(yàn)與建議我自己和同行做過很多次車輛無線安全驗(yàn)證有一個(gè)體會(huì)越來越深單純追求“一次攻破”的展示價(jià)值并不大真正有價(jià)值的是幫車企和監(jiān)管層建立一套“快速發(fā)現(xiàn)低垂風(fēng)險(xiǎn)”的機(jī)制。TPMS 這個(gè)問題本身已經(jīng)非常成熟學(xué)術(shù)界、安全研究人員、媒體都講了一輪又一輪但直到現(xiàn)在很多新車型依然是明文方案。原因并不復(fù)雜沒有發(fā)生大規(guī)模安全事故沒有被強(qiáng)制也沒有大面積用戶投訴。安全產(chǎn)品經(jīng)理在排優(yōu)先級(jí)的時(shí)候它總是被排到后面。所以如果你恰好是汽車電子工程師或產(chǎn)品經(jīng)理我建議你做設(shè)計(jì)評(píng)審時(shí)可以多問一句“這臺(tái)車發(fā)出的每一個(gè)字節(jié)會(huì)不會(huì)讓外界認(rèn)出它來”這個(gè)問題的答案往往比一份幾百頁的合規(guī)文檔更能揭示真實(shí)風(fēng)險(xiǎn)。最后說個(gè)小經(jīng)驗(yàn)如果你要做類似的無線安全測(cè)試一定記得先跟法務(wù)確認(rèn)測(cè)試范圍和授權(quán)邊界。在車輛無線安全研究里“接收”和“發(fā)射”的法律性質(zhì)完全不同。被動(dòng)接收一般處于灰色甚至合法地帶但主動(dòng)發(fā)射偽造報(bào)文來測(cè)試車輛響應(yīng)未經(jīng)過車主或車企授權(quán)的話是有法律風(fēng)險(xiǎn)的。測(cè)試工具怎么選、發(fā)射功率控制到多少、是否需要屏蔽箱這些細(xì)節(jié)都要提前想好。安全研究的意義從來不是嚇唬人而是把問題攤開讓該做決定的人有機(jī)會(huì)做正確決定。這一輪希望更多車企能做出正確的決定。