极氪安全研究成果亮相Black Hat USA 2023

  近日，备受瞩目的Black Hat USA 2023（美国当地时间8月10日）在拉斯维加斯落下帷幕。作为世界信息安全行业的翘楚，大会每年都汇聚着全球最具前沿性的安全研究成果。凭借其强大的技术实力、权威性和客观性，每年Black Hat USA上展示的研究成果也引领着网络安全领域的未来的发展方向。

  极氪以《AutoSuite: An Open-Source Multi-Protocol Low-Cost Vehicle Bus Testing Framework》为题向来自全球的安全研究者分享了最新研究成果。该成果由极氪ZeekrZero安全实验室的万明明、王仲宇、尘兴灿联合极氪大数据团队的蒋枫立、钟洪润、杨璐联合研发。议题详细介绍了一种新型的开源车联网安全研究工具，该工具具有低成本，多协议，支持FlexRay总线和无线连接等亮点功能。

  在新能源汽车领域，车载总线是汽车功能安全和网络安全实现的基石，而FlexRay、LIN、CAN(FD)和以太网等车辆总线是ECU通信的最常用总线。目前，车辆总线的安全研究主要集中在CAN总线上。由于协议本身的特点，CAN数据通常在域内传输，而FlexRay常被用作连接动力总成控制、自动驾驶和车身控制域的骨干网络，用于跨域通信和关键数据的传输，常用于奔驰、奥迪、宝马、路特斯、沃尔沃、路虎等高端品牌的车型上。然而，FlexRay的安全研究仍处于起步阶段。

  极氪ZeekrZero安全实验室在本次大会首次公开了AutoSuite，这是一套开源、多协议、低成本的车辆总线测试框架，该框架由AutoSuite硬件和AutoSuite软件组成。AutoSuite可用于访问FlexRay总线并模拟恶意ECU发送伪造数据，实现跨域ECU攻击并发现潜在的安全漏洞。AutoSuite硬件成本约为200美元，远低于商用FlexRay总线测试工具如Vector VN8910 5万美元的售价。AutoSuite还支持远程无线控制、多设备协作以及以太网、LIN和CAN(FD)协议。这是全球第一款支持车内众多协议fuzz的车联网安全开源工具，这款工具将为车辆总线研究人员提供一个友好的、开源的、低成本的测试框架，会提高车联网网络安全检测能力，降低安全检测成本，满足监管合规要求，也为未来的车联网安全研究提供了强大的研究框架。

图：AutoSuite工具

  在Black Hat USA演讲的现场，北美硬件安全泰斗，著名黑客工具Chip Whisperer的作者Colin O'Flynn以及有着“绿神”之称的知名特斯拉黑客@greentheonly都对AutoSuite表达出了浓厚的兴趣。他们希望后续可以看的AutoSuite和其他开源硬件安全工具的结合，从而产生更强大的力量。也希望AutoSuite的开源，可以帮助对制造硬件工具没有成熟经验的很多安全研究者在做安全研究的时候可以事半功倍。

  作为行业内信息安全建设领域的领跑者，通过车联网安全实验室的安全攻防、SecOps、安全运营、安全体系、安全培训、安全研究、安全合规出海认证R155、安全检测、安全应急、安全竞赛十大能力，铸造车联网安全双基因。

图：极氪车联网安全双基因

  极氪在多个安全领域取得优秀成绩：2022年3月，极氪助力首个汽车整车信息安全技术要求强制性标准检测试行，并顺利获得ISO 27001:2013信息安全管理体系、ISO 27701:2019隐私信息管理体系及ISO 38505:2017数据治理认证证书，成为BSI中国所认证的境内首家同时获此三项殊荣的新能源整车制造企业；此外，极氪官网系统和用户履约系统于2022年4月分别获得杭州市公安局核发的信息系统安全等级保护二级、三级备案证明。同时在4月获得了2022数字中国创新大赛车联网安全赛道线上赛第二名以及2022 CICV智能网联汽车漏洞挖掘赛优胜奖。5月极氪获得2022年浙江省网络攻防演练第三名。6月极氪APP获中国网络安全审查技术与认证中心权威认证，成为智能汽车行业内首家获得该认证的APP。2023年2月极氪获得“铸网2022”车联网网络安全实网演练的优秀防守实践企业，3月极氪被选举成为CCIA汽车网络安全工作委员会副主任委员单位。5月极氪荣获世界智能驾驶挑战赛优秀技术支撑单位。6月极氪汽车通过R155 CSMS和VTA认证。8月极氪安全实验室研发成果亮相Black Hat USA 2023。