去年我參與一個小型車隊的無線安全評估那天下午我和同事把設(shè)備架在路側(cè)綠化帶邊上筆記本接了一個軟件無線電接收器調(diào)到 433MHz。不到五分鐘屏幕上就刷出了一串胎壓檢測系統(tǒng)的廣播報文其中幾幀里帶著完整的傳感器 ID、胎壓值、溫度甚至加速度數(shù)據(jù)。車隊負(fù)責(zé)人站在旁邊問這些數(shù)據(jù)能干嘛我說能追蹤你們每一臺車而且不需要破解任何密碼因?yàn)檫@條鏈路壓根就沒有加密。他當(dāng)時愣了很久。這件事其實(shí)已經(jīng)不是什么新鮮結(jié)論了。過去幾年國內(nèi)外多個安全研究團(tuán)隊都發(fā)布過類似的分析豐田、奔馳、雷諾、現(xiàn)代等不少車企的胎壓檢測系統(tǒng)TPMSTire Pressure Monitoring System在無線通信環(huán)節(jié)使用了明文廣播。如果你了解一點(diǎn)點(diǎn)射頻協(xié)議和信號處理就能在路邊用幾百塊的軟件無線電設(shè)備被動接收這些報文并把每一輛車和它的傳感器 ID 關(guān)聯(lián)起來進(jìn)而實(shí)現(xiàn)大范圍的車輛追蹤。這不是鍵盤上的 0day 攻擊更像是“開著大門的小屋”——問題不復(fù)雜但暴露面很真實(shí)。我說清楚這個問題的原理、影響范圍、我們能做什么以及這件事背后更值得關(guān)注的智能汽車安全設(shè)計通病。無論你是車主、汽車工程師、安全從業(yè)者還是單純對車聯(lián)網(wǎng)隱私感興趣這篇文章都能給你一個完整的視角。1. 事件拆解為什么一顆胎壓傳感器的廣播會扯上車輛追蹤1.1 TPMS 的工作機(jī)制與鏈路結(jié)構(gòu)TPMS 全稱 Tire Pressure Monitoring System中文叫胎壓監(jiān)測系統(tǒng)主要作用是實(shí)時監(jiān)測四個車輪的氣壓和溫度。一旦某個輪胎出現(xiàn)慢漏氣、溫度過高或者氣壓異常系統(tǒng)就會在儀表盤上給出報警提醒車主及時處理。整個系統(tǒng)分為兩部分傳感器和接收器。傳感器安裝在每個車輪的輪轂上也有部分車型裝在氣門嘴位置內(nèi)部包含壓力傳感器、溫度傳感器、加速度計、MCU 和一顆紐扣電池。它平時處于低功耗休眠狀態(tài)當(dāng)車輛行駛后車輪轉(zhuǎn)動加速度計喚醒 MCU傳感器開始測量然后通過射頻發(fā)射器把數(shù)據(jù)包廣播出去。接收器安裝在車身的網(wǎng)關(guān)或儀表盤控制單元附近負(fù)責(zé)接收四顆傳感器有的車型還有備胎傳感器發(fā)來的射頻信號解調(diào)出胎壓溫度數(shù)據(jù)在儀表盤上顯示并在異常時觸發(fā)報警。兩條核心鏈路一條是傳感器到接收器的單向上行射頻鏈路另一條是接收器到儀表盤/網(wǎng)關(guān)的車內(nèi)總線鏈路。前一條用的是 315MHz北美常見或 433MHz歐洲、亞洲常見的 ISM 頻段后一條大多是 CAN 總線。1.2 報文結(jié)構(gòu)與“固定 ID”這個關(guān)鍵錨點(diǎn)TPMS 的無線報文本身是一種遙測數(shù)據(jù)包。雖然各家車企的私有協(xié)議細(xì)節(jié)不一樣但報文里通常包含這幾類字段它們像一張公開的名片把每輛車都區(qū)別開來傳感器 ID一般是一個 8 到 32 位的編號在出廠時寫入傳感器整輛車的生命周期內(nèi)都保持不變。胎壓值通常用 kPa 或 psi 表示。輪胎溫度單位是攝氏度。加速度/運(yùn)動狀態(tài)字段用于判斷車輛是否在行駛。電池電量狀態(tài)位傳感器電池電壓低時會設(shè)置報警位。最關(guān)鍵的是傳感器 ID。這個 ID 本身沒有經(jīng)過任何加密處理直接以明文形式出現(xiàn)在無線電波里。而駕駛者看車牌號還要隔著幾十米才能識別但射頻信號的識別距離遠(yuǎn)得多——只要在數(shù)百米內(nèi)有接收設(shè)備你的車就會被“點(diǎn)出”一個唯一身份。1.3 為什么車企默認(rèn)不做加密很多第一次聽說這個問題的朋友反應(yīng)是這不科學(xué)啊現(xiàn)在都 2024 年了車企連個加密都舍不得做事實(shí)上這不是“舍不得”三個字能說清楚的。TPMS 傳感器是極端低功耗設(shè)備。一顆紐扣電池要用 5 到 10 年工作期間每幾秒發(fā)一次報文平時必須深睡。在這種功耗預(yù)算下加解密運(yùn)算需要占用額外的算力和能耗一個 16MHz 或 32MHz 的 MCU 跑非對稱加密確實(shí)很吃力但這并不是無法解決的——真正卡住車企的是成本與市場節(jié)奏。TPMS 帶有強(qiáng)安全法規(guī)屬性美國 NHTSA 在 2007 年就強(qiáng)制所有乘用車安裝 TPMS歐盟在 2012 年起也對新車提出胎壓監(jiān)測要求。法規(guī)要求的是“必須有這么個功能”并沒有要求“無線鏈路必須加密”。各大車企為了滿足法規(guī)、控制成本、壓縮開發(fā)周期直接選用了市面上成熟但不加密的芯片方案。還有一個客觀原因TPMS 傳感器是消耗件輪胎換位、輪組更換時可能重新配對。如果做復(fù)雜的雙向認(rèn)證就會導(dǎo)致配對過程變得麻煩車主在第三方輪胎店換傳感器時也可能因?yàn)槭跈?quán)問題去不了。這屬于典型的“安全影響用戶體驗(yàn)產(chǎn)品經(jīng)理選擇了放棄”的取舍。所以說未加密不是疏漏而是長期以來的設(shè)計慣性。只不過隨著汽車逐漸智能化、聯(lián)網(wǎng)化這個慣性正在變成實(shí)實(shí)在在的隱私風(fēng)險。2. 追蹤攻擊的技術(shù)原理被動監(jiān)聽如何實(shí)現(xiàn)車輛定位2.1 被動采集你只需要一臺 SDR先給對射頻不太熟的朋友解釋一下TPMS 信號的發(fā)射本身就是無差別的廣播傳感器不會去確認(rèn)“接收器是不是我自己車上的”只要功率夠、頻點(diǎn)對準(zhǔn)任何一臺能解調(diào)該協(xié)議的設(shè)備都能“偷聽”。實(shí)操層面現(xiàn)在做這件事的門檻非常低。一種方式是硬件直接解調(diào)買一個價格在 1000 元左右的多通道無線電接收器比如 Great Scott Gadgets 的 Yard Stick One配合電腦上現(xiàn)成的 TPMS 解調(diào)腳本插上 USB 天線就能抓包。另一種方式是使用軟件無線電SDR例如價格 200~400 元的 RTL-SDR 電視棒配合開源的通用無線電工具GNU Radio以及網(wǎng)上現(xiàn)成的 TPMS 協(xié)議解析模塊幾十行 Python 就能把報文里的字段解出來。我實(shí)測過用 RTL-SDR 在路邊接收經(jīng)過車輛的 TPMS 信號在一分鐘流量約 60 輛車的城市道路上平均能抓到 30 輛以上車輛的明文報文。整個過程不接觸目標(biāo)車輛、不干擾任何信號、不觸發(fā)目標(biāo)車上任何告警是完全被動的監(jiān)聽。2.2 多點(diǎn)部署用“同一 ID 在不同地點(diǎn)的出現(xiàn)”畫出軌跡單獨(dú)抓到一個傳感器 ID 只能說明“有輛車經(jīng)過了這個點(diǎn)”。要實(shí)施車輛追蹤關(guān)鍵在于多點(diǎn)采集和 ID 交叉關(guān)聯(lián)。攻擊成本可以從兩個維度看單點(diǎn)長時監(jiān)聽固定安裝接收器在一棟樓、一個停車場或一條主干道邊持續(xù)記錄經(jīng)過車輛的時間戳和傳感器 ID形成“某時間段內(nèi)有哪些車經(jīng)過”的數(shù)據(jù)積累。多點(diǎn)網(wǎng)格化部署在城市多個路口布置同樣的接收節(jié)點(diǎn)當(dāng)車輛駛過路口 A 時節(jié)點(diǎn) A 記錄 ID 和 RSSI 信號強(qiáng)度駛過路口 B 時節(jié)點(diǎn) B 也記錄到同一個 ID。把兩個時間戳和信號強(qiáng)度一對比就知道這臺車從 A 開到 B 用了多少分鐘順藤摸瓜形成一條完整的行駛鏈路。RSSI 信號強(qiáng)度這個參數(shù)很重要。同一顆傳感器發(fā)射的射頻信號距離接收天線越近信號越強(qiáng)。單一節(jié)點(diǎn)只能估出車輛距節(jié)點(diǎn)大概多遠(yuǎn)但多個節(jié)點(diǎn)同時收到用三角定位原理就能把車輛的位置逼近到幾十米的誤差范圍內(nèi)。在城市路口布置三到四個接收節(jié)點(diǎn)配合 RSSI 測量基本可以做到“雙向車道級”的定位。這個攻擊意味著什么只要攻擊者在目標(biāo)車輛經(jīng)常出現(xiàn)的地方比如嫌疑人的小區(qū)門口、公司樓下布下幾個接收器一段時間內(nèi)就能積累目標(biāo)車輛的 TPMS ID 庫之后無論它開到哪里只要經(jīng)過己方網(wǎng)格節(jié)點(diǎn)就會被自動識別和上報。2.3 這個方案的實(shí)際局限在哪里追蹤技術(shù)是有效的但不是沒有短板。干擾很常見TPMS 發(fā)射功率很低通常在 0 dBm 上下典型接收距離在開闊地約 100 到 300 米城市環(huán)境下由于建筑遮擋可能縮到幾十米。所以你要做成全覆蓋的追蹤網(wǎng)絡(luò)節(jié)點(diǎn)密度需求是非常高的成本遠(yuǎn)超裝 GPS 追蹤器。其次TPMS 傳感器只在車輛行駛且車輪啟動后周期性發(fā)射。車輛熄火停放時傳感器進(jìn)入休眠廣播停止無法通過 TPMS 定位靜止車輛。這個局限直接限制了對“停車后人在哪”的追蹤。第三數(shù)據(jù)鏈路單向被動采集無法實(shí)時推送車輛位置到攻擊者手機(jī)。除非攻擊者在每次節(jié)點(diǎn)捕獲后做網(wǎng)絡(luò)回傳否則這套網(wǎng)格系統(tǒng)實(shí)際部署復(fù)雜度很高不是小白能玩的。但這些局限并不能消除核心問題明文廣播把“一個穩(wěn)定的車輛指紋”暴露在空間里而且這個指紋不像車牌號關(guān)不掉也撕不下刷不掉。對于有能力部署網(wǎng)格的專業(yè)機(jī)構(gòu)來說TPMS 就是一個免費(fèi)的車輛追蹤基礎(chǔ)設(shè)施。3. 威脅不止于追蹤偽造報文與其它連鎖風(fēng)險3.1 偽造 TPMS 報文偽造一場“爆胎”報警TPMS 追蹤問題廣為人知之后我們?nèi)ψ永镉懻摰牟粌H是“讀”還有“寫”。既然協(xié)議是明文的傳感器 ID 可見調(diào)制方式和編碼方式是公開的那攻擊者完全可以偽造一幀“0 kPa”的報警報文用同一頻點(diǎn)、大功率在目標(biāo)車輛經(jīng)過時發(fā)送。接收器對比 ID 匹配后會在儀表盤上觸發(fā)高壓報警甚至有可能觸發(fā)車輛低速行駛時的“請立即檢查胎壓”提示。誘導(dǎo)車停在路肩這件事危害遠(yuǎn)比想象大。高速路上一旦儀表盤突然彈出“當(dāng)前輪胎壓力為 0”多數(shù)駕駛員的反應(yīng)是猛踩剎車減速、靠邊停車萬一后車距離近直接導(dǎo)致追尾。這是典型的無線電制造“軟故障”卻能引發(fā)物理事故。這里需要說明不同車企對 TPMS 報警的處理邏輯不太一樣有的只顯示圖標(biāo)有的會有聲音提示和儀表文字提示。要實(shí)際達(dá)到“逼停一臺車”的效果還需要結(jié)合具體車型做針對性協(xié)議分析。但從攻擊者角度這遠(yuǎn)比網(wǎng)絡(luò)攻擊門檻低。3.2 重放攻擊同一個 ID重放同一段報文重放攻擊在無線通信里是老面孔了。攻擊者錄制一段包含某傳感器 ID 的 TPMS 報文稍作修改后在同一頻點(diǎn)上反復(fù)重放。如果目標(biāo)車型的接收器沒有做報文計數(shù)或時間戳校驗(yàn)就可能被欺騙實(shí)際胎壓正常儀表盤卻一直報警。更微妙的是重放攻擊還能用于偽造“車輛狀態(tài)”的假象比如傳感器信號被重放到錯誤的時段接收器可能誤以為車輛剛啟動。雖然 TPMS 報文觸發(fā)不了車輛啟動等核心功能但在汽車安全研究里它往往成為攻擊鏈中的一環(huán)——攻擊者在嘗試接觸車內(nèi)總線、OTA 升級接口或診斷口時先用 TPMS 重放制造一個可乘之機(jī)比如誘導(dǎo)車主下車、誘導(dǎo)車主開窗操作這就是社會工程學(xué)和無線攻擊的交叉應(yīng)用了。3.3 從一條射頻消息到車主身份隱私串聯(lián)單看一條 TPMS 報文陌生人只會看到一個十六進(jìn)制 ID。但攻擊者只要做一次“線下關(guān)聯(lián)”就能把 ID 變成真實(shí)身份。最典型的場景是停車場攻擊者在某個高端小區(qū)地下車庫出口放置接收器連續(xù)記錄每天出入車輛。某個夜晚他可以拍攝到某輛車的車牌并記下車型顏色用 SDR 在同一時間窗口抓取這輛車的 TPMS ID。一次操作ID 和車牌就綁定了。之后ID 關(guān)聯(lián)的車牌有了身份信息交通違章、保險、登記信息都在這套系統(tǒng)里傳感器的明文 ID 就成了這輛車的“電子身份證”。而且這個 ID 幾乎終身不變只要車不換傳感器動作永遠(yuǎn)暴露在監(jiān)聽網(wǎng)絡(luò)之下。這在歐盟已經(jīng)引發(fā)了監(jiān)管層面的關(guān)注2023 年歐洲一些隱私保護(hù)機(jī)構(gòu)開始討論 TPMS 信號是否構(gòu)成 GDPR 下的“個人數(shù)據(jù)關(guān)聯(lián)物”因?yàn)橐坏?ID 與自然人身份關(guān)聯(lián)它已經(jīng)具備身份識別能力。國內(nèi)雖然還沒有明確法規(guī)說“TPMS 明文廣播違法”但在車聯(lián)網(wǎng)數(shù)據(jù)安全標(biāo)準(zhǔn)如 GB/T 40855-2021和智能網(wǎng)聯(lián)汽車信息安全相關(guān)的標(biāo)準(zhǔn)里對遠(yuǎn)程通信鏈路的數(shù)據(jù)加密已經(jīng)提出了明確要求而 TPMS 這條鏈路恰好在合規(guī)審計中容易被漏掉。4. 車企整改路線圖從“明文裸奔”到“低功耗加密”4.1 加密不是不行是要選對方向先說結(jié)論TPMS 完全可以做加密只是不能照搬手機(jī)和電腦那套重加密方案。TPMS 傳感器端約束非?？量蘉CU 主頻低通常 16MHz~48MHzRAM 小幾百字節(jié)到幾 KBflash 也只有幾十 KB電池容量往往在 200~400mAh 之間壽命要求 5~10 年。這意味著非對稱加密RSA/ECC 簽名驗(yàn)簽雖然理論上可行但每次發(fā)射報文前都要做一次簽名運(yùn)算功耗和時間成本都比較高。現(xiàn)實(shí)中更合理的形態(tài)是輕量級對稱加密 動態(tài)滾動碼。以 AES-128 為例在 48MHz 的 MCU 上執(zhí)行一次分組加密只需要幾十微秒單次加密電流增加約 1~2mA持續(xù)時長極短。配合極低功耗的喚醒周期管理對電池壽命的影響可以控制在整顆電池容量的 5% 以內(nèi)。車企完全可以用一個 128 位 AES 密鑰對 TPMS 報文做加密和完整性校驗(yàn)外加計數(shù)器滾動讓重放攻擊無效化。當(dāng)然密鑰管理是個新問題傳感器和接收器之間的預(yù)置密鑰如何安全寫入間隙性換輪、換傳感器時如何完成安全配對這需要一套密鑰管理系統(tǒng)KMS或者一次性的“學(xué)習(xí)-配對”過程。4.2 輕量密碼算法的方案取舍我簡單整理一下目前行業(yè)內(nèi)比較主流的幾個技術(shù)方案方便同行和產(chǎn)品經(jīng)理判斷選型方案算法/機(jī)制優(yōu)點(diǎn)缺點(diǎn)適用場景對稱加密AES-128-CTR/CCM成熟MCU 實(shí)現(xiàn)容易功耗可控需要密鑰管理需保證計數(shù)器同步大多數(shù)量產(chǎn) TPMS 升級首選輕量級密碼PRESENT, SPECK硬件實(shí)現(xiàn)更省面積極低功耗商用案例少部分算法密碼學(xué)審閱不足超低功耗老平臺 MCU滾動碼每次廣播用遞增計數(shù)器派生認(rèn)證標(biāo)簽防重放單向鏈路也能驗(yàn)接收器需維護(hù)同步狀態(tài)現(xiàn)有硬件稍加改動即可逐步落地物理層指紋用發(fā)射芯片的射頻指紋識別傳感器不需要改協(xié)議、不用增加密鑰準(zhǔn)確率受環(huán)境溫度、老化影響輔助增強(qiáng)不是獨(dú)立方案你對其中“滾動碼”這個詞可能不陌生車庫遙控器、無鑰匙進(jìn)入系統(tǒng)都用它。TPMS 的問題是很多老批次車型還在用最原始的固定報文連個計數(shù)器都沒加。這其實(shí)是件很遺憾的事——因?yàn)?TPMS 報文載荷很小加密和認(rèn)證帶來的額外字節(jié)數(shù)非常低在射頻鏈路里幾乎沒有通信開銷壓力。4.3 UNECE R155 與新法規(guī)的推動力過去車企可以拿“沒有強(qiáng)制要求”當(dāng)擋箭牌但這條擋箭牌正在消失。UNECE聯(lián)合國歐洲經(jīng)濟(jì)委員會的 R155 法規(guī)是汽車信息安全領(lǐng)域第一個真正意義上的強(qiáng)制安全法規(guī)。它對車輛的網(wǎng)絡(luò)安全管理系統(tǒng)CSMS和車型信息安全提出了明確要求要求汽車制造商進(jìn)行威脅分析和風(fēng)險評估TARA并在車輛全生命周期內(nèi)識別網(wǎng)絡(luò)安全風(fēng)險。TPMS“明文廣播可被監(jiān)聽追蹤”這種問題在 R155 的框架下會被識別為“隱私泄露風(fēng)險”和“遠(yuǎn)程數(shù)據(jù)操縱風(fēng)險”。一旦落入風(fēng)險評估矩陣且措施不足就無法獲得車型認(rèn)證屆時智能網(wǎng)聯(lián)汽車在歐洲市場可能連準(zhǔn)入都拿不到。國內(nèi)同樣在跟進(jìn)。2021 年后發(fā)布的智能網(wǎng)聯(lián)汽車相關(guān)的信息安全和數(shù)據(jù)安全標(biāo)準(zhǔn)已經(jīng)開始覆蓋“無線通信鏈路安全、車外異常報文檢測、車載網(wǎng)絡(luò)安全”等內(nèi)容。趨勢非常明確未來 2-3 年TPMS 加密大概率會從一個沒人管的角落變成強(qiáng)制合規(guī)項。4.4 產(chǎn)業(yè)升級中的幾個繞不開的坎就算車企現(xiàn)在決定加加密落地過程也有不少坑。第一個是生命周期內(nèi)的密鑰更新一顆傳感器壽命 5 年車主可能在第三年換了新胎同時換了新傳感器。新傳感器怎么和車載接收器配對如果密鑰是固定的第三方輪胎店根本拿不到密鑰。這就要設(shè)計一套“保守但安全”的配對流程比如整車進(jìn)入學(xué)習(xí)模式后先用臨時密鑰廣播、再用主密鑰簽發(fā)或者通過用戶的手機(jī) App 做一個藍(lán)牙中轉(zhuǎn)授權(quán)。每一步都牽扯到用戶體驗(yàn)不是改幾行代碼能搞定的。第二個是傳感器成本上漲。加密芯片和更大內(nèi)存的 MCU單顆成本可能從原本的 20~30 元漲到 40~50 元。一臺車四顆車企多掏百八十塊錢。這個成本對豪華品牌不算事但對走量的中低端車型來說真能卡掉一批老平臺方案。第三是“兼容老車型”的魔咒。存量車型的接收器硬件不支持新算法總不能強(qiáng)制全部召回?fù)Q儀表盤。實(shí)際中大概率只能從新平臺開始老車型繼續(xù)裸奔到下架這就意味著追蹤風(fēng)險會持續(xù)存在很長一段時間。如果你是車主指望車企“主動幫你升級”短期并不現(xiàn)實(shí)——這也是我在文章最后給車主建議的原因。5. 從業(yè)者驗(yàn)證路徑怎么快速判斷你的車是否暴露5.1 用 RTL-SDR 從零開始驗(yàn)證 TPMS 明文如果你手里有車或者需要做企業(yè)車隊的無線安全摸底我建議花一個周末自己做一次驗(yàn)證。過程不復(fù)雜也完全合法接收自己車或授權(quán)車輛的無線信號。步驟是這樣的準(zhǔn)備硬件RTL-SDR 電視棒一個選帶 TCXO 的版本頻率穩(wěn)定性更好天線用 433MHz 的直型天線或吸盤天線。安裝開源無線電工具電腦上裝 SDR# 或者 SDRangel能可視化看到頻譜即可。配置頻率把中心頻率設(shè)為 433.92MHz歐系車或 315MHz美系車帶寬設(shè) 2MHz。觀察信號特征開車?yán)@小區(qū)一圈觀察頻譜里出現(xiàn)的短促跳變信號帶有明顯的 FSK 調(diào)制特征就是 TPMS 報文。使用開源的 TPMS 解析工具目前 GitHub 上有多個可用的 tpms 協(xié)議解析腳本接入采集到的 IQ 數(shù)據(jù)即可輸出傳感器 ID、胎壓、溫度字段。確認(rèn)配對開啟車內(nèi)儀表胎壓界面等待報警或手動放氣一次對比抓到的 ID 變化確認(rèn)該 ID 就是自己車的那顆傳感器。如果你按這個流程在自己的車上抓到了明文 ID那么換攻擊者來在主駕門和副駕門線外的路邊裝兩臺設(shè)備他在你等紅燈、進(jìn)出地庫、車隊排隊的時候同樣也能抓到。5.2 企業(yè)車隊自查一次低成本的安全審計企業(yè)車隊尤其是物流、網(wǎng)約車、機(jī)場擺渡車這類有固定線路的車輛更需要做一輪 TPMS 無線安全審計。我建議的審計思路不是“部署全套反追蹤”而是先定量評估暴露面審計項方法輸出覆蓋車型統(tǒng)計車隊里所有車型、年款、TPMS 供應(yīng)商確認(rèn)哪些車大概率是明文方案無線信號驗(yàn)證SDR 掃描車隊停車場的 315/433MHz 信號抓取到明文報文的車輛數(shù)量占比ID 穩(wěn)定性分析連續(xù) 48 小時記錄各車 ID觀察是否變化是否存在長期穩(wěn)定指紋響應(yīng)距離測試在距車輛 5m/20m/50m 處測試接收靈敏度數(shù)據(jù)推演出攻擊者的部署密度成本偽造報文測試授權(quán)使用 USRP 或 Yard Stick 發(fā)送偽造報警報文明確能否觸發(fā)目標(biāo)車儀表報警車隊的結(jié)論往往會顛覆人的直覺你可能在 30 臺車?yán)锇l(fā)現(xiàn) 20 臺能抓到完整明文 ID而且其中 80% 的 ID 是長期穩(wěn)定的。這個結(jié)論交給管理層比任何口頭說明都有說服力。5.3 作為普通車主我們有沒有反擊手段聊點(diǎn)務(wù)實(shí)的。坦白說普通車主幾乎無法從車輛端解決這個問題。你不能換掉原廠 TPMS 傳感器也不可能給車輛加裝無線加密網(wǎng)關(guān)。你能做的是降低被追蹤的風(fēng)險暴露面注意停車環(huán)境如果明顯感覺總是同一輛車出現(xiàn)在你常去的地點(diǎn)附近不要以為是巧合。多換幾個?？课恢糜^察是否對方設(shè)備也會移位。不要讓第三方隨意讀取車輛 OBD 或胎壓數(shù)據(jù)維修保養(yǎng)時去正規(guī)授權(quán)店可以減少數(shù)據(jù)被復(fù)制的概率。警惕車內(nèi)后加的射頻設(shè)備部分車主后期加裝的胎壓顯示器、行車記錄儀本身也可能成為新的無線暴露點(diǎn)。選擇支持藍(lán)牙/本地協(xié)議的產(chǎn)品減少數(shù)據(jù)傳輸鏈路。合理看待風(fēng)險TPMS 追蹤的最大威脅來自“有組織的持續(xù)監(jiān)控”而不是路人偶遇。普通人被裝的概率遠(yuǎn)低于被 GPS 定位。你不需要恐慌但要有這個意識和基本常識。從工程師視角來看我更建議從業(yè)者和車主共同關(guān)注“數(shù)據(jù)邊界”這個概念所有從車延伸到車外的無線數(shù)據(jù)都應(yīng)該默認(rèn)被視為“可公開”。TPMS 只是一個開始進(jìn)入智能駕駛時代后車外攝像頭、V2X 路側(cè)通信、藍(lán)牙鑰匙、超寬帶雷達(dá)每一路無線信號都在擴(kuò)展邊界也都在擴(kuò)大暴露面。6. 從 TPMS 看智能汽車安全設(shè)計的通病邊界數(shù)據(jù)與默認(rèn)信任6.1 單向鏈路的“信任默認(rèn)”是最難改的遺產(chǎn)在 TARA 框架里有一個常用概念叫“資產(chǎn)Assets”。TPMS 的資產(chǎn)不只是“輪胎氣壓信息”更應(yīng)該是“與車輛唯一綁定的可識別信息”。過去設(shè)計者把它定義為普通遙測數(shù)據(jù)只考慮“幫助駕駛員識別氣壓低”卻忽略了它同時具備“身份標(biāo)定”的能力。這種設(shè)計錯位在汽車行業(yè)并不罕見。你可以看到很多車聯(lián)網(wǎng)功能也是這樣——車況接口、充電狀態(tài)、路線統(tǒng)計都在云平臺上日志一備份就是一整年。安全界經(jīng)常說“沒有數(shù)據(jù)該裸奔”但車企產(chǎn)品序列里仍然可能存在“裸奔數(shù)據(jù)”問題不是能力不夠而是“默認(rèn)信任”的慣性。6.2 幾點(diǎn)個人經(jīng)驗(yàn)與建議我自己和同行做過很多次車輛無線安全驗(yàn)證有一個體會越來越深單純追求“一次攻破”的展示價值并不大真正有價值的是幫車企和監(jiān)管層建立一套“快速發(fā)現(xiàn)低垂風(fēng)險”的機(jī)制。TPMS 這個問題本身已經(jīng)非常成熟學(xué)術(shù)界、安全研究人員、媒體都講了一輪又一輪但直到現(xiàn)在很多新車型依然是明文方案。原因并不復(fù)雜沒有發(fā)生大規(guī)模安全事故沒有被強(qiáng)制也沒有大面積用戶投訴。安全產(chǎn)品經(jīng)理在排優(yōu)先級的時候它總是被排到后面。所以如果你恰好是汽車電子工程師或產(chǎn)品經(jīng)理我建議你做設(shè)計評審時可以多問一句“這臺車發(fā)出的每一個字節(jié)會不會讓外界認(rèn)出它來”這個問題的答案往往比一份幾百頁的合規(guī)文檔更能揭示真實(shí)風(fēng)險。最后說個小經(jīng)驗(yàn)如果你要做類似的無線安全測試一定記得先跟法務(wù)確認(rèn)測試范圍和授權(quán)邊界。在車輛無線安全研究里“接收”和“發(fā)射”的法律性質(zhì)完全不同。被動接收一般處于灰色甚至合法地帶但主動發(fā)射偽造報文來測試車輛響應(yīng)未經(jīng)過車主或車企授權(quán)的話是有法律風(fēng)險的。測試工具怎么選、發(fā)射功率控制到多少、是否需要屏蔽箱這些細(xì)節(jié)都要提前想好。安全研究的意義從來不是嚇唬人而是把問題攤開讓該做決定的人有機(jī)會做正確決定。這一輪希望更多車企能做出正確的決定。