从斯柯达和大众汽车安全漏洞事件剖析谈软件安全设计

一、事件概述

2022年，斯柯达和大众汽车被曝出存在一系列安全漏洞，这一事件引起了广泛关注。据估算，这些漏洞可能涉及超过 140 万辆汽车，涵盖斯柯达速派 III（Skoda Superb III）、斯柯达柯珞克（Skoda Karoq）、斯柯达柯迪亚克（Skoda Kodiaq）、大众 Arteon、大众途观（VW Tiguan）、大众帕萨特（VW Passat）、大众 T - Roc、大众 T - Cross、大众 Polo、大众高尔夫（VW Golf）等众多车型。

二、漏洞详情与技术分析

（一）信息娱乐单元漏洞

1. SWD调试接口问题
   • 在信息娱乐单元的 IVI PCB 上的电源控制器芯片（PWC）中存在 SWD 调试接口。该接口虽有写保护措施，但攻击者可通过擦除内存内容后重新编程的方式突破限制，获取调试权限。例如，若写保护是基于简单的软件加密算法，攻击者可能通过逆向工程分析出算法漏洞，发送特定指令擦除存储写保护密钥的