01 · 档案收录标准与方法说明
本档案服务于第3页TARA的威胁场景库与防御基线映射，收录原则：
- 公开可查证：每起事件均有学术论文、官方披露、权威媒体报道或研究者公开发布作为出处；
- 已完成处置或有明确结论：仅收录已修复、已召回、已发表或已司法结案的事件，不收录未决传闻；
- 最小必要：不收录可直接复用的攻击载荷与利用细节，仅保留事实、影响与防御启示；
- 口径谨慎：受影响规模等数据以官方披露为准，公开报道口径不一的标注"约"。
02 · 标志性事件总表（2010—2025）
| 时间 | 事件/编号 | 类型 | 关键事实 |
|---|---|---|---|
| 2010—2011 | 现代汽车实验安全分析（Koscher et al., IEEE S&P 2010；Checkoway et al., USENIX Sec 2011） | 学术研究奠基 | 首次系统证明对在产乘用车的控制（经OBD注入）与多入口远程攻击面（CD播放器文件解析、蓝牙、蜂窝链路等），奠定"整车攻击面"研究范式 |
| 2012—2013 | Megamos Crypto防盗器弱点 | 密码实现缺陷 | 学术界披露大众集团等采用的Megamos发动机防盗器算法与密钥管理弱点；因诉讼禁令延迟发表（2013年USENIX Security）。启示：钥匙/防盗系统的密码实现须可公开审计 |
| 2015.1—2 | 宝马ConnectedDrive漏洞（ADAC披露） | 远程服务漏洞 | 数字服务通信模块存在漏洞，可被利用远程开锁；宝马随后修复。启示：远程服务的每一路通道都需独立评估 |
| 2015.8 | Jeep Cherokee远程入侵（Miller & Valasek） | 远程控制 | 经Uconnect娱乐系统的蜂窝连接侵入2014款Jeep Cherokee并控制制动等（低速场景演示转向干预）；克莱斯勒召回约140万辆——汽车网络安全首次演变为大规模公共安全事件 |
| 2016.2 | 日产Leaf API缺陷（Troy Hunt披露） | API鉴权缺失 | 配套App的远端API仅凭VIN即可访问车辆信息并远程控制空调（无有效身份认证）；日产随后下线修复。启示：VIN是公开标识符，不能作为鉴权凭据（第4页） |
| 2016.9 | 腾讯科恩实验室远程入侵Tesla Model S | 远程控制 | 经Wi-Fi链路与浏览器漏洞链远程入侵并控制雨刮、座椅、后备箱等多项功能（制动演示在授权低速场景）；Tesla随后以OTA修复。启示：IVI与浏览器的IT化攻击面须按互联网标准防护 |
| 2018.9 | KU Leuven披露Tesla Model S钥匙中继攻击（DST80） | 无钥匙进入/密码 | Model S的Pektron钥匙采用弱保护的DST80密码，约600美元设备即可实现中继攻击；Tesla随后OTA新增PIN to Drive并更新钥匙方案。启示：近场面的密码强度与距离约束缺一不可 |
| 2019.8 | KU Leuven再次分析Tesla新版钥匙 | 无钥匙进入 | 针对改进版钥匙的再次攻破公开，Tesla随后修复。启示：钥匙系统的攻防对抗是持续过程，披露-修复闭环效率是关键 |
| 2022.12 | SiriusXM智能网联服务接口缺陷（Sam Curry等披露） | API对象级授权缺陷 | 其车辆授权接口可经篡改授权字段并替换已知VIN实现越权，影响本田、日产、英菲尼迪部分联网车辆（远程操作、定位读取等）；披露后修复。启示：对象级授权与遍历检测（第4页） |
| 2022.10 | 丰田T-Connect源码密钥泄露 | 代码与密钥管理失效 | 承包商误将T-Connect网站部分源码（含数据库访问密钥）上传至公开GitHub仓库，2017年12月—2022年9月期间约296,019名客户的邮箱地址与客户管理编号可能暴露；丰田致歉并通知受影响客户。启示：密钥不入代码仓库、代码泄漏扫描与第三方开发管控（第4页） |
| 2023.5 | 丰田T-Connect/G-Link等云数据库配置错误 | 云配置漂移 | 丰田披露云环境数据库配置错误，约215万辆车（2012年1月—2023年4月注册相关服务的T-Connect/G-Link/G-Link Lite/G-BOOK用户）的导航终端ID、车架号及车辆位置信息可能遭未授权访问，车外影像数据亦可能受影响；官方称尚无个人信息泄露与滥用证据，事后致歉并整改。启示：云配置基线审计与暴露面持续核查（第4页） |
| 2023 | BrokenWire（牛津大学/KU Leuven，USENIX Security 2023） | 充电设施漏洞 | 针对CCS直流快充桩PLC信令的漏洞，可远程中断充电会话；相关厂商随后发布固件修复。启示：充电生态是汽车安全边界的外延 |
03 · 共性模式与演化规律
3.1 入口类型的三次迁移
- 2010—2015：物理/总线入口为主——OBD、诊断口、总线注入是主要立足点（Koscher/Checkoway）；
- 2015—2019：远程连接与无线入口爆发——蜂窝链路（Jeep）、IVI浏览器（Keen）、钥匙近场（KU Leuven）成为主战场，OTA修复价值凸显；
- 2020—2025：云端与生态接口成为新焦点——API授权缺陷（SiriusXM）、云配置漂移（丰田T-Connect）、充电设施（BrokenWire）占比上升，攻击面从"单车"扩展至"平台"。
3.2 五条共性教训
- 入口高度集中于"对外连接的最薄弱环节"：历次事件几乎都不是攻破密码算法本身，而是绕过认证、滥用授权或利用配置错误；
- OTA改变修复经济学：Tesla案例显示OTA可将缓解周期从"月"压缩到"天"，但其前提是升级链路自身安全（第5页）；
- 近场面对抗永不收官：钥匙系统2012（Megamos）→2018→2019的三轮攻防说明，凡涉及射频的入口都需假设持续对抗；
- 车队级影响成为常态：云与API缺陷单次波及数十万用户，"平台即车辆"时代必须按关键信息基础设施的严肃度运营车企云；
- 负责任披露机制走向成熟：从2013年Megamos诉讼禁令到近年厂商快速响应与公开致谢，协同披露文化显著改善，研究者-厂商-监管的三方协同是行业资产。
04 · 防御基线映射
| 案例暴露的缺陷类别 | 对应防御基线（回本课题对应页） |
|---|---|
| API鉴权缺失/对象级授权缺陷（Leaf、SiriusXM） | API治理基线：鉴权全覆盖、对象级授权、速率限制与遍历检测（第4页04节） |
| 云配置漂移（丰田T-Connect） | 云资产与基线审计、变更审批、暴露面持续扫描（第4页05节） |
| 娱乐系统远程入侵（Jeep、Keen） | 对外连接域隔离、IVI加固、mTLS与指令防重放（第2、4页） |
| 钥匙中继/密码弱点（Megamos、KU Leuven） | 密码方案可审计、距离约束、PIN to Drive类二次确认、OTA快速轮换（第2、5页） |
| 充电设施漏洞（BrokenWire） | 充电接口纳入车辆安全评估边界，桩端固件安全与协议加固（第6页05节） |
| 总线明文信任（2010—2011奠基研究） | SecOC、网关白名单、诊断分级授权（第2页04节） |
本节参考来源（第7页）
Koscher, K. et al.《Experimental Security Analysis of a Modern Automobile》（IEEE S&P 2010）；Checkoway, S. et al.《Comprehensive Experimental Analyses of Automotive Attack Surfaces》（USENIX Security 2011）。
《Dismantling MEGAMOS Crypto: Wirelessly Lockpicking a Vehicle Immobilizer》（USENIX Security 2013）——含大众集团诉讼与发表延迟的公开记录。
Miller, C. & Valasek, C.《Remote Exploitation of an Unaltered Passenger Vehicle》（2015）与Wired 2015年8月报道；克莱斯勒召回公告（约140万辆）。
Troy Hunt日产Leaf披露（2016年2月，troyhunt.com）；ADAC宝马ConnectedDrive分析（2015年，adac.de公开资料）。
腾讯科恩实验室Tesla Model S远程攻击研究（2016年9月，keenlab.tencent.com公开报告）。
KU Leuven COSIC：Model S钥匙DST80研究（2018）与后续钥匙分析（2019）——esat.kuleuven.be/cosic；Tesla官方软件更新说明（PIN to Drive，2018年10月）。
Sam Curry等SiriusXM相关披露（2022年11—12月，samcurry.net）；丰田T-Connect源码密钥泄露官方披露（2022年10月）；丰田云数据库配置错误官方披露（2023年5月）。
《BrokenWire: Disrupting the CCS Electric Vehicle Charging Network》（USENIX Security 2023，牛津大学与KU Leuven研究者）。