自动变速：针对联网汽车的数据隐私研究

# Automatic Transmission —— 连接汽车的数据隐私研究 来源：https://automatictransmission.khoury.northeastern.edu/index.html ## 你的汽车就是一台装了轮子的智能手机。而"耳朵"无处不在。 首个针对连接汽车生态系统的规模化测量研究。 **连接汽车**是指内置互联网接入（Wi-Fi、蜂窝网络、GPS）的车辆，使其能够持续与制造商及外部公司通信。**全球超过 75% 的在售车辆都内置了这种连接能力。** 一辆连接汽车 图片未能加载 `images/connected-car.jpg` 它知道你开车去了哪里。 它知道你是谁。 它可以将这些数据以及更多数据分享给保险公司、广告商等…… ## 研究概要 我们与 Consumer Reports 合作，测试了 21 款较新型号的车辆和 30 个配套移动应用，以了解连接汽车生态系统的隐私影响。 - 01我们发现，车辆和配套应用都会联系众多第三方域名，其中包括广告商和追踪器。 - 02受测的 21 辆车中有 19 辆将流量发送给至少一个第三方 - 0330 个应用中有 7 个将敏感标识符传输给第三方公司 我们经历了一个漫长的信息披露流程，并就制造商如何看待这一数据共享问题提供了洞察。**我们的研究结果凸显了对连接汽车生态系统进行持续测量和审查的必要性。** #### 与 Consumer Reports 的合作 Consumer Reports 向团队开放了其购买的测试车辆车队——如果要独立组建这样一支车队，成本将超过 120 万美元。 #### 论文 这项研究经过同行评审，将在 IMC '26 上发表。阅读论文 → (https://automatictransmission.khoury.northeastern.edu/paper.html) #### 研究团队 我们是东北大学（Northeastern University）一支由隐私、安全和网络系统研究人员组成的团队。查看完整团队名单 → (https://automatictransmission.khoury.northeastern.edu/authors.html) 21 受测车辆，涉及 19 个品牌 19 / 21 车辆通过 Wi-Fi 联系了第三方 7 / 30 应用向追踪器发送了个人身份信息（PII） 5 / 30 应用向追踪器发送了车辆识别码（VIN）及其他个人身份信息 ## 研究问题 连接汽车生态系统运作方式的示意图 图片未能加载 `images/car-diagram.png` #### 连接汽车生态系统 该示意图展示了车辆及其配套移动应用之间的数据流向。两者都通过 Wi-Fi 和蜂窝网络将数据（包括私密的消费者数据）发送到不同的第一方和第三方服务器。实线箭头表示我们在实验中截获的数据流。 #### 问题所在 一旦数据被发送到这些服务器，如何处理消费者信息就取决于接收数据的公司。不幸的是，在许多情况下，这包括将消费者数据分享或出售给其他未披露的第三方。**一旦数据离开了消费者的设备，消费者便失去了对它的控制权。** 在本文中，我们迈出了针对连接汽车生态系统隐私影响可见性不足问题的第一步。我们确定了生态系统中的两个观察视角，使我们能够了解连接汽车与制造商及第三方共享的数据：车辆本身以及制造商提供的移动应用。我们提出以下引导性问题： - 01连接汽车及其配套移动应用传输了哪些个人消费者数据？ - 02谁接收了这些个人消费者数据？ - 03制造商对这些发现作何回应？ ## 研究方法 2024 年 10 月至 2025 年 8 月期间，我们在受控环境中调查了美国市场的 21 辆汽车，并对与现场车辆配对的 30 个配套移动应用进行了测试。以下是我们所做实验及实验设置的说明。 ### 车辆测试 测试设置 图片未能加载 `images/rpi.png` #### Wi-Fi 测试设置 为收集车辆的 Wi-Fi 流量，我们在 Raspberry Pi 上配置了一个定制接入点（AP），并使用 tcpdump 记录通过该 AP 发送或接收的所有数据包。这使我们能够看到车辆发送数据的所有目的地，但无法看到数据包内的信息，因为流量是加密的。 测试场地中的车辆 图片未能加载 `images/test-facility.jpg` #### 静止测试 **怠速基线**：车辆开启——无任何活动 **主动测试**：执行所有可能的操作 #### 行驶测试 以 5–45 英里/小时的速度行驶，包含加速与急刹车 #### 隔离蜂窝流量 用于屏蔽蜂窝信号的法拉第帐篷 图片未能加载 `images/faraday-tent.jpg` 我们检验的一个假设是：阻止车辆通过蜂窝网络通信，是否会迫使其增加 Wi-Fi 通信量。为屏蔽外部蜂窝信号，我们将样本中的 11 辆电动汽车驶入一个可容纳一辆车大小的法拉第帐篷中，该帐篷提供约 93 dB 的衰减，完全阻断了它们的蜂窝连接。我们随后在帐篷内重复了静态怠速和主动测试，观察原本通过蜂窝网络传输的流量是否会改道至 Wi-Fi。 ### 应用测试 我们总共测试了 30 个连接汽车配套应用，这些应用均与 Consumer Reports 测试场地中的车辆进行了配对。 #### 设备设置 - 01我们使用了多种测试手机和 iOS 版本：iPhone 8/iOS 16.6、iPhone X/iOS 16.7.11 和 iPhone 13/iOS 18.5。 - 02为尽量减少后台流量，我们在测试手机上删除了所有非必要应用，并逐一测试各个应用，包括在下载下一个应用之前删除上一个车辆应用并重启手机。 - 03我们使用 iOS 原生屏幕录制功能录制与每个应用的交互过程，以便后续审查。 - 04为捕获和解密配套移动应用的网络流量，我们使用了安装自定义根证书并连接至 mitmproxy 的 iPhone。 #### 每个应用的测试流程 - 01在应用安装和登录过程中，我们接受了应用请求的所有权限（例如，追踪、位置、日历访问、蓝牙、通知） - 02我们请一位 Consumer Reports 员工使用其与停车场中某辆车辆关联的现有凭据登录应用。 - 03登录后，我们手动使用了所有可用功能，例如查找附近的充电站、对车辆进行地理定位、查看车辆数据和服务历史（例如胎压）、查看通知（例如"车门已解锁"）以及查看应用内的隐私政策。 - 04部分应用允许我们对车辆进行物理操作，例如远程开启后备箱。我们执行了所有此类操作，并验证车辆确实完成了每一项请求。 ## 车辆数据集 120 万美元+ 若独立采购这支车队的预估成本——这得益于与 Consumer Reports 的合作才成为可能 | 制造商 | 品牌 | 年份 | 车型 | 车辆测试 | 行驶 | 怠速 | 帐篷内 | 蜂窝 | | --- | --- | --- | --- | --- | --- | --- | --- | --- | | General Motors (GM) | Buick | 2024 | Envista | ✓ | ✓ | – | – | – | | General Motors (GM) | Cadillac | 2024 | Lyriq | ✓ | ✓ | ✓ | – | – | | General Motors (GM) | Chevrolet | 2024 | Blazer | ✓ | ✓ | ✓ | – | – | | Stellantis | Dodge | 2023 | Hornet | – | ✓ | – | – | – | | Stellantis | Fiat | 2024 | 500e | ✓ | ✓ | ✓ | – | – | | Stellantis | RAM | 2025 | 1500 Bighorn | ✓ | ✓ | – | – | – | | Fisker | Fisker | 2023 | Ocean | ✓ | ✓ | ✓ | – | – | | Ford Motor Co. | Ford | 2022 | F150 Lightning | ✓ | ✓ | ✓ | – | – | | Ford Motor Co. | Ford | 2024 | Mustang GT Fastback | ✓ | ✓ | – | – | – | | Honda Motor Co. | Honda | 2024 | Prologue Touring AWD | ✓ | ✓ | ✓ | – | – | | Tata Motors | Land Rover | 2023 | Range Rover Sport | ✓ | ✓ | – | – | – | | Toyota Motor Corp. | Lexus | 2024 | NX450H+ PHEV | ✓ | ✓ | – | – | – | | Toyota Motor Corp. | Toyota | 2023 | Corolla Cross | ✓ | ✓ | – | – | – | | Toyota Motor Corp. | Subaru | 2023 | Solterra | ✓ | ✓ | ✓ | – | – | | Lucid | Lucid | 2023 | Air Touring | ✓ | ✓ | ✓ | – | – | | Mercedes-Benz Group AG | Mercedes | 2023 | EQS450 4Matic | ✓ | ✓ | ✓ | – | – | | Renault-Nissan-Mitsubishi Alliance | Nissan | 2023 | Ariya Platinum | ✓ | ✓ | ✓ | – | – | | Rivian | Rivian | 2022 | R1S | ✓ | ✓ | ✓ | – | – | | Tesla | Tesla | 2024 | Cybertruck | ✓ | ✓ | ✓ | – | – | | Tesla | Tesla | 2024 | Model 3 | ✓ | ✓ | ✓ | – | ✓ | | Zhejiang Geely Holding Group | Volvo | 2024 | C40 | ✓ | ✓ | ✓ | – | – | **\*** 尽管我们测试了种类广泛的车辆，但并未覆盖美国市场的每一个制造商。与所有实证研究一样，我们的结果应被视为特定时间点的快照，可能无法推广到样本之外的车辆或美国以外的市场。 ## 研究发现 - **21 辆车中有 19 辆**通过 Wi-Fi 联系了至少一个第三方，其中包括已知的广告和追踪域名 - **30 个配套应用中有 7 个**将敏感标识符（车辆识别码 VIN、电子邮件、电话号码、精确位置）传输给与广告和追踪相关的第三方。向同一第三方传输多种形式的个人身份信息，使广告商能够建立对消费者的深度画像 点击任意公司标签，查看其接收了哪些信息以及来自哪个应用。 - 配套应用使车辆暴露于广告/追踪公司的程度平均**大致翻倍**，在某些情况下还增加了 20 多家新的公司。 仅车辆模式下的 ATA 公司 / 配套移动应用新增的 ATA 公司 ## 制造商披露 - 团队已将这些发现披露给研究中涉及的不同制造商，以下是收到的各种解释的交互式摘要。 点击上方任意方框查看更多信息。 - 所有这些回应的共同主题是**将责任推给消费者**。 - **现行制度没有给车主选择的权利。** 假设车主能够找到相关协议，如果车主对协议中描述的数据共享感到不适，他们将面临（可以说）不公平的选择：01 无论顾虑与否都接受这些协议；02 停止使用车辆的连接功能——包括远程启动、应用程序及其他非常有用的功能；03 完全停止使用该车辆。 - 作为一项显著的例外，**Honda** 改进了其数据收集做法，避免向与用户追踪相关的第三方发送精确地理位置。 ## 结论 - 我们发现，**车辆在各种真实场景下，联系的不仅是广泛的第一方（即制造商域名）和车辆专属支持方，还包括已知提供广告和追踪服务的第三方。** - 同一制造商生产的车辆表现出不同的网络行为——这使得研究这些车辆变得非常困难且成本高昂。 - 当将车辆配套应用纳入分析后，我们发现车主面临更多涉及隐私的 ATA 通信——在某些情况下，追踪器数量增加了二十多个。 - 我们的研究揭示了**车辆制造商公开披露的内容与连接汽车生态系统实际通过互联网共享数据的方式之间存在巨大差距** - **基于车辆系统的不透明性质，我们认为有必要提高透明度，以确保对整个生态系统有更高的可见性，从而识别并应对相应的危害。**