始终会报告软件安全漏洞。通常，发现漏洞时的应对措施是感谢（或者在很多情况下，是要付给）发现漏洞的研究人员，然后修复问题。这是行业中的标准响应。
绝对不标准的响应将是起诉举报该漏洞的人员，阻止他们谈论此漏洞，然后花两年时间隐藏该问题。可悲的是，这正是德国汽车制造商大众汽车所做的。
密码劫车
所讨论的漏洞是某些汽车的无钥匙点火系统的缺陷。这些系统是常规钥匙的高端替代品，除非钥匙扣在附近，否则它可以防止汽车解锁或启动。该芯片称为“超级加密货币"，是从瑞士的第三方制造商处购买的。该芯片应该能够检测到来自汽车的信号，并以加密签名的消息作为响应，以确保汽车可以解锁和启动。
不幸的是，该芯片采用了一种过时的加密方案。当研究人员Roel Verdult和Baris Ege注意到这一事实时，他们能够创建一个程序，通过侦听汽车和钥匙扣之间的消息来破坏加密。听到两次这样的交流后，该程序就可以将可能的密钥范围缩小到大约200,000种可能性，该数目很容易由计算机强行使用。
此过程允许程序创建钥匙扣的“数字副本"，然后随意解锁或启动汽车。所有这一切都可以通过恰好在所讨论的汽车附近的设备（例如笔记本电脑或电话）来完成。它不需要物理访问车辆。总共大约需要30分钟。
如果听起来像是理论上的攻击，那不是事实。根据伦敦大都会警察局的调查，去年伦敦有42％的汽车盗窃是通过对无钥匙解锁系统的攻击而进行的。这是一个实际的漏洞，使数百万辆汽车处于危险之中。
所有这些都更加悲惨，因为无钥匙解锁系统比常规钥匙要安全得多。这些系统易受攻击的唯一原因是由于能力不足。基础工具远比任何物理锁都强大。
负责任的披露
研究人员最初向芯片创建者披露了该漏洞，使他们有九个月的时间修复漏洞。当创作者拒绝提出召回时，研究人员于2013年5月去了大众汽车。他们最初计划在2013年8月的USENIX会议上发布攻击，使大众汽车有大约三个月的时间开始召回/改装，然后再进行攻击。
相反，大众汽车起诉阻止研究人员发表论文。英国高等法院支持大众汽车公司，他说：“我承认学术言论自由具有很高的价值，但还有另一个很高的价值，即数百万辆大众汽车的安全性。"
这花了两年的时间进行谈判，但是研究人员最终被允许发表论文，减去一句话，其中包含有关复制攻击的一些关键细节。大众汽车仍然没有固定钥匙扣，其他制造商也没有使用相同的芯片。
安全性由诉讼人
很明显，大众汽车在这里的行为是完全不负责任的。他们没有试图用汽车来解决问题，而是倾注了天知道多少时间和金钱来试图阻止人们发现它。这是对良好安全性最基本原则的背叛。他们在这里的行为是不可原谅的，可耻的，还有其他（更丰富多彩的）煽动行为，我会饶恕您。可以说这不是负责任的公司应该如何做。
不幸的是，它也不是唯一的。汽车制造商一直在抛弃安全球，这在任何注重安全的汽车设计中都是不可能的。值得菲亚特·克莱斯勒（Fiat Chrysler）称赞的是，他们在这一事件发生后召回了超过100万辆汽车，但这只是在相关研究人员以一种不负责任的危险和生动的方式演示了黑客入侵之后。
数百万其他与互联网连接的汽车可能很容易遭受类似的攻击-但是还没有人鲁ck地危及记者的危险，因此没有召回事件。
这里的问题是，汽车制造商以前从未像软件制造商那样，但是现在突然变成了软件制造商。这是完全有可能的。他们没有安全意识的企业文化。他们没有机构专业知识，无法以正确的方式处理这些问题或开发安全的产品。当他们面对他们时，他们的第一反应是恐慌和审查制度，而不是修复程序。
现代软件公司花了数十年的时间开发出良好的安全实践。某些人（例如Oracle）仍然特别遵守过时的安全文化，这些公司必须做得更好，将它们保持在更高的标准是我们的责任。
我们正在为此努力，我们至少可以做的是让政府停止启用这种不良行为。公司甚至不应试图利用法院来掩盖其产品的问题。但是，只要其中一些人愿意尝试，我们当然不应该允许他们。至关重要的是，我们的法官必须对安全意识强的软件行业的技术和实践有足够的了解，才能知道这种插科打order的命令永远不是正确的答案。
您如何看待？您担心车辆的安全性吗？哪个汽车制造商的安全性最好（或最差）？
图片来源：nito通过Shutterstock打开他的车
