自动挡：联网汽车的数据隐私研究
首个针对联网汽车生态系统的大规模测量研究。
联网汽车是指内置互联网接入的车辆——Wi-Fi、蜂窝网络、GPS——能够持续与制造商及外部公司通信。全球售出的新车中，超过 75% 都自带这种联网功能。
图片无法加载images/connected-car.jpg
报告摘要
我们与 Consumer Reports 合作，测试了 21 辆较新的车型和 30 款配套手机 App，以了解联网汽车生态系统带来的隐私问题。
- 01我们发现车辆和配套 App 都会联系大量第三方域名，其中包括广告商和追踪器。
- 02在测试的 21 辆车中，有 19 辆会向至少一个第三方发送流量
- 030 款 App 中有 7 款向第三方公司传输敏感标识符
我们经历了漫长复杂的披露流程，并深入了解了制造商如何看待这种数据共享问题。
我们的研究结果凸显了对联网汽车生态系统持续进行测量和审查的必要性。
与 Consumer Reports 的合作
Consumer Reports 向研究团队开放了其自购的测试车队——这些车辆如果自行采购，成本将超过 120 万美元。
论文
本研究已通过同行评审，将在 IMC '26 上发表。阅读论文 →
研究团队
我们是 Northeastern University 的一支隐私、安全和网络系统研究团队。 查看完整团队 →
21辆测试车辆，涵盖 19 个品牌 30款配套
手机 App 19 / 21辆车通过 Wi-Fi 联系过
第三方 7 / 30款 App 向追踪器发送了 PII 5 / 30款 App 向追踪器发送了 VIN 及其他
PII
浏览论文
可直接跳转到任意章节，或向下滚动阅读全文。
01研究问题
这篇论文研究什么？我们想找什么？
→ 03研究方法
以通俗易懂的方式讲解我们做的实验。
→ 02车辆数据集
我们考察的车型列表
→ 04研究结果
主要发现及其启示。
→ 05厂商回应
各大厂商对我们发现的回应
→ 05结论与意义
宏观视角与核心要点。
→研究问题
图片无法加载 https://dbyun-product.oss-cn-chengdu.aliyuncs.com/crawl/0e9b008ff7047d823fa13271eae64817.png
车联网生态系统
该图展示了车辆及其配套手机 App 之间的数据流向。 这两类设备均通过 Wi-Fi 和蜂窝网络向不同的第一方和第三方服务器发送数据，其中包括个人隐私数据。 图中实线箭头表示我们在实验中截获的数据流。
存在的问题
数据一旦传输至这些服务器，如何处理这些用户信息完全由接收方决定。遗憾的是，在许多情况下，这包括
将用户数据共享或出售给其他未公开的第三方。
一旦数据离开用户设备，用户便无法对其行使控制
本研究为厘清车联网生态系统的隐私影响迈出了重要一步。
我们在该生态系统中找到了两个洞察数据共享行为的切入点：车辆本身，以及厂商提供的配套手机 App。
我们围绕以下核心问题展开研究：
- 01车联网及其配套 App 传输了哪些个人用户数据？
- 02这些个人数据流向了谁？
- 03厂商对上述发现作出了何种回应？
研究方法
我们在受控环境下，对 21 款面向美国市场的车辆及其 30 个配套 App 进行了测试，测试时间跨度为 2024 年 10 月至 2025 年 8 月。实验在车辆现场进行，以下介绍我们的实验设置与流程。
车辆测试
图片未加载 https://dbyun-product.oss-cn-chengdu.aliyuncs.com/crawl/820840214dbd8f62324ff2faf769f850.png
Wi-Fi 测试装置
图片未加载 https://dbyun-product.oss-cn-chengdu.aliyuncs.com/crawl/820840214dbd8f62324ff2faf769f850.png
为了采集车辆的 Wi-Fi 流量，我们在 Raspberry Pi 上配置了一个自定义的接入点（AP），并使用 tcpdump 记录经过该 AP 收发的所有数据包。
这样我们能看到车辆向哪些目标地址发送数据，但由于数据是加密的，无法得知包内的具体内容。
图片未加载 images/test-facility.jpg
静态测试
怠速基线车辆通电，无操作 活跃测试
执行所有可能的操作
行驶测试
以 5–45 mph 的速度行驶，伴随加速和急刹车
隔离蜂窝流量
图片未加载 images/faraday-tent.jpg
我们验证的一个假设是：阻断车辆的蜂窝通信能力，是否会更强的迫使其使用 Wi-Fi。为阻断外部蜂窝信号，我们将样本中的 11 辆电动车开进一个汽车大小的法拉第帐篷，该帐篷提供约 93 dB 的衰减，彻底屏蔽了蜂窝连接。在帐篷内重复进行静态怠速和活跃测试，观察原本经蜂窝网络外发的流量是否改由 Wi-Fi 路由。
应用测试
总体而言，我们在 Consumer Reports 的测试场地对 30 款车联网伴侣应用进行了实验，并将这些应用与车辆进行配对。
设备配置
- 01我们在实验中使用了不同测试手机和 iOS 版本的组合：iPhone 8/iOS 16.6、iPhone X/iOS 16.7.11，以及 iPhone 13/iOS 18.5。
- 02为减少后台流量，我们在测试手机上删除了所有非必需应用，并逐一测试每个应用，包括在下一个应用下载前删除当前车辆应用并重启手机。
- 03我们使用 iOS 自带的屏幕录制功能，记录与各应用的交互过程以便后续复查。
- 04为了抓取并解密配套手机 App 的网络流量，我们使用 iPhone 安装了自签根证书，并通过 mitmproxy 进行中间人代理。
每个 App 的测试流程
- 01安装并登录 App 时，对于应用请求的所有权限（如跟踪、定位、日历访问、蓝牙、通知），我们全部予以同意
- 02由 Consumer Reports 员工使用自己已有的账号登录 App，该账号关联的是测试场地上的一辆真实车辆。
- 03登录后，我们手动操作了 App 提供的全部功能，例如查找附近充电站、定位车辆位置、查看车辆数据和维保记录（如胎压）、查看通知（如“车门未上锁”），以及查看 App 内的隐私政策。
- 04部分 App 还支持对车辆进行实际操作，比如远程打开后备箱。我们执行了所有此类操作，并确认车辆都完成了对应请求。
车辆数据集
$120 万+ 自行购置这支车队所需的估算成本，得益于 Consumer Reports 的合作才得以实现| 制造商 | 品牌 | 年份 | 车型 | 车辆测试 | |||
|---|---|---|---|---|---|---|---|
| 行驶 | 怠速 | 帐篷内 | 蜂窝网络 | ||||
| General Motors（GM） | Buick | 2024 | Envista | ✓ | ✓ | – | – |
| Cadillac | 2024 | Lyriq | ✓ | ✓ | ✓ | – | |
| Chevrolet | 2024 | Blazer | ✓ | ✓ | ✓ | – | |
| Stellantis | Dodge | 2023 | Hornet | - | ✓ | – | – |
| Fiat | 2024 | 500e | ✓ | ✓ | ✓ | – | |
| RAM | 2025 | 1500 Bighorn | ✓ | ✓ | – | – | |
| Fisker | Fisker | 2023 | Ocean | ✓ | ✓ | - | – |
| Ford Motor Co. | Ford | 2022 | F150 Lightning | ✓ | ✓ | - | – |
| Ford | 2024 | Mustang GT Fastback | ✓ | ✓ | – | – | |
| 本田汽车公司 | 本田 | 2024 | Prologue Touring AWD | ✓ | ✓ | ✓ | – |
| 塔塔汽车 | 路虎 | 2023 | Range Rover Sport | ✓ | ✓ | – | – |
| 丰田汽车公司 | 雷克萨斯 | 2024 | NX450H+ PHEV | ✓ | ✓ | – | – |
| 丰田 | 2023 | Corolla Cross | ✓ | ✓ | – | – | |
| 斯巴鲁 | 2023 | Solterra | ✓ | ✓ | ✓ | – | |
| Lucid | Lucid | 2023 | Air Touring | ✓ | ✓ | ✓ | – |
| 梅赛德斯-奔驰集团 | 奔驰 | 2023 | EQS450 4Matic | ✓ | ✓ | - | – |
| 雷诺-日产-三菱联盟 | 日产 | 2023 | Ariya Platinum | ✓ | ✓ | ✓ | – |
| Rivian | Rivian | 2022 | R1S | ✓ | ✓ | ✓ | – |
| Tesla | Tesla | 2024 | Cybertruck | ✓ | ✓ | ✓ | – |
| Tesla | 2024 | Model 3 | ✓ | ✓ | ✓ | ✓ | |
| 浙江吉利控股集团 | 沃尔沃 | 2024 | C40 | ✓ | ✓ | ✓ | – |
*虽然我们测试了多种车型，但并未覆盖美国市场的所有制造商。如同所有实证研究一样，我们的结果应被视为某一时间点的快照，可能不适用于样本之外的车辆或非美国市场。
主要发现
- 21 辆车中有 19 辆通过 Wi-Fi 与至少一家第三方机构建立连接，包括已知的广告和跟踪域名
- 30 款配套应用中有 7 款向与广告和跟踪相关的第三方传输敏感标识符（VIN 码、邮箱、电话号码、精确位置）。
向同一家第三方传输多种个人身份信息，使广告商能够建立深入的用户画像
- 平均而言，将配套应用与车辆配对后，车辆接触广告/跟踪公司的数量增加了一倍；在某些情况下，甚至新增了 20 多家此类公司。
制造商信息披露
- 该团队已向研究中涉及的相关制造商通报了这些发现。下方是来自各方的互动式摘要，汇总了所收到的各类说明。
- 这些回应中反复出现的一个主题是：将责任推卸给消费者。
-
当前系统并未赋予车主选择权。
假设车主能够找到相关协议，若车主对其中描述的数据共享感到不适，他们将面临（某种程度上）不公平的选择：
01 尽管有顾虑，仍接受协议
02 停止使用车辆的车联网功能——这包括远程启动、配套 App 及其他实用功能
03 完全停止使用该车辆
- 值得一提的是，本田是一个显著的例外，其改进了数据收集实践，以防止向与用户追踪相关的第三方发送精确地理位置信息。
结论
- 我们的研究发现，在多种真实场景下，车辆不仅会联系广泛的第 一方（即制造商域名）及车辆专属支持方，还会联系已知提供广告和追踪服务的第三方。
- 同一制造商生产的车辆表现出不同的网络行为——这使得研究这些车辆变得极其困难且成本高昂。
- 当将车辆配套 App 纳入分析范围时，我们发现车主暴露于更多对隐私敏感的 ATA 通信之中——在某些情况下，甚至涉及二十多个额外的追踪器。
- 我们的研究揭示了一个巨大差距：车辆制造商公开披露的内容与车联网生态系统在互联网上实际共享数据的方式之间存在脱节。
- 基于车辆系统的不透明性，我们认为需要提高透明度，以增强对整体生态系统的可见度，从而识别并解决相应的危害。