隨著汽車產(chǎn)業(yè)在智能化網(wǎng)聯(lián)化方向深入發(fā)展，新型汽車產(chǎn)品已逐步成為車輪上的數(shù)據(jù)中心。據(jù)統(tǒng)計，今天的汽車有多達 150 個車載控制器和大約 1 億行代碼，支撐自動駕駛、網(wǎng)聯(lián)通信、人機交互等新興功能的實現(xiàn)。高度復(fù)雜的汽車電子電氣系統(tǒng)、通信網(wǎng)絡(luò)和軟件配備也為針對車輛和道路基礎(chǔ)設(shè)施的網(wǎng)絡(luò)攻擊創(chuàng)造了大量的機會。通過診斷服務(wù)、OTA 更新等方式修復(fù)安全問題，并持續(xù)提升車輛的網(wǎng)絡(luò)安全防護水平，成為行業(yè)共識。21年10月，第四屆中國汽車安全與召回技術(shù)論壇暨2021年汽車安全大會在嘉興平湖召開。會上，艾拉比車聯(lián)網(wǎng)副總裁賀思聰發(fā)表的智能汽車OTA升級防護實踐中表示：整車OTA安全一方面從政府監(jiān)管層面開看，政企配合讓OTA回歸監(jiān)管，另一方面，從產(chǎn)品和技術(shù)層面看，建立以主動防御為核心的網(wǎng)絡(luò)安全防護體系，從云端、車端、移動端全面保障網(wǎng)絡(luò)安全至關(guān)重要。隨著軟件定義汽車的發(fā)展，OTA作為汽車功能升級、漏洞彌補的重要手段，成為安全防護中的重要環(huán)節(jié)，走進了政府的監(jiān)管體系。此外，21年12月，中國軟件評測中心聯(lián)合國家信息技術(shù)安全研究中心、國汽智聯(lián)以及多家企業(yè)單位發(fā)布“智能網(wǎng)聯(lián)汽車安全滲透白皮書2.0”。白皮書2.0關(guān)于智能網(wǎng)聯(lián)汽車網(wǎng)絡(luò)安全危險分析中，重點進行了OTA升級威脅分析實例的展示。可見，OTA安全也是汽車安全防御體系的重要環(huán)節(jié)。從艾拉比發(fā)布的OTA發(fā)展趨勢來看，OTA經(jīng)歷了幾大階段：零部件級、整車級、企業(yè)級，未來將會進入行業(yè)級的發(fā)展，技術(shù)愈加復(fù)雜，使命愈加艱巨。隨著升級的目標(biāo)延伸到車內(nèi)的功能安全零部件范圍，整車系統(tǒng)的升級方案無論在安全性要求，還是可靠性方面，都比過去升級娛樂系統(tǒng)的目標(biāo)要嚴(yán)苛許多。整車OTA需要具備四大要素：可靠性、安全性、先進性、可拓展性。四大要素背后，實際上也是OTA廠商經(jīng)驗和能力的體現(xiàn)。今天我們就安全升級方面采訪了艾拉比車聯(lián)網(wǎng)解決方案專家楊森，一起探討汽車進入軟件定義時代的安全方案。汽車進入智能時代，網(wǎng)絡(luò)安全問題無處不在，OTA成為了汽車修復(fù)安全問題的重要手段。立足產(chǎn)業(yè)發(fā)展，我們應(yīng)該如何應(yīng)對汽車安全問題？
楊森：安全是智能網(wǎng)聯(lián)汽車發(fā)展的先決條件，近年來世界各地先后爆出網(wǎng)絡(luò)安全事件，我國政府對安全的重視程度逐步提升，在智能網(wǎng)聯(lián)汽車網(wǎng)絡(luò)安全、數(shù)據(jù)安全、OTA升級等領(lǐng)域都相繼出臺了法律法規(guī)。首先，智能網(wǎng)聯(lián)汽車行業(yè)的健康發(fā)展離不開完善的標(biāo)準(zhǔn)法規(guī)，我國智能網(wǎng)聯(lián)汽車信息安全尚處于起步階段，相應(yīng)的汽車信息安全技術(shù)要求以及管理細則還未完善。在政策法規(guī)層面上，一是需進一步加強智能網(wǎng)聯(lián)汽車信息安全政策的頂層設(shè)計，推進各職能部門統(tǒng)籌協(xié)調(diào)，完善相關(guān)的標(biāo)準(zhǔn)法規(guī)；二是明確對汽車產(chǎn)品的信息安全要求，落實汽車相關(guān)企業(yè)的安全責(zé)任；三是開展相關(guān)的安全場景測試，加強汽車安全的監(jiān)測評估。另外，汽車信息安全是覆蓋整個汽車生命周期的防護體系，系統(tǒng)級的智能網(wǎng)聯(lián)汽車安全防護技術(shù)依舊缺乏完善的解決方案，在應(yīng)用上還存在一定的難度，比如缺乏專業(yè)的測試體系和測試方法，缺乏完善汽車信息安全防護以及預(yù)警機制等，所以從企業(yè)與技術(shù)層面，一是提升網(wǎng)絡(luò)安全管理能力，培養(yǎng)安全意識，建立汽車全生命周期的安全防護措施；二是要加快安全技術(shù)研發(fā)與應(yīng)用，推動在應(yīng)用軟件，芯片，通信協(xié)議以及操作系統(tǒng)等方面的安全技術(shù)創(chuàng)新；三是構(gòu)建更完善的安全測評體系，加強安全風(fēng)險評估；四是通過車輛軟件漏洞挖掘建立車輛軟件漏洞缺陷庫，基于大數(shù)據(jù)有效識別車輛安全風(fēng)險，加強車輛安全預(yù)警分析。五是建設(shè)完善的軟件遠程更新能力，在保證發(fā)現(xiàn)軟件重大安全漏洞時可以迅速地更新軟件。通過遠程診斷+OTA修復(fù)系統(tǒng)和軟件問題已成行業(yè)共識，20年市場監(jiān)督管理總局發(fā)布“加強OTA召回監(jiān)管通知”，21年工信部發(fā)布“管理意見”，將OTA納入重點監(jiān)管。能否進一步介紹一下，目前在整車OTA安全方面國內(nèi)外政策法規(guī)有哪些相關(guān)要求？
楊森：OTA升級安全在全球范圍內(nèi)愈加重視，全球多個組織制定了或正在制定相關(guān)的安全標(biāo)準(zhǔn)法規(guī)。首先從國際上來看，出臺的主要法規(guī)有UNECE WP.29（R155/R156），ISO/SAE21434等，法規(guī)中相關(guān)內(nèi)容聚焦車輛網(wǎng)絡(luò)安全管理，車輛軟件版本管理，車輛OTA升級流程，明確要求提供安全可靠的軟件更新機制，確保車載軟件通過OTA升級的安全性，對于企業(yè)建立有效的車輛網(wǎng)絡(luò)安全管理的提供了有效的支撐。另外從國內(nèi)看，為了促進了智能網(wǎng)聯(lián)汽車的合規(guī)健康發(fā)展，近年來也相繼出臺多項法規(guī)：
市場監(jiān)管總局發(fā)布《關(guān)于加強汽車遠程升級（OTA）技術(shù)召回備案的通知》要求企業(yè)采用OTA方式對已售車輛開展技術(shù)服務(wù)活動的，應(yīng)向市場監(jiān)管總局質(zhì)量發(fā)展局備案。生產(chǎn)者采用OTA方式消除汽車產(chǎn)品缺陷、實施召回的，應(yīng)制定應(yīng)制定召回計劃，向市場監(jiān)管總局質(zhì)量發(fā)展局備案，依法履行召回主體責(zé)任；
工信部發(fā)布《關(guān)于加強智能網(wǎng)聯(lián)汽車生產(chǎn)企業(yè)及產(chǎn)品準(zhǔn)入管理的意見》，意見指出汽車企業(yè)應(yīng)具有在線升級安全影響評估、測試驗證、實施過程保障、信息記錄等能力，確保車輛進行在線升級時處于安全狀態(tài)，并向車輛用戶告知在線升級的目的、內(nèi)容、所需時長、注意事項、升級結(jié)果等信息，未經(jīng)審批，不得通過在線等軟件升級方式新增或更新汽車自動駕駛功能；
工信部發(fā)布《關(guān)于加強車聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全工作的通知》要求加強在線升級服務(wù)（OTA）安全和漏洞檢測評估，強化應(yīng)用程序安全管理，加強數(shù)據(jù)分類分級管理，提升數(shù)據(jù)安全技術(shù)保障能力，規(guī)范數(shù)據(jù)開發(fā)利用和共享使用，強化數(shù)據(jù)出境安全管理，加快車聯(lián)網(wǎng)安全標(biāo)準(zhǔn)建設(shè)；
國家互聯(lián)網(wǎng)信息辦公室發(fā)布了《汽車數(shù)據(jù)安全管理若干規(guī)定（試行）》明確了汽車重要數(shù)據(jù)范圍，為汽車領(lǐng)域個人信息保護工作明確了基本原則，對汽車數(shù)據(jù)處理提出了具體管理要求，為構(gòu)建安全有序的汽車數(shù)據(jù)生態(tài)，推動汽車智能化產(chǎn)業(yè)良性發(fā)展提供了保障。
我國網(wǎng)絡(luò)安全技術(shù)研究雖然起步較晚，但是經(jīng)過近年來的快速發(fā)展，已經(jīng)趕上了全球網(wǎng)絡(luò)安全技術(shù)發(fā)展進度，成為全球重要的網(wǎng)絡(luò)安全保障力量。從技術(shù)層面上來講，整車OTA主要面臨哪些方面的安全風(fēng)險？應(yīng)該如何加強？
楊森：OTA升級的風(fēng)險存在于升級的各個環(huán)節(jié)中。首先從信息安全角度來看，要確保升級包本身的安全問題，比如軟件包中是否含有安全漏洞、軟件包上傳過程是否被篡改等，這是安全升級的第一步。另外，從升級過程的安全風(fēng)險來看，涉及云管端等三端的攻擊風(fēng)險，比如在云端，會存在黑客攻擊導(dǎo)致服務(wù)不可用、敏感數(shù)據(jù)或軟件包保護密鑰泄露等風(fēng)險；數(shù)據(jù)傳輸過程，會存在有竊聽、篡改，冒充，偽造升級傳輸指令等風(fēng)險；車端，會存在密鑰篡改，升級包偽造篡改，偽造不安全的升級條件等風(fēng)險。因此艾拉比OTA安全方案基于OTA整體流程發(fā)布了5S安全體系，從升級包制作，升級包發(fā)布，升級包下載，升級包安裝，至升級包狀態(tài)反饋等提供全面防護數(shù)據(jù)安全以及流程合規(guī)。同時，艾拉比整車OTA方案還參考ISO/SAE21434網(wǎng)絡(luò)安全設(shè)計研發(fā)流程以及借鑒Uptane汽車OTA的安全框架，專門針對汽車OTA設(shè)計了完善的云管端一體防護方案，在服務(wù)平臺，車云通信管道，車內(nèi)數(shù)據(jù)保護以及總線通信的等幾個關(guān)鍵系統(tǒng)提供完善的防護策略。云端層面，按照等級保護3級要求，建立完善的安全管理流程，加強網(wǎng)絡(luò)安全監(jiān)控和審核，并且在核心數(shù)據(jù)保護，應(yīng)用軟件安全提供多維度的保護措施；車云通信層面，基于APN私有化網(wǎng)絡(luò)以及TLS安全協(xié)議實現(xiàn)鏈路的加密保護以及車云雙向身份認(rèn)證，防止升級傳輸指令與數(shù)據(jù)被非法篡改，竊聽以及偽造；車端層面，通過HSM，安全芯片等方式保護證書密鑰以及敏感數(shù)據(jù)，基于數(shù)字簽名技術(shù)實現(xiàn)OTA軟件包的合法性以及完整性驗證。在車輛ECU間采用鑒權(quán)加密方式實現(xiàn)數(shù)據(jù)傳輸?shù)陌踩院秃戏ㄐ浴?/span>整車OTA安全對比零部件的OTA安全，是否更具挑戰(zhàn)？體現(xiàn)在哪些方面？
楊森：顯然，整車OTA安全更具挑戰(zhàn)性。零部件的OTA安全，更多的關(guān)注零部件本身OTA升級的安全實施：從OTA流程來說，需要零部件驗證合法的下載/升級觸發(fā)指令，采用Hash及簽名校驗等確保升級包的完整性與來源的可靠性，檢查所處的車況與零件狀態(tài)確保滿足安全的升級條件等；從零件安全信息處理來說，可能要求零件具備與其他零件安全通信的能力，安全保護密鑰、驗簽算法等的能力。而面向整車的OTA安全時，則需要關(guān)注更多的跨零件與跨系統(tǒng)的安全設(shè)計。例如，整車需要采用安全的車云通信協(xié)議，需要網(wǎng)關(guān)具備安全防護與路由策略，需要設(shè)計面向OTA的功能安全等級并分解為各零件的具體功能安全設(shè)計要求，需要管控在升級過程中各子系統(tǒng)的功能使能狀態(tài)并維持安全執(zhí)行升級的車輛狀態(tài)，需要能夠協(xié)調(diào)各子系統(tǒng)智能件的升級邏輯并在出現(xiàn)安全預(yù)警時及時介入終止升級行為，需要考慮升級失敗后如何保障車輛用戶的用車安全，需要遵循國內(nèi)外安全法規(guī)在功能和設(shè)計、管理流程上均滿足相關(guān)的法規(guī)要求。無論是硬件定義汽車的時代，還是軟件定義汽車，甚至是信息數(shù)據(jù)定義汽車，始終離不開一個基本立足點，那就是安全定義汽車。不管未來汽車市場的消費需求如何改變,也不論各大汽車品牌、科技公司將如何圍繞用戶進行轉(zhuǎn)型，安全始終是一個恒久不變的話題。艾拉比作為汽車OTA技術(shù)服務(wù)提供商，將始終把安全擺在第一位，為行業(yè)持續(xù)輸出更安全、更穩(wěn)定、更先進、更具拓展性的產(chǎn)品和技術(shù)。
分享朋友圈
