隨著汽車(chē)產(chǎn)業(yè)在智能化網(wǎng)聯(lián)化方向深入發(fā)展，新型汽車(chē)產(chǎn)品已逐步成為車(chē)輪上的數(shù)據(jù)中心。據(jù)統(tǒng)計(jì)，今天的汽車(chē)有多達(dá) 150 個(gè)車(chē)載控制器和大約 1 億行代碼，支撐自動(dòng)駕駛、網(wǎng)聯(lián)通信、人機(jī)交互等新興功能的實(shí)現(xiàn)。高度復(fù)雜的汽車(chē)電子電氣系統(tǒng)、通信網(wǎng)絡(luò)和軟件配備也為針對(duì)車(chē)輛和道路基礎(chǔ)設(shè)施的網(wǎng)絡(luò)攻擊創(chuàng)造了大量的機(jī)會(huì)。通過(guò)診斷服務(wù)、OTA 更新等方式修復(fù)安全問(wèn)題，并持續(xù)提升車(chē)輛的網(wǎng)絡(luò)安全防護(hù)水平，成為行業(yè)共識(shí)。21年10月，第四屆中國(guó)汽車(chē)安全與召回技術(shù)論壇暨2021年汽車(chē)安全大會(huì)在嘉興平湖召開(kāi)。會(huì)上，艾拉比車(chē)聯(lián)網(wǎng)副總裁賀思聰發(fā)表的智能汽車(chē)OTA升級(jí)防護(hù)實(shí)踐中表示：整車(chē)OTA安全一方面從政府監(jiān)管層面開(kāi)看，政企配合讓OTA回歸監(jiān)管，另一方面，從產(chǎn)品和技術(shù)層面看，建立以主動(dòng)防御為核心的網(wǎng)絡(luò)安全防護(hù)體系，從云端、車(chē)端、移動(dòng)端全面保障網(wǎng)絡(luò)安全至關(guān)重要。隨著軟件定義汽車(chē)的發(fā)展，OTA作為汽車(chē)功能升級(jí)、漏洞彌補(bǔ)的重要手段，成為安全防護(hù)中的重要環(huán)節(jié)，走進(jìn)了政府的監(jiān)管體系。此外，21年12月，中國(guó)軟件評(píng)測(cè)中心聯(lián)合國(guó)家信息技術(shù)安全研究中心、國(guó)汽智聯(lián)以及多家企業(yè)單位發(fā)布“智能網(wǎng)聯(lián)汽車(chē)安全滲透白皮書(shū)2.0”。白皮書(shū)2.0關(guān)于智能網(wǎng)聯(lián)汽車(chē)網(wǎng)絡(luò)安全危險(xiǎn)分析中，重點(diǎn)進(jìn)行了OTA升級(jí)威脅分析實(shí)例的展示。可見(jiàn)，OTA安全也是汽車(chē)安全防御體系的重要環(huán)節(jié)。從艾拉比發(fā)布的OTA發(fā)展趨勢(shì)來(lái)看，OTA經(jīng)歷了幾大階段：零部件級(jí)、整車(chē)級(jí)、企業(yè)級(jí)，未來(lái)將會(huì)進(jìn)入行業(yè)級(jí)的發(fā)展，技術(shù)愈加復(fù)雜，使命愈加艱巨。隨著升級(jí)的目標(biāo)延伸到車(chē)內(nèi)的功能安全零部件范圍，整車(chē)系統(tǒng)的升級(jí)方案無(wú)論在安全性要求，還是可靠性方面，都比過(guò)去升級(jí)娛樂(lè)系統(tǒng)的目標(biāo)要嚴(yán)苛許多。整車(chē)OTA需要具備四大要素：可靠性、安全性、先進(jìn)性、可拓展性。四大要素背后，實(shí)際上也是OTA廠商經(jīng)驗(yàn)和能力的體現(xiàn)。今天我們就安全升級(jí)方面采訪(fǎng)了艾拉比車(chē)聯(lián)網(wǎng)解決方案專(zhuān)家楊森，一起探討汽車(chē)進(jìn)入軟件定義時(shí)代的安全方案。汽車(chē)進(jìn)入智能時(shí)代，網(wǎng)絡(luò)安全問(wèn)題無(wú)處不在，OTA成為了汽車(chē)修復(fù)安全問(wèn)題的重要手段。立足產(chǎn)業(yè)發(fā)展，我們應(yīng)該如何應(yīng)對(duì)汽車(chē)安全問(wèn)題？
楊森：安全是智能網(wǎng)聯(lián)汽車(chē)發(fā)展的先決條件，近年來(lái)世界各地先后爆出網(wǎng)絡(luò)安全事件，我國(guó)政府對(duì)安全的重視程度逐步提升，在智能網(wǎng)聯(lián)汽車(chē)網(wǎng)絡(luò)安全、數(shù)據(jù)安全、OTA升級(jí)等領(lǐng)域都相繼出臺(tái)了法律法規(guī)。首先，智能網(wǎng)聯(lián)汽車(chē)行業(yè)的健康發(fā)展離不開(kāi)完善的標(biāo)準(zhǔn)法規(guī)，我國(guó)智能網(wǎng)聯(lián)汽車(chē)信息安全尚處于起步階段，相應(yīng)的汽車(chē)信息安全技術(shù)要求以及管理細(xì)則還未完善。在政策法規(guī)層面上，一是需進(jìn)一步加強(qiáng)智能網(wǎng)聯(lián)汽車(chē)信息安全政策的頂層設(shè)計(jì)，推進(jìn)各職能部門(mén)統(tǒng)籌協(xié)調(diào)，完善相關(guān)的標(biāo)準(zhǔn)法規(guī)；二是明確對(duì)汽車(chē)產(chǎn)品的信息安全要求，落實(shí)汽車(chē)相關(guān)企業(yè)的安全責(zé)任；三是開(kāi)展相關(guān)的安全場(chǎng)景測(cè)試，加強(qiáng)汽車(chē)安全的監(jiān)測(cè)評(píng)估。另外，汽車(chē)信息安全是覆蓋整個(gè)汽車(chē)生命周期的防護(hù)體系，系統(tǒng)級(jí)的智能網(wǎng)聯(lián)汽車(chē)安全防護(hù)技術(shù)依舊缺乏完善的解決方案，在應(yīng)用上還存在一定的難度，比如缺乏專(zhuān)業(yè)的測(cè)試體系和測(cè)試方法，缺乏完善汽車(chē)信息安全防護(hù)以及預(yù)警機(jī)制等，所以從企業(yè)與技術(shù)層面，一是提升網(wǎng)絡(luò)安全管理能力，培養(yǎng)安全意識(shí)，建立汽車(chē)全生命周期的安全防護(hù)措施；二是要加快安全技術(shù)研發(fā)與應(yīng)用，推動(dòng)在應(yīng)用軟件，芯片，通信協(xié)議以及操作系統(tǒng)等方面的安全技術(shù)創(chuàng)新；三是構(gòu)建更完善的安全測(cè)評(píng)體系，加強(qiáng)安全風(fēng)險(xiǎn)評(píng)估；四是通過(guò)車(chē)輛軟件漏洞挖掘建立車(chē)輛軟件漏洞缺陷庫(kù)，基于大數(shù)據(jù)有效識(shí)別車(chē)輛安全風(fēng)險(xiǎn)，加強(qiáng)車(chē)輛安全預(yù)警分析。五是建設(shè)完善的軟件遠(yuǎn)程更新能力，在保證發(fā)現(xiàn)軟件重大安全漏洞時(shí)可以迅速地更新軟件。通過(guò)遠(yuǎn)程診斷+OTA修復(fù)系統(tǒng)和軟件問(wèn)題已成行業(yè)共識(shí)，20年市場(chǎng)監(jiān)督管理總局發(fā)布“加強(qiáng)OTA召回監(jiān)管通知”，21年工信部發(fā)布“管理意見(jiàn)”，將OTA納入重點(diǎn)監(jiān)管。能否進(jìn)一步介紹一下，目前在整車(chē)OTA安全方面國(guó)內(nèi)外政策法規(guī)有哪些相關(guān)要求？
楊森：OTA升級(jí)安全在全球范圍內(nèi)愈加重視，全球多個(gè)組織制定了或正在制定相關(guān)的安全標(biāo)準(zhǔn)法規(guī)。首先從國(guó)際上來(lái)看，出臺(tái)的主要法規(guī)有UNECE WP.29（R155/R156），ISO/SAE21434等，法規(guī)中相關(guān)內(nèi)容聚焦車(chē)輛網(wǎng)絡(luò)安全管理，車(chē)輛軟件版本管理，車(chē)輛OTA升級(jí)流程，明確要求提供安全可靠的軟件更新機(jī)制，確保車(chē)載軟件通過(guò)OTA升級(jí)的安全性，對(duì)于企業(yè)建立有效的車(chē)輛網(wǎng)絡(luò)安全管理的提供了有效的支撐。另外從國(guó)內(nèi)看，為了促進(jìn)了智能網(wǎng)聯(lián)汽車(chē)的合規(guī)健康發(fā)展，近年來(lái)也相繼出臺(tái)多項(xiàng)法規(guī)：
市場(chǎng)監(jiān)管總局發(fā)布《關(guān)于加強(qiáng)汽車(chē)遠(yuǎn)程升級(jí)（OTA）技術(shù)召回備案的通知》要求企業(yè)采用OTA方式對(duì)已售車(chē)輛開(kāi)展技術(shù)服務(wù)活動(dòng)的，應(yīng)向市場(chǎng)監(jiān)管總局質(zhì)量發(fā)展局備案。生產(chǎn)者采用OTA方式消除汽車(chē)產(chǎn)品缺陷、實(shí)施召回的，應(yīng)制定應(yīng)制定召回計(jì)劃，向市場(chǎng)監(jiān)管總局質(zhì)量發(fā)展局備案，依法履行召回主體責(zé)任；
工信部發(fā)布《關(guān)于加強(qiáng)智能網(wǎng)聯(lián)汽車(chē)生產(chǎn)企業(yè)及產(chǎn)品準(zhǔn)入管理的意見(jiàn)》，意見(jiàn)指出汽車(chē)企業(yè)應(yīng)具有在線(xiàn)升級(jí)安全影響評(píng)估、測(cè)試驗(yàn)證、實(shí)施過(guò)程保障、信息記錄等能力，確保車(chē)輛進(jìn)行在線(xiàn)升級(jí)時(shí)處于安全狀態(tài)，并向車(chē)輛用戶(hù)告知在線(xiàn)升級(jí)的目的、內(nèi)容、所需時(shí)長(zhǎng)、注意事項(xiàng)、升級(jí)結(jié)果等信息，未經(jīng)審批，不得通過(guò)在線(xiàn)等軟件升級(jí)方式新增或更新汽車(chē)自動(dòng)駕駛功能；
工信部發(fā)布《關(guān)于加強(qiáng)車(chē)聯(lián)網(wǎng)網(wǎng)絡(luò)安全和數(shù)據(jù)安全工作的通知》要求加強(qiáng)在線(xiàn)升級(jí)服務(wù)（OTA）安全和漏洞檢測(cè)評(píng)估，強(qiáng)化應(yīng)用程序安全管理，加強(qiáng)數(shù)據(jù)分類(lèi)分級(jí)管理，提升數(shù)據(jù)安全技術(shù)保障能力，規(guī)范數(shù)據(jù)開(kāi)發(fā)利用和共享使用，強(qiáng)化數(shù)據(jù)出境安全管理，加快車(chē)聯(lián)網(wǎng)安全標(biāo)準(zhǔn)建設(shè)；
國(guó)家互聯(lián)網(wǎng)信息辦公室發(fā)布了《汽車(chē)數(shù)據(jù)安全管理若干規(guī)定（試行）》明確了汽車(chē)重要數(shù)據(jù)范圍，為汽車(chē)領(lǐng)域個(gè)人信息保護(hù)工作明確了基本原則，對(duì)汽車(chē)數(shù)據(jù)處理提出了具體管理要求，為構(gòu)建安全有序的汽車(chē)數(shù)據(jù)生態(tài)，推動(dòng)汽車(chē)智能化產(chǎn)業(yè)良性發(fā)展提供了保障。
我國(guó)網(wǎng)絡(luò)安全技術(shù)研究雖然起步較晚，但是經(jīng)過(guò)近年來(lái)的快速發(fā)展，已經(jīng)趕上了全球網(wǎng)絡(luò)安全技術(shù)發(fā)展進(jìn)度，成為全球重要的網(wǎng)絡(luò)安全保障力量。從技術(shù)層面上來(lái)講，整車(chē)OTA主要面臨哪些方面的安全風(fēng)險(xiǎn)？應(yīng)該如何加強(qiáng)？
楊森：OTA升級(jí)的風(fēng)險(xiǎn)存在于升級(jí)的各個(gè)環(huán)節(jié)中。首先從信息安全角度來(lái)看，要確保升級(jí)包本身的安全問(wèn)題，比如軟件包中是否含有安全漏洞、軟件包上傳過(guò)程是否被篡改等，這是安全升級(jí)的第一步。另外，從升級(jí)過(guò)程的安全風(fēng)險(xiǎn)來(lái)看，涉及云管端等三端的攻擊風(fēng)險(xiǎn)，比如在云端，會(huì)存在黑客攻擊導(dǎo)致服務(wù)不可用、敏感數(shù)據(jù)或軟件包保護(hù)密鑰泄露等風(fēng)險(xiǎn)；數(shù)據(jù)傳輸過(guò)程，會(huì)存在有竊聽(tīng)、篡改，冒充，偽造升級(jí)傳輸指令等風(fēng)險(xiǎn)；車(chē)端，會(huì)存在密鑰篡改，升級(jí)包偽造篡改，偽造不安全的升級(jí)條件等風(fēng)險(xiǎn)。因此艾拉比OTA安全方案基于OTA整體流程發(fā)布了5S安全體系，從升級(jí)包制作，升級(jí)包發(fā)布，升級(jí)包下載，升級(jí)包安裝，至升級(jí)包狀態(tài)反饋等提供全面防護(hù)數(shù)據(jù)安全以及流程合規(guī)。同時(shí)，艾拉比整車(chē)OTA方案還參考ISO/SAE21434網(wǎng)絡(luò)安全設(shè)計(jì)研發(fā)流程以及借鑒Uptane汽車(chē)OTA的安全框架，專(zhuān)門(mén)針對(duì)汽車(chē)OTA設(shè)計(jì)了完善的云管端一體防護(hù)方案，在服務(wù)平臺(tái)，車(chē)云通信管道，車(chē)內(nèi)數(shù)據(jù)保護(hù)以及總線(xiàn)通信的等幾個(gè)關(guān)鍵系統(tǒng)提供完善的防護(hù)策略。云端層面，按照等級(jí)保護(hù)3級(jí)要求，建立完善的安全管理流程，加強(qiáng)網(wǎng)絡(luò)安全監(jiān)控和審核，并且在核心數(shù)據(jù)保護(hù)，應(yīng)用軟件安全提供多維度的保護(hù)措施；車(chē)云通信層面，基于APN私有化網(wǎng)絡(luò)以及TLS安全協(xié)議實(shí)現(xiàn)鏈路的加密保護(hù)以及車(chē)云雙向身份認(rèn)證，防止升級(jí)傳輸指令與數(shù)據(jù)被非法篡改，竊聽(tīng)以及偽造；車(chē)端層面，通過(guò)HSM，安全芯片等方式保護(hù)證書(shū)密鑰以及敏感數(shù)據(jù)，基于數(shù)字簽名技術(shù)實(shí)現(xiàn)OTA軟件包的合法性以及完整性驗(yàn)證。在車(chē)輛ECU間采用鑒權(quán)加密方式實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)陌踩院秃戏ㄐ浴?/span>整車(chē)OTA安全對(duì)比零部件的OTA安全，是否更具挑戰(zhàn)？體現(xiàn)在哪些方面？
楊森：顯然，整車(chē)OTA安全更具挑戰(zhàn)性。零部件的OTA安全，更多的關(guān)注零部件本身OTA升級(jí)的安全實(shí)施：從OTA流程來(lái)說(shuō)，需要零部件驗(yàn)證合法的下載/升級(jí)觸發(fā)指令，采用Hash及簽名校驗(yàn)等確保升級(jí)包的完整性與來(lái)源的可靠性，檢查所處的車(chē)況與零件狀態(tài)確保滿(mǎn)足安全的升級(jí)條件等；從零件安全信息處理來(lái)說(shuō)，可能要求零件具備與其他零件安全通信的能力，安全保護(hù)密鑰、驗(yàn)簽算法等的能力。而面向整車(chē)的OTA安全時(shí)，則需要關(guān)注更多的跨零件與跨系統(tǒng)的安全設(shè)計(jì)。例如，整車(chē)需要采用安全的車(chē)云通信協(xié)議，需要網(wǎng)關(guān)具備安全防護(hù)與路由策略，需要設(shè)計(jì)面向OTA的功能安全等級(jí)并分解為各零件的具體功能安全設(shè)計(jì)要求，需要管控在升級(jí)過(guò)程中各子系統(tǒng)的功能使能狀態(tài)并維持安全執(zhí)行升級(jí)的車(chē)輛狀態(tài)，需要能夠協(xié)調(diào)各子系統(tǒng)智能件的升級(jí)邏輯并在出現(xiàn)安全預(yù)警時(shí)及時(shí)介入終止升級(jí)行為，需要考慮升級(jí)失敗后如何保障車(chē)輛用戶(hù)的用車(chē)安全，需要遵循國(guó)內(nèi)外安全法規(guī)在功能和設(shè)計(jì)、管理流程上均滿(mǎn)足相關(guān)的法規(guī)要求。無(wú)論是硬件定義汽車(chē)的時(shí)代，還是軟件定義汽車(chē)，甚至是信息數(shù)據(jù)定義汽車(chē)，始終離不開(kāi)一個(gè)基本立足點(diǎn)，那就是安全定義汽車(chē)。不管未來(lái)汽車(chē)市場(chǎng)的消費(fèi)需求如何改變,也不論各大汽車(chē)品牌、科技公司將如何圍繞用戶(hù)進(jìn)行轉(zhuǎn)型，安全始終是一個(gè)恒久不變的話(huà)題。艾拉比作為汽車(chē)OTA技術(shù)服務(wù)提供商，將始終把安全擺在第一位，為行業(yè)持續(xù)輸出更安全、更穩(wěn)定、更先進(jìn)、更具拓展性的產(chǎn)品和技術(shù)。
分享朋友圈
