智能網聯汽車網絡安全的思考與解決之道

——360政企安全集團汽車產品中心實驗室主任武元豐

11月19日，以「智聯萬物 融創未來」為主題的2020中國5G+工業網際網路大會在在湖北省武漢市召開。其中以「智能網聯車加速，開進5G新時代」為主題的「5G+智能網聯汽車專題」引發與會觀眾頗多關注。

會上，360政企安全集團汽車產品中心實驗室主任武元豐發表了題為《智能網聯汽車網絡安全的思考與解決之道》的主旨演講。

專家說

在演講中，武元豐認為：汽車在2030年的網聯化預計將達到96%，不僅給消費者帶來很多的新的數位化體驗，也帶來很多安全上的風險。通過無線網絡或者相關APP帶來的安全失控問題可以影響到數百萬輛車。因此，汽車行業需要快速建立可覆蓋全生命周期的汽車網絡安全體系；要鼓勵建立汽車網絡安全部門，提升整個車企整個網絡安全體系，通過前期技術語言到法規研究，形成自由中長期安全規劃，形成自己的安全標準體系。中間階段形成正向測試和攻防測試一些機制，到最後的運營階段，可以提供安全運營產品、安全應急策略來構建整個車企的網絡安全體系。

下面將演講原文附錄於下，以饗讀者。

今天帶來三個議題，第一個是汽車網絡安全挑戰，第二個汽車網絡安全事件，第三個面對挑戰一些思考與我們給出的建議。

新四化給汽車行業帶來的變革

根據數據統計，汽車在2030年的網聯化預計將達到96%，不僅給消費者帶來很多的新的數位化體驗，也帶來很多安全上的風險。

比如外部接口會越來越多，大量高頻發數據交互等等，有多種多樣的技術挑戰。尤其傳感器信號可靠性問題會產生不少信息安全網絡風險。

我們團隊從2014年做汽車網絡安全方面的研究，類似的安全方案包括通過Wifi和藍牙接入系統中，從而導致系統的一些被提權行為、對汽車整個控制產生安全風險。

從網絡安全威脅角度來看，通過硬體安全給車體提供PCP涉及缺陷總結、系統安全、車聯網生態發展等主題。安卓系統在車聯網系統中的應用越來越多，導致的系統安全問題、安全啟動問題等風險點變得越來越多。

講一個簡單的攻擊鏈路示例。黑客可以通過WIFI和藍牙接入車機系統中、破壞整個系統從而達到控車路徑。網絡安全講究原則木桶效應，也就是說，黑客往往會找到所有體系中的最薄弱環節，攻到核心系統中，然後反向感染所有在線設備。

在2017年時，我們曾經做過一個安全測試，最終發現能影響到30萬輛車。具體做法是通過WIFI接入汽車車載娛樂系統中，進而獲得系統總線權限，就可以對整個車身能力進行控制，通過控制車門開關並且達到控制起用發動機。這種黑客手段對汽車安全道路行駛帶來的危險是非常嚴重的。

我們也曾經配合奔馳汽車做過攻防案例。我們通過接到內網、手機APP達到遠程控車，通過證書接入內網通過手機控車APP下發到了整個車載娛樂系統裡面，再去控制車身的其他東西，也可以達到遠程控制汽車啟停關窗等等這些操作。數據證明大約能影響到兩百萬輛車。

從2010年到2020年，我們發現類似的汽車攻擊事件成倍增長，每一個問題點都會重複發現。這些攻擊者以往發動黑客行為更多的是為了竊取車輛等不法行為，但現在更多的是竊取核心技術，從而影響到車企的品牌，並在資本市場上導致波動。

面對挑戰的建議

新技術發展是一把雙刃劍，國家政策層面推動汽車網絡安全政策，今年6月份發布了WPR汽車網絡管理規範法，汽車面臨的很多的問題開始暴露在網際網路上，對此我們的建議有以下幾點。

建議一，汽車行業快速建立可覆蓋全生命周期的汽車網絡安全體系。通過研發生產、後生產全流程管控，階段定義企業級汽車網絡安全標準，規範化整個研發過程，約束供應鏈以及供應商達到標準的內容，另外配合一些安全方面的測試以及監控，形成標準再對外進行產品發布。

建議二，建議風險管理體系。現在主機廠針對功能業務場景進行的分析是非常弱的，主機的發展基本是以場景化推動的，比如增加支付等新功能，但支付又會融合車路協同問題，這些功能方面的分析，並沒有包含網絡安全分析，我們建議車企形成自己關聯分析庫，形成一道體系，為以後發展奠定基礎。

建議三，車企形成自有的安全設計和測試、驗收流程。通過設計安全目標、導入安全需求形成自己驗證系統級、整車級車型網絡測試驗證需求，對車企研發流程進行把控。

建議四，建立監控能力。車端、雲端生態持續監控分析，建立安全感知能力，對發現安全風險並及時緩解措施有一定的幫助，通過監控不同供應商產生安全風險問題進行分析，分析進行建立報警機制，使用一些OTA、熱補丁手段進行安全補救。

建議五，建立閉環體系。要建立體系、建立監管、建立平臺、建立標準。建立相應的應急機制，通過完備的機制、標準化流程對車聯網監管、免疫安全事件進行及時修復並解決這些問題。

我們鼓勵建立汽車網絡安全部門，提升整個車企整個網絡安全體系，通過前期技術語言到法規研究，形成自由中長期安全規劃，形成自己的安全標準體系。中間階段形成正向測試和攻防測試一些機制，到最後的運營階段，可以提供安全運營產品、安全應急策略來構建整個車企的網絡安全體系。

我們基於360汽車安全大腦，可以提供整個全生命周期運營中心、以及安全檢測平臺、硬體檢測工具等等。整體產品結構方案的主要成果已經落地，五家實驗室完成落地，產品體系已經完成量產達到兩百萬以上。

更多智能網聯汽車嘉賓精彩演講敬請期待

1、愛馳汽車信息科技總監杭瑜峰：5G時代智能新能源汽車發展新契機。

2、北京伊諾華電動方程式文化發展有限公司總經理黎奇：人工智慧在國際汽聯電動方程式錦標賽（FIA Formula E Championship）的應用。

3、襄陽達安汽車檢測中心有限公司總工程師周正：5G 與智能汽車的示範與測試。

4、高通公司技術標準總監高路：打造智慧出行新時代。