現(xiàn)代汽車越來越多地成為敏感個人數(shù)據(jù)的移動接入點。然而，源代碼和設計的弱點、未打補丁的漏洞和應用安全實踐不足都能將現(xiàn)代汽車軟件和客戶數(shù)據(jù)置于風險之中。
短短幾十年，車輛已經從使用機械系統(tǒng)發(fā)展為電氣/電子系統(tǒng)。近年來，基于軟件系統(tǒng)的智能網聯(lián)汽車開始普及，而且自動駕駛汽車被視為新趨勢。新思科技指出雖然自動駕駛汽車有許多便利，并提升用戶體驗，但是網絡安全風險不容忽視。無論是人身安全還是隱私數(shù)據(jù)都需要采取全周期的保護措施。
自動駕駛汽車的安全性和隱私合規(guī)
新思科技首席汽車安全策略師Dennis Kengo Oka博士介紹道：“一輛半自動駕駛汽車可以包含超過 3 億行代碼；估計一輛完全自動駕駛汽車將包含10 多億行代碼。大型軟件代碼庫的使用迅速增加，再加上人工智能、激光雷達、傳感器、攝像頭、V2X 和 5G 等新技術和接口的采用，導致自動駕駛汽車的攻擊面增加�！�
Dennis Kengo Oka博士舉例道，自動駕駛汽車使用傳感器和攝像頭收集和處理周圍環(huán)境的信息，使用人工智能來控制轉向、制動和加速等。需要注意的是，不法分子可以通過提供惡意信息輸入，發(fā)起攻擊。
如果攻擊者可以控制或破壞在高速公路上行駛的一輛或多輛自動駕駛汽車，可能會導致災難性后果。此外，網絡攻擊還可能會導致財務信息或隱私泄露。例如，自動駕駛汽車可能包含敏感和有價值的數(shù)據(jù)，例如預先輸入的家庭和工作地址以及最近旅行路線。而且，自動駕駛汽車攝像頭可能會存儲車輛周圍環(huán)境的圖像，包括住所或工作場所。
法律法規(guī)頒布規(guī)范智能網聯(lián)汽車市場
在中國，與智能手機類似，智能網聯(lián)汽車和自動駕駛汽車領域也已經出臺或者正在制定相關法律法規(guī)及行業(yè)標準，以保護人身安全和隱私數(shù)據(jù)。例如《信息安全技術 車載網絡設備信息安全技術要求》、《數(shù)據(jù)安全法》及《工業(yè)與信息化部門關于加強智能網聯(lián)汽車生產企業(yè)及產品準入管理的意見》等等。
2021年8月正式發(fā)布的ISO/SAE 21434 是聯(lián)合國網絡安全法規(guī) UN R155 的關鍵支撐標準，定義了汽車電子電氣系統(tǒng)的網絡安全風險管理要求，覆蓋概念、開發(fā)、生產、運維、報廢等全生命周期各個階段。符合 ISO/SAE 21434 標準可以幫助汽車制造商和零部件供應商，尤其是要開拓國際市場的企業(yè)，滿足全球汽車網絡安全管理法規(guī)要求。
新思科技軟件質量與安全部門高級安全架構師楊國梁表示：“安全需要貫穿整個汽車完整生命周期，從需求、架構、軟件設計、測試、上市、運營等等，以滿足法律法規(guī)的需求和保障客戶及其隱私的安全。在智能網聯(lián)時代，軟件可以定義汽車安全�！�
導致汽車軟件/技術/組件中出現(xiàn)漏洞的主要原因
新思科技公司與國際自動機工程師學會(SAE International)聯(lián)合發(fā)布的《保護現(xiàn)代車輛的安全：汽車工業(yè)網絡安全實踐研究》報告顯示，導致汽車軟件/技術/組件中出現(xiàn)漏洞的主要原因包括缺乏對安全編碼時間的理解/培訓(60%)；意外的編碼錯誤(55%)；缺乏質量保證和測試程序(50%)；使用不安全/過時的開源組件(40%)。
由此可見，編碼、測試、開源軟件很大程度上影響了智能網聯(lián)汽車的安全性。幸運的是，現(xiàn)在已經有許多自動化工具可以幫助制造商應對這些挑戰(zhàn)。
諸如Coverity®靜態(tài)應用安全測試等工具可以在不運行軟件的情況下分析源代碼。這些工具可以幫助發(fā)現(xiàn)緩沖區(qū)溢出、信息泄漏、內存損壞和代碼中的其它缺陷。靜態(tài)分析工具還可以根據(jù)相關編碼標準檢查軟件，例如 MISRA C/C++、AUTOSAR C++ 和 CERT C/C++。此外，Black Duck®軟件組成分析工具可以檢測目標系統(tǒng)開源組件中的已知漏洞。這種源代碼或二進制文件的自動掃描可識別開源組件、開源組件的版本以及相關的已知漏洞。模糊測試、滲透測試等工具可以在服務和協(xié)議中識別缺陷以及零日漏洞，搶在黑客攻擊之前找出應用和服務中的漏洞。
楊國梁總結道：“汽車軟件變得越來越復雜，連接性也更強。而且，汽車功能不斷推陳出新，促使了非結構化的軟件的增加。如果只是為了盡快上市而忽視安全，就會導致組裝汽車面臨不可預見的安全漏洞，給用戶帶來隱私泄露風險甚至人身安全威脅。汽車供應鏈需要在設計階段就引入安全屬性，是為了從源頭上盡量規(guī)避、解決這類問題，把風險控制在產品推出市場之前。這也就是我們常說的安全‘左移’，在智能網聯(lián)汽車研發(fā)早期就緊緊系好‘安全帶’。”
