智能网联汽车信息安全现状分析与应对

汽车信息安全问题不可避免，汽车信息安全是智能网联汽车发展的先决条件，只有实现汽车的信息安全才能保障智能网联汽车的健康发展。漏洞是与生俱来的据CMM模型推测软件每10000行约有0.32个安全漏洞。并且智能网联汽车系统极其复杂，其软件代码很容易超过1亿行，隐含漏洞将超过3300个。

在由GRCC主办的“第四届中国汽车网络信息安全峰会”上来自中国汽车技术研究中心数据资源中心的刘洋洋先生为我们讲解了智能网联汽车信息安全现状的分析与应对。

汽车信息安全问题十分重要，它会影响到财产安全、人生安全、甚至国家安全，所以汽车信息安全刻不容缓。经过多次的汽车信息安全测试，刘老师为我们总结了目前汽车的4个现状：现状1：车联网信息安全水平受限，阻碍智能汽车发展；现状2：主机厂对IT公司约束不够，导致联网辅助产品安全等级不达标；现状3：整车厂将关注点放在T-BOX上，忽略了其他组件的信息安全问题；现状4：远程攻击汽车事件频发。

首先刘老师给我们讲解了国家的相关政策和法规：近两年汽车信息安全已成为国家重大发展战略之一，更多行业内机构开始重视汽车信息安全，汽标委逐步形成“5+4+1”标准项目组工作模式。并且在2018年12月25日成文，12月27日由工业与信息化部发布《车联网（智能网联汽车）产业发展行动计划》中提到汽车信息安全的3个方面：1、健全安全管理体系：以产品和系统的运行安全、网络安全和数据安全为重点，明确相关主体责任，定期开展安全监督检查，完善车联网网络和数据安全的事件通报，应急处置和责任认定等安全管理工作。2、提升安全防护能力：重点突破产业的功能安全、网络安全和数据安全的核心技术研发，支持安全防护、漏洞挖掘、入侵检测和态势感知等系列安全产品研发。督促企业强化网络安全防护和数据安全防护，构建智能网联汽车、无线通信网络、车联网数据和网络的全要素安全检测评估体系，开展安全能力评估。3、推动安全技术手段的建设：增强产业安全技术支撑能力，着力提升隐患排查、风险发现和应急处置水平，打造监测预警、威胁分析、风险评估、试验验证和数据安全等安全平台。推动企业加大安全投入，创新安全运维与咨询等服务模式，提升行业安全保障服务能力。

接着刘老师向我们介绍并展示了中国汽车研究中心的工作情况。开展整车和关键零部件信息安全测试技术研究，通过测试最大限度发现汽车信息安全问题并提出修复建议，为汽车信息安全保驾护航。并为我们展示了网络架构测试、T-BOX测试和ECU测试。在ECU安全测试中主要是软件安全、硬件安全和通信安全。在软件安全中通过工具获取设备的固件代码，反汇编分析代码，找到生产种子和密钥的代码。在硬件安全中采用传统的嵌入式攻击方式。在通信安全中通过向系统灌注精心构造的输入信息，令其执行非预期的操作。

最后刘老师向我们介绍了并展示了漏洞应急响应平台（CAVD）：借鉴互联网、金融行业经验，通过漏洞收集、管理、体系运行等方式建立应急响应机制，旨在将安全问题发生后的危害降到最小。