2017智能網聯汽車信息安全報告發布：汽車的漏洞會永遠存在

隨著汽車智能網聯技術的不斷發展，汽車的信息安全開始越來越受到全行業的關注。然而，對于汽車信息化水平的提高所帶來的信息安全問題，行業并沒有得到有效的解決方案。4月2日下午，360集團發布《2017智能網聯汽車信息安全年度報告》（以下簡稱《報告》）。在報告中，360集團從智能網聯汽車信息安全規范、CVE漏洞分析和破解案例分析三個角度闡述了2017年智能網聯車輛信息安全的發展歷程。此外，在現場交流環節，360車聯網安全實驗室的工作人員還分享了汽車信息安全領域的幾個真實案例。汽車信息安全已進入“刷漏洞”時代。2017年4月，中國政府發布了《汽車工業中長期發展規劃》，再次聚焦智能汽車，明確了不同層次的智能駕駛系統。并提出了2020年和2025年新車裝配率的要求。根據國家發展改革委的預測，預計2020年，中國智能網聯汽車的新車占比將達到50%。屆時，每年將有數千萬輛智能汽車投放市場，中國將進一步成為智能網聯汽車第一大國。然而，智能網聯汽車存在許多信息安全漏洞。黑客一旦通過漏洞進行攻擊，將給用戶造成巨大的人身和財產損失。目前，已發現的漏洞涉及TSP（內容服務提供商）平臺、APP應用程序、遠程通信盒（T-Box）互聯網接入系統、車載IVI系統的CAN-BUS總線等多個領域和環節。這些漏洞有的可以遠程控制汽車，有的甚至會直接對車內駕駛員和乘客造成人身傷害。值得慶幸的是，汽車信息安全從一開始就受到電信行業、汽車行業、汽車電子設備行業和互聯網服務提供商的關注。現代汽車由許多互連的、基于軟件的IT組件組成。為了避免安全問題，需要進行嚴格的測試。目前，汽車制造商不斷加大對汽車網絡安全的投入，第三方和汽車制造商已經建立了CVND等漏洞平臺，旨在通過共享漏洞信息來提高汽車網絡安全領域的整體安全能力。“2017年，汽車信息安全進入了刷漏洞時代。”360集團智能網聯汽車安全實驗室負責人劉建偉介紹。目前，國內外汽車信息研究人員發現的TCU、安全氣囊等漏洞也獲得了CVE漏洞編號，這表明智能汽車信息安全漏洞開始受到廣泛關注。對此，《報告》指出，“刷漏洞”已成為攻擊智能網聯汽車的最新手段，汽車制造商應配備信息安全團隊，持續監控漏洞。與此同時，汽車信息安全標準亟待建立。加快發展國內外安全標準在過去幾年中，國內外汽車信息安全標準的發展也在持續進行。國際組織（ISO/SAE）正在制定21434（道路車輛信息安全工程）標準。本標準主要從風險評估管理、產品開發、運維和流程審計四個方面保障汽車信息安全工程的發展。中國代表團也積極參與了這一標準的制定，國內幾家汽車信息安全企業和車場也參與了這項標準的討論。該標準將于2019年下半年完成，預計2023年將完成符合該標準的安全施工車輛。同時，《智能交通系統中通信設備的安全軟件更新功能》標準也已發布，項目中仍有新標準。

<……

g alt=“Discovery，Dolphin，Mazda，Subaru，Tesla”src=“/eeimg/｛HostI｝/img/20230304013543981567/1.jpg”/>

ISO/TC22道路車輛技術委員會成立ISO/TC22/SC32/WG11網絡安全信息安全工作組（來源：SAE）。在國內標準制定方面，2017年，全國汽車標準化技術委員會組織召開了兩次汽車信息安全工作組會議。全國信息安全標準化委員會、中國通信標準協會等主要國家標準委員會和聯盟組織正在積極研究汽車信息安全標準的相關工作，加快制定汽車信息安全規范。關于增強汽車信息安全能力的四點建議在活動現場的通信環節，360智能網聯汽車安全實驗室的研究人員還在《報告》中解釋了幾起智能汽車破解案例。在《報告》中，360個方面對4起開裂案例進行了詳細梳理和分析。其中包括斯巴魯遙控鑰匙系統和車載娛樂系統的漏洞，馬自達汽車技術娛樂系統的破解，特斯拉汽車聯網系統的攻擊，以及使用“海豚聲”（超聲波信號）攻擊來破解語音控制系統并打開天窗。對此，360智能網聯汽車安全實驗室在過去一年與多家廠商的安全實踐基礎上，對智能網聯的汽車信息安全建設提出了建議。首先，汽車制造商應成立信息安全團隊或組織，培訓專職人員帶頭開展信息安全工作，并將后臺和前臺放在一起解決信息安全問題，為全面保護奠定良好基礎。第二，進行合理有效的威脅分析。就360而言，車企的信息安全人員應該清楚地意識到，沒有絕對安全的系統。人們應該做的是建立一個有效合理的威脅分析基礎，而不是為了不必要或低概率的安全風險而花費高昂的保護成本。對此，安保人員應建立動態防護體系，可根據總量進行動態調整，實現攻防平衡。第三，對產品上線前的安全驗收進行控制。從以往的破解案例來看，目前汽車領域的信息安全手段相對落后，許多汽車智能產品在開發設計之初沒有考慮信息安全。同時，國內外還沒有相關的安全標準來指導汽車制造商做積極的發展。因此，目前最重要的關鍵環節是在上線前對安全驗收進行控制，并解決最嚴重、最廣泛的漏洞，從而達到相對安全的狀態。后續，車企也要做好持續的漏洞監測，確保不會有新的漏洞導致入侵。最后，360還建議各大汽車制造商、供應商和安全公司在國內汽車智能技術領先的條件下，貢獻自己的智慧和能力，引領國際標準。有關“2017智能網聯汽車信息安全年度報告”的詳細信息，請點擊鏈接下載報告的完整版本。2017智能網聯汽車信息安全年度報告_定稿_電子版。pdf隨著汽車智能網聯技術的不斷發展，汽車的信息安全開始越來越受到全行業的關注。然而，對于汽車信息化水平的提高所帶來的信息安全問題，行業并沒有得到有效的解決方案。4月2日下午，360集團發布《2017智能網聯汽車信息安全年度報告》（以下簡稱《報告》）。在報告中，360集團從智能網聯汽車信息安全規范、CVE漏洞分析和破解案例分析三個角度闡述了2017年智能網聯車輛信息安全的發展歷程。此外，在現場交流環節，360車聯網安全實驗室的工作人員還分享了汽車信息安全領域的幾個真實案例……

烏里提。汽車信息安全已進入“刷漏洞”時代。2017年4月，中國政府發布了《汽車工業中長期發展規劃》，再次聚焦智能汽車，明確了不同層次的智能駕駛系統。并提出了2020年和2025年新車裝配率的要求。根據國家發展改革委的預測，預計2020年，中國智能網聯汽車的新車占比將達到50%。屆時，每年將有數千萬輛智能汽車投放市場，中國將進一步成為智能網聯汽車第一大國。然而，智能網聯汽車存在許多信息安全漏洞。黑客一旦通過漏洞進行攻擊，將給用戶造成巨大的人身和財產損失。目前，已發現的漏洞涉及TSP（內容服務提供商）平臺、APP應用程序、遠程通信盒（T-Box）互聯網接入系統、車載IVI系統的CAN-BUS總線等多個領域和環節。這些漏洞有的可以遠程控制汽車，有的甚至會直接對車內駕駛員和乘客造成人身傷害。值得慶幸的是，汽車信息安全從一開始就受到電信行業、汽車行業、汽車電子設備行業和互聯網服務提供商的關注。現代汽車由許多互連的、基于軟件的IT組件組成。為了避免安全問題，需要進行嚴格的測試。目前，汽車制造商不斷加大對汽車網絡安全的投入，第三方和汽車制造商已經建立了CVND等漏洞平臺，旨在通過共享漏洞信息來提高汽車網絡安全領域的整體安全能力。“2017年，汽車信息安全進入了刷漏洞時代。”360集團智能網聯汽車安全實驗室負責人劉建偉介紹。目前，國內外汽車信息研究人員發現的TCU、安全氣囊等漏洞也獲得了CVE漏洞編號，這表明智能汽車信息安全漏洞開始受到廣泛關注。對此，《報告》指出，“刷漏洞”已成為攻擊智能網聯汽車的最新手段，汽車制造商應配備信息安全團隊，持續監控漏洞。與此同時，汽車信息安全標準亟待建立。加快發展國內外安全標準在過去幾年中，國內外汽車信息安全標準的發展也在持續進行。國際組織（ISO/SAE）正在制定21434（道路車輛信息安全工程）標準。本標準主要從風險評估管理、產品開發、運維和流程審計四個方面保障汽車信息安全工程的發展。中國代表團也積極參與了這一標準的制定，國內幾家汽車信息安全企業和車場也參與了這項標準的討論。該標準將于2019年下半年完成，預計2023年將完成符合該標準的安全施工車輛。同時，《智能交通系統中通信設備的安全軟件更新功能》標準也已發布，項目中仍有新標準。

ISO/TC22道路車輛技術委員會成立ISO/TC22/SC32/WG11網絡安全信息安全工作組（來源：SAE）。在國內標準制定方面，2017年，全國汽車標準化技術委員會組織召開了兩次汽車信息安全工作組會議。全國信息安全標準化委員會、中國通信標準協會等主要國家標準委員會和聯盟組織正在積極研究汽車信息安全標準的相關工作，加快制定汽車信息安全規范。關于增強汽車信息安全能力的四點建議在活動現場的通信環節，360智能網聯汽車的研究人員……

費蒂實驗室還在報告中解釋了幾起智能汽車開裂的案例。在《報告》中，360個方面對4起開裂案例進行了詳細梳理和分析。其中包括斯巴魯遙控鑰匙系統和車載娛樂系統的漏洞，馬自達汽車技術娛樂系統的破解，特斯拉汽車聯網系統的攻擊，以及使用“海豚聲”（超聲波信號）攻擊來破解語音控制系統并打開天窗。對此，360智能網聯汽車安全實驗室在過去一年與多家廠商的安全實踐基礎上，對智能網聯的汽車信息安全建設提出了建議。首先，汽車制造商應成立信息安全團隊或組織，培訓專職人員帶頭開展信息安全工作，并將后臺和前臺放在一起解決信息安全問題，為全面保護奠定良好基礎。第二，進行合理有效的威脅分析。就360而言，車企的信息安全人員應該清楚地意識到，沒有絕對安全的系統。人們應該做的是建立一個有效合理的威脅分析基礎，而不是為了不必要或低概率的安全風險而花費高昂的保護成本。對此，安保人員應建立動態防護體系，可根據總量進行動態調整，實現攻防平衡。第三，對產品上線前的安全驗收進行控制。從以往的破解案例來看，目前汽車領域的信息安全手段相對落后，許多汽車智能產品在開發設計之初沒有考慮信息安全。同時，國內外還沒有相關的安全標準來指導汽車制造商做積極的發展。因此，目前最重要的關鍵環節是在上線前對安全驗收進行控制，并解決最嚴重、最廣泛的漏洞，從而達到相對安全的狀態。后續，車企也要做好持續的漏洞監測，確保不會有新的漏洞導致入侵。最后，360還建議各大汽車制造商、供應商和安全公司在國內汽車智能技術領先的條件下，貢獻自己的智慧和能力，引領國際標準。有關“2017智能網聯汽車信息安全年度報告”的詳細信息，請點擊鏈接下載報告的完整版本。2017智能網聯汽車信息安全年度報告_定稿_電子版。pdf格式

標簽：發現海豚馬自達斯巴魯特斯拉

汽車資訊熱門資訊