特斯拉失控后，你还敢忽视车联网安全吗？

车辆通过网络与云端建立通信后，安全问题主要聚焦在车载终端、云端以及车云间通信三大领域。

其一，车载终端安全问题。主要是针对关键汽车零部件的威胁和攻击，如T-Box，IVI和网关等。这些关键ECU（电子控制单元）可被攻击者恶意修改或刷写，窃取系统的最高权限，造成终端的系统安全问题；通过开发端口进行非法访问，造成终端的网络安全问题；通过入侵车内CAN总线，发送伪造信息或实施重放攻击，造成终端的内部通信安全问题；入侵设备窃取或篡改关键数据信息，造成终端的数据安全问题。

　　其二，云端安全问题。攻击者可进行服务器的身份伪造，下发恶意升级包，造成恶意升级，使系统出现安全漏洞，或者给控制系统造成安全问题；对后台服务器进行非法访问或者物理攻击，造成服务中断，影响车辆运行；窃取或篡改后台服务器存储的关键数据信息，造成敏感信息泄露。

　　其三，车云间通信的安全问题。攻击者可通过模拟进行身份仿冒，伪造车辆接收的数据；通过对通信信道恶意操控，对传输的数据进行窃取、删除、篡改等；通过通信信道对车载信息系统进行拒绝服务等恶意攻击，使车载系统无法正常工作；通过通信信道破坏车辆之间的通信，阻止车辆间信息交互。

为了帮助广大用户避免上述车联网安全问题，东软提出了针对端管云一体化的、能够覆盖汽车全生命周期的安全产品和解决方案。

　　针对终端安全，东软打造了SCAR解决方案，可以应对关键ECU的安全问题，如网关、T-Box、车载娱乐系统等。安全特性包括数据安全、车内通信安全、网络安全、系统安全及应用安全等。

　　针对云端安全，东软不仅有针对汽车的传统IT信息安全产品，还提供了安全态势感知平台，能够和终端探针结合起来，实现多源多类别数据采集，便于安全审计；同时，可对采集数据进行关联分析，生成安全报告；安全态势感知平台还配置灵活机动的安全策略，整体形成 “态势感知+管理+预警+响应”的统一流程，实现安全运维。

　　针对车载端和云端的数据传输，东软可提供安全传输网关，能够实现车端和云端的双向身份认证和传输数据的加解密，避免数据的非法窃取和服务端的身份伪造。

　　除了安全产品和解决方案，东软还提供一系列安全服务，可以为车厂做前期的安全咨询、安全培训，后期的安全测试。

　　东软主张通过纵深防御来实现联网汽车的信息安全，即通过四个层次对车辆进行防护。首先，要保护车辆的对外连接接口，因为每辆车都有多个对外接口，所有接口设备的信息安全都非常重要，包括它们的连接、关键业务的传输等等。第二层，网络隔离从某种意义上可以延缓或者阻断攻击的完成，整车网络可以引入以太网。整车网络的交互，包括控制关联越来越紧密，要在整车网络当中保证通信安全性和指令安全性，进行信息认证很重要。第三层，各个敏感业务之间及各ECU之间需要进行更安全的传输。对第三层来说，各个零部件供应商并不能完全满足AUTOSAR，也不是完全有资源做类似的传输之间的保障，东软也在考虑如何保证所有支持AUTOSAR和非AUTOSAR能同时达到安全传输层级。第四层，对每个ECU、每个控制器都能做系统层级安全的保障。

　　除了打造车联网安全产品和解决方案，长期以来，东软还广泛参与到ISO/SAE、UN/WP29、汽标委等国际国内车联网安全标准建设中。

　　据悉，ISO21434定义了一个完整的生命周期过程框架，以确保在整个产品开发过程中将网络安全纳入设计中，也定义了汽车全生命周期各个阶段的网络安全活动，提供了验证网络物理车辆系统的方法的相关信息。而联合国WP29的R155国际法规是全球汽车信息安全领域首个具有约束力的国际统一技术规范，提出了针对智能汽车制造商的网络安全管理体系要求和针对车辆产品的网络安全能力要求。

　　目前国际标准和国内标准是一个互补的状态。ISO21434和WP29侧重的是针对车辆全生命周期的信息安全活动的体系、流程的要求，而国内标准侧重点在于组件的信息安全技术要求，在技术标准以及具体的应用实现上，是ISO21434、WP29的对接，通过转化和遵循，从而形成互补。

　　而在满足了上述车联网安全标准的基础上，东软与多家国际国内、车厂都建立了良好的合作。

　　如2018年3月为一汽集团实施的车载信息安全设计开发项目。一汽集团的需求是实现面向一汽全系车型的、覆盖车辆全生命周期的车载终端系统信息安全，提升整车信息安全防护水平。

　　东软根据一汽集团的实际业务情况，站在整车信息安全防御的角度，制定了信息安全体系逐步建设、分步实施的路线图。针对不同车型的安全需求，提供针对车载终端端口防护、升级包加固、数据安全传输、安全升级等安全组件，设计和规划多层次的、软硬件结合的整车信息安全防御体系，应用至2017-2020多款车型上。2020年1月，该项目一期交付，进入量产。东软提供的安全组件得到了一汽集团的高度认可，目前二期项目正在进行中。

　　再如从2017年开始为国际某整车品牌打造的车载信息安全咨询服务项目。东软凭借自身在国际、国内汽车信息安全相关政策法规的深刻认知；有针对性的应对策略；包括黑客攻击事件和现有的汽车漏洞，对应的解决方案连续五年保持用户的高度认可以及下一代车型的信息安全的规划建议。

东软在汽车领域的实践和积累，主要体现在大汽车产业智能化、网联化、共享化和电动化的趋势，以及东软大汽车业务规划以及生态打造。东软通过基础软件NeuSAR来构建通用性统一软件架构，实现更智能化的硬件产品，为面向下一代SDV产品创新研发，构筑智能汽车全新生态。

　　在产品发展方面，东软是AUTOSAR组织的成员之一，不仅积极参与AUTOSAR adaptive新的标准架构的引进，目前已经有可以量产的AUTOSAR adaptive技术平台和工具链，可以支持实时系统的应用以及未来的非实时系统应用。东软网络安全结合了AUTOSAR和东软的NeuSAR来进行网络安全产品的架构和研发，目前已经有进入量产的SecOC，基于AUTOSAR和NeuSAR的车内通信安全产品。

　　从整个产业来看，技术的标准化、平台化趋势越来越明显，更多依托互联网技术，更加地集成化发展。东软网络安全也根据这样的趋势，将安全产品作为东软平台化产品发展的一部分，为用户打造安全卓越的平台化产品。

　　东软是中国首家上市的专业化软件公司，经过近三十年的发展，在软件与行业应用的结合、软件与数字化产品的结合、软件人才的培养和咨询服务方面都取得了显著的成绩。得益于东软汽车电子和网络安全两大事业部20多年的项目经验和技术积累，经过几年的发展，东软车联网安全中心已形成成熟全面的车联网安全产品和解决方案，和多个车厂及一级供应商建立了良好的合作关系，产品和服务也得到了客户的高度认可。

　　东软了解行业标准，熟悉市场需求，能够很好地解决车厂用户的安全需求，尤其是合规方面的。东软定义的是新生态的汽车网络生态环境--BigCar战略，涉及汽车电子的很多领域，包括车载系统、IVI、T-BOX、自动驾驶、信息安全、EV等等。如今，东软不仅提供服务和设备，还和金融领域合作开展了UBI（基于使用量而定保费的保险）业务，提供用车、养车运营，用于车联网相关内容的供应和平台建设。

　　东软NetEye将始终坚持以客户需求为核心，不断完善我们的产品和服务，持续为用户提供成熟、先进的车联网安全产品以及高效、完善的安全解决方案。


计世网 刘沙