自5月份全球大規模爆發勒索病毒以來，其驚人的破壞力已經影響了上百個國家和地區的數十萬用戶，多家企業被迫中斷業務或停止生產，其中包括本田、日產這樣全球知名的汽車制造商。

　　6月21日本田公司宣布，由于受到勒索病毒的侵襲，位于東京的Sayama工廠19日停產一天。本田并不是第一家受勒索病毒侵襲的車企，早在5月份勒索病毒剛剛大規模爆發的時候，雷諾和日產就收到了勒索病毒的侵襲，導致雷諾-日產聯盟位于日本、英國、法國、羅馬尼亞和印度的多個工廠出現停產。

　　雖然最終這幾家“停產”的企業很快都恢復正常運作了，但也由此給更多的車企敲響了警鐘：現在勒索病毒入侵的是工廠，當未來汽車智能化、網聯化程度越來越高，車內聯網的部件越來越多，路上聯網的汽車越來越多的時候，是不是就會直接攻擊車輛本身？面對越來越開放的車內環境，車企及相關零部件廠商該如何保障汽車的信息安全？一旦遭遇諸如此類的攻擊，屆時車企或消費者又該如何應對……圍繞這些在將來可能出現的場景，日前多位專家以“智能網聯汽車信息安全”為主題，在中國國際智能網聯汽車技術年會（CICV 2017）上展開了深入討論，特別是針對智能網聯汽車面臨的主要信息安全威脅及相應的解決辦法，發表了各自的見解。

　　哪些地方最易受到網絡攻擊？

　　2016年9月，騰訊科恩實驗室宣布他們以“遠程無物理接觸”的方式成功入侵了特斯拉汽車，從而對車輛的停車狀態和行進狀態進行遠程控制。2017年4月，一家網絡安全公司稱，現代汽車App存在漏洞，黑客能夠遠程啟動現代公司的汽車，現代證實了這個漏洞的存在。6月，軟件安全工程師Jay Turla對馬自達汽車展開了一項開源網絡攻擊項目，使得任何人都能利用一個U盤就對馬自達汽車執行惡意軟件代碼……隨著當前車內可聯網部件越來越多，諸如此類的網絡安全問題發生越來越頻繁，掌握一些必要的智能網聯汽車安全防護技術之于車企和相關部件廠商尤為必要。

　　那么，究竟怎樣才能有效防止汽車被黑客攻擊呢？要回答這個問題，首先得弄明白究竟智能網聯汽車上，哪些地方最容易受到攻擊。

　　來自一汽技術中心智能網聯車研發部人工智能室的王祎男認為，智能網聯汽車系統面臨的攻擊主要來自兩方面——內部攻擊和遠程攻擊。其中，內部攻擊主要由智能網聯自身缺陷引起，比如總線、網關、ECU等安全程度不夠所導致，具體來看，有通過總線上的漏洞進行攻擊和偽造車上的ECU節點等開展本地攻擊兩種。

　　遠程攻擊則主要源自汽車網聯化和智能化程度不斷提升，汽車與外部的溝通渠道變多，無形中加大了安全風險。根據攻擊點不同，也分為多種情況，分別是通過USB端口、CD播放器、OBD端口等進行間接物理接入攻擊，或通過手機、藍牙、V2X通信、攝像頭等實施短距離無線接入攻擊，以及利用WEB瀏覽、電話通信開展長距離直接攻擊，還有一種則是通過App商店進行長距離間接攻擊。

　　梆梆安全高級安全研究員劉丁的看法與上面類似，他認為未來智能網聯汽車將面臨來自云端、傳輸、終端和外部4大層面的12個信息安全威脅，其中云端主要是對車主存儲在云平臺的數據進行惡意竊取、篡改，或者破壞數據的完整性；傳輸威脅是當汽車通過“V-X”技術與外界互聯互通時，若網絡加密、認證程度不夠，易被攻擊者用偽消息誘導車輛發生誤判，影響車輛自動控制；而終端節點層威脅指通過T-BOX、終端升級、車載OS、傳感器、車內網絡傳輸、車載終端架構等發起攻擊；最后外部威脅主要來自移動APP或通過充電樁信息進行相關的攻擊。由此可見，在智能網聯汽車易被攻擊的點上，大家基本達成了一致，只是說法不同而已。

　　網絡攻擊“無處不在” 如何見招拆招？

　　隨著汽車智能化、網聯化水平不斷提升，導致車載終端類型和數量大幅增加，汽車上可被實施網絡攻擊的位置也越來越多。雖然目前汽車遭受網絡攻擊只是個別情況，并未像“勒索病毒”那樣大規模爆發，造成惡劣影響，依舊不容小覷。特別是目前智能網聯汽車正日趨落地量產，車企和相關部件廠商必須提前考慮，制定防范措施。

　　一汽作為整車企業的代表，在應對汽車網絡攻擊方面，據王祎男介紹主要是根據功能區的不同來制定相應的防護措施。他認為智能網聯汽車從架構上可分為四個不同的功能區，分別是基本控制功能區，如傳感單元、底盤系統等；擴展功能區，如遠程信息處理、信息娛樂管理、車體系統等；外部接口，譬如LTE-V、藍牙、WIFI等；以及手機、存儲器、各種診斷儀表、云服務等外部功能區。每個功能區對于安全的定義和需求都不相同，需要定義合理規范的系統架構，將不同功能區進行隔離，并對不同區域間的信息流轉進行嚴格的控制，包括接入身份認證和數據加密，來保證信息安全傳輸，從而達到智能駕駛功能的高可用性、便利性和保護用戶信息隱私的目的。

　　在此過程中，T-BOX作為汽車與外部網絡的接口之一，保證其安全性至關重要。王祎男認為，車企可從身份認證、數據安全、網關和防火墻、秘鑰管理、固件安全等角度著手，來打造安全的T-BOX系統。此外還有后臺服務器、手機APP、OTA，也需根據各自不同的工作場景制定相應的防攻擊措施，但不管哪個部件，做好身份認證和數據安全都是最基本的要求。

　　來自奇虎360的汽車安全咨詢專家呂欣鴻則建議車企從Security安全到Safety安全全生命周期保證汽車的行駛安全。他認為現階段來看，汽車面臨最主要的網絡安全風險來自于黑客技術的快速迭代，而車企則在專業的信息安全組織、安全管理機制、必要的安全技術和安全運營人員等方面都比較缺乏，所以需要從信息安全運營、技術、策略等多方面著手，制定防范措施。

　　具體來看，全生命周期安全保障分6個階段來實施，分別是項目策劃階段，在此階段需要全面分析車聯網面臨的安全風險，并規劃好安全路線；工程設計階段，主要管控供應商產品的安全性，增強車載網絡的訪問權限，并確保網絡環境安全和遠程控制的安全性；樣生產階段，通過落地可執行的安全檢查機制，及時發現車聯網問題；測試評價階段，主要任務是規避上市前車聯網平臺及汽車安全問題；批量生產階段，可通過工具批量進行安全工具測試；產品交付階段，主要是對安全攻擊事件做好預警工作，并對全國車輛安全進行監控與運營。如此環環相扣，在每個階段都指定相應的防范措施，提升車輛安全性。

　　技術防范固然重要 法規支持也不可少

　　當然，要想更好地防范網絡安全，除了車企和部件商的努力，政策方面的規范和指引也不可缺少。據電子科技大學羅蕾教授透露，目前國內外均已經有相關的指導文件。如2016年10月，美國高速公路交通安全管理局發布了一份《現代汽車信息安全最佳實踐》，該文件是繼2016年9月份發布的《自動駕駛汽車政策》之后，針對智能網聯汽車發布的又一重要指導文件，這里面從兩個角度對汽車工業網絡安全相關工作給出了指導，分別是通用性網絡安全指導，及專門針對汽車工業的網絡安全指導。

　　國內則是成立了智能網聯汽車產業技術創新戰略聯盟，并把汽車網絡與信息安全當做關注重點，以及通過全國汽車標準化委員會，開展相關智能網聯的工作。此外，今年2月份，車載信息服務產業應用聯盟還發布了國內首部車聯網網絡安全白皮書，里面對國內車聯網網絡安全發展情況、面臨的挑戰及未來發展方向進行了介紹。一同發布的還有《車聯網網絡安全防護指南細則（征求意見稿）》，該細則以《中華人民共和國網絡安全法》等為基礎，結合車聯網的行業發展情況，把建立車聯網一體化的防護體系為核心，從11個方面38點明確了網絡防護的要求，極具參考意義。

　　蓋世小結：當前汽車的網絡開放程度越來越高，易被不法分子實施網絡攻擊的地方越來越多，在此背景下，要想打造一個安全的智能網聯汽車使用環境，車企、終端和零部件廠商必須從端、管、云三個層面著手，根據每個層面的特點制定合理的防范措施。除此之外，智能網聯汽車信息安全標準及法律法規層面的引導規范也不可或缺。只有這樣多方攜手，技術、法規齊頭并進，積極推動汽車信息安全技術落地，才有望在將來智能網聯汽車大規模落地之后，使其遠離諸如勒索病毒等的攻擊，成為我們真正的“出行助手”！

責任編輯：韓希宇