文/光明網記者 李政葳
“電影《速度與激情8》有這樣的情節，網絡恐怖分子攻擊周邊幾公里范圍內的汽車，把這些受遙控的‘僵尸車’作為攻擊武器……”理想汽車車聯網安全負責人董威講述的這個情節看似科幻，但已現實存在了，尤其在智能網聯汽車加速發展的當下。
早在2015年，克萊斯勒的JEEP車型娛樂芯片漏洞就曾被黑客遠程攻破；2016年，特斯拉車載系統遭無接觸遠程破解，黑客可以在車輛行駛過程中打開汽車后備箱甚至讓車輛突然剎車。如今，在碰撞、盜竊等傳統風險之外，汽車的新風險隱患正在醞釀。
“車聯網作為汽車、電子、信息等深度融合的新興產業生態，正在加速融入人們的日常生活，在給人們帶來便利的同時，也讓網絡安全面臨新的挑戰。”在近日舉行的一場“TechWorld2021綠盟科技技術嘉年華”現場，記者遇到了理想汽車車聯網安全負責人董威，并在臺下聆聽了他的一場有關“車聯網信息安全挑戰與思考”的分享。
回顧汽車安防技術的發展史，長期以來主要圍繞防盜技術進行升級。然而，伴隨汽車工業與信息產業融合發展，尤其是5G、智能網聯技術等帶來一系列新應用場景，網絡、藍牙、WIFI、USB等對外連接，都成為黑客眼里“脆弱的窗口”。汽車安防早已超越傳統意義概念，向電腦和網絡防火墻的作用進化，防止汽車被遠程劫持、被遠程監聽監視、被云上攻擊造成大規模信息泄露等成為防守重點。
知名汽車網絡安全公司Upstream Security發布的2020年《汽車網絡安全報告》顯示，自2016年至2020年1月，汽車網絡安全事件的數量增長了605%，僅2019年一年就增長了一倍以上。過去十年，前三大攻擊媒介分別是無鑰匙進入系統（30%）、后端服務器（27%）和移動應用程序（13%）；安全事件造成的后果位列前三的分別是汽車盜竊/入侵（31%）、對汽車系統的控制（27%），以及數據/隱私泄露（23%）。
“作為網絡安全核心發力的新賽道，車聯網面臨未授權的訪問切片、信任風暴、網源日常響應等風險問題。詐騙檢測模型、數據收集、組織分析及持續運營，都是亟需拓展的網絡安全新方向。”綠盟科技集團首席技術官葉曉虎同樣深有感觸。很多時候，車聯網若遭受安全攻擊，輕則泄露出行軌跡、習慣、語音、視頻等個人隱私，重則釀成車毀人亡的慘劇，甚至被控制的汽車可能成為犯罪分子的工具。
因此，我們在暢想智能網聯汽車帶來的各種便捷時，必須要未雨綢繆，構筑好守護汽車網聯安全的防火墻，打破“越智能越危險”的魔咒。“智能網聯汽車攻擊面擴大，網聯功能需求涌現，安全防護急需前置設計。”談及行業困境，在董威看來，與很多行業現狀類似，人才培養缺陷成為通病。“作為智能網聯、數據安全、信息安全的重疊產業，汽車行業的信息安全人才稀缺，安全團隊組建并沒有想象中那么容易。”董威說。
另外，車企業務體系復雜，涉及眾多的崗位層級與職能角色，難以建立統一的信息安全管理組織架構；行業缺乏相關實踐積累，車企尚在各自艱難摸索，制度流程難落實。以上種種，董威認為都是影響行業發展的關鍵因素。
有業界人士曾打過這樣的比方，“智能網聯車是有四個輪子的智能手機”。事實上，車聯網安全是功能安全與信息安全的融合。今年4月份發生的上海車展維權事件，引發的有關智能網聯車的數據權利和真實性的爭議來看，數據安全已經成為汽車行業關注的重點問題。
“數據資產散亂不清、數據資產管理權責不明、敏感數據信息分布情況不清楚、多數據庫接口未統一管理導致數據動態監控難實施等，引發數據安全技術及平臺工具應用條件受限，安全管控難成體系。”董威說。
萬物互聯時代，如何做好車聯網安全？董威認為，面對外部嚴峻的安全形勢和內部不斷涌現的安全強需求，要從人員能力、組織建設、制度流程、技術工具等維度，進行車聯網產品信息安全和數據安全的全生命周期能力建設，構建體系化的安全管控平臺；無論是整車企業、零部件供應商，還是安全服務供應商，都要從技術路線、法律符合性、場景兼容性、業務上下游、設計驗證等角度，進行全方位車聯網安全管理。
“行業發展要跨過整車安全單點防護階段，緊密結合全場景、可信任、實戰化要素，進入體系化、標準化建設階段。”葉曉虎表示，安全防護產品應基于車聯網不同車型內部系統區別較大的特性，開發SDK（軟件開發工具包）安全能力并嵌入不同的車內系統，以較好的擴展性保障車聯網安全。
董威也期待，國家監管部門細化行業監督管理要求，推進行業細則出臺，減少監管和規范多范圍并行推進的情況，使得車企能夠聚焦能力體系的建設及問題解決；推進制定數據安全建設實施指南，建議讓行業監管機構牽頭，整車企業、互聯網代表企業、安全公司共同參與。
來源： 光明網
