本文作者 | 网络安全研究所 李立雪 周千荷
导语：在“碳中和”的背景下，在软件定义汽车已经成为普遍共识的前提下，越来越多的汽车成为新能源智能网联汽车，在“新”汽车发展突飞猛进的今天，安全漏洞成为威胁汽车安全的重要隐患。人们在享用它带来的个性化体验的同时，是否想到它们有可能面临网络安全风险?
3月的第一天，对于丰田来说并不是美好的开端。这一天，日本本土工厂和生产线又全部按下暂停键，这是继2021年9月因疫情导致缺芯的全面停产后的第二次。
据了解，此次停产的原因是日本丰田汽车公司因零部件供应商受到了“勒索软件”攻击。虽然丰田已经宣布3月2日重启生产，但仅仅一天，丰田股价下跌约1.2%。还有报道称，日本国内所有工厂停工一天会影响约1.3万辆汽车的生产，相当于丰田日本国内月产能的4%至5%。
而在国内，这样类似因汽车网络安全漏洞引发的风险也不在少数。据360车联网安全实验室统计，在国内25家车企的53款在售智能网联汽车中，360公司共计发现漏洞1600余个，其中云端漏洞1000余个，可导致攻击者远程批量控制该品牌所有的智能网联汽车;车端漏洞600余个，可导致攻击者近距离非接触式控制汽车，如开关车门、启动引擎等。
如此看来，在“碳中和”的背景下，在软件定义汽车已经成为普遍共识的前提下，越来越多的汽车成为新能源智能网联汽车，在“新”汽车发展突飞猛进的今天，安全漏洞成为威胁汽车安全的重要隐患。人们在享用它带来的个性化体验的同时，是否想到它们有可能面临网络安全风险?
01 “新”汽车这么容易被“黑”?
今年2月，一位来自德国的19岁黑客大卫连续入侵了13个国家的25辆特斯拉电动汽车的事件震惊了汽车圈。调查后发现，大卫是通过第三方软件的网络漏洞来远程操控特斯拉，如远程控制门窗、灯光、音响等。
随着汽车智能化、网络化的不断发展，汽车内部电子设备数量迅速增加，电控系统日益复杂，这些车载电子设备、电控单元与外界的信息交互也越来越多，大大增加了黑客对汽车的攻击面。
去年10月，由国际欧亚科学院中国科学中心、中国汽车工程研究院股份有限公司、国家市场监管技术创新中心（新能源汽车数字监管技术及应用）、汽车大数据应用联合研究中心联合出版的出版的《汽车大数据应用研究报告（2021）》（以下简称《报告》）指出，业内外专家普遍认为，随着汽车智能化、网联化程度加深，汽车面临的网络安全风险不断增大。新能源汽车的安全保障手段相对匮乏，安全技术能力十分不足，部分重要场景甚至为空白，已成为威胁国家安全的重要因素。
《报告》指出，新能源汽车由许多互联的、基于软件的IT部件组成，智能联网系统在沿袭既有的计算和联网架构同时，继承了这些系统“天然的”安全缺陷，并且普遍缺乏有效的信息安全防护手段。尤其是汽车通过通信网络接入互联网连接到云端之后，每个计算、控制和传感单元，每个连接路径都有可能因存在安全漏洞而被黑客利用，从而实现对汽车的攻击和控制。汽车正逐渐成为网络黑客入侵的热门目标，汽车受到信息安全攻击的威胁正逐步攀升。
2022年全国两会召开前夕，全国人大代表，长安汽车党委书记、董事长朱华荣也提出了《统筹智能网联汽车发展和安全》《股比放宽后对地方政府引入外资车企的相关建议》和《车辆电子合格证取代纸质合格证，提升国家信息化管理能力》等建议。
对于如何统筹智能网联汽车发展和安全，朱华荣表示，当下新一轮的技术群突破为中国汽车品牌向上带来了最佳的机会，在这一过程中，新能源、智能化成为重要抓手。随着汽车的智能化、网联化的融合发展正在加速，智能网联汽车已不再只是交通运载工具，也是大型智能终端、计算中心，还是中国汽车行业实现弯道超车的绝佳机会，更是支撑构建智能交通和智慧城市的关键节点。不过客观上也带来了新的安全问题，包括数据安全、网络安全、系统安全等，同时与智能网联汽车相适应的法律法规、数据环境等仍在建设当中，智能网联汽车的安全和发展面临巨大挑战。
02 “新”汽车有哪些风险痛点？
2月28日，工信部副部长辛国斌在国务院新闻发布会上表示，安全是新能源汽车产业发展的前提，要统筹提升功能安全、数据安全、网络安全等保障能力。这意味着，新能源汽车的安全问题不仅仅停留在充电安全、电池安全，新能源汽车的网络安全也引起了各方的重视。
国家计算机网络与信息安全管理中心曾公开表示，新能源汽车主要面临三方面的网络安全风险。
首先，新能源汽车面临大规模网络恶意控制风险。当前的汽车系统正逐渐部署对汽车的远程调度、控制、更新等功能，此过程中，存在大量恶意攻击者获取信息平台权限或者劫持通信链路、进而对大规模车辆同步实施网络恶意控制的风险，造成难以想象的灾难。
其次，交通关键信息基础设施面临大规模瘫痪风险。新能源汽车作为交通关键信息基础设施的神经中枢，如果受到恶意攻击，则会导致交通设施大范围功能瘫痪，极大地破坏交通关键信息基础设施正常运行。近年来，国内外发生了多起关键信息基础设施被恶意攻击的案例。
再次，新能源汽车面临敏感信息泄露风险。新能源汽车作为国家交通信息的收集者、传递者与承载者，如果信息泄露，将危害国家、个人、企业数据安全。特别是涉及国家交通设施的战略敏感数据和重要人物数据，假如被恶意势力获得将造成严重的后果。由于这类风险对大规模高速移动车辆、正在运行的交通关键信息基础设施存在损害的可能，因此这一安全威胁要比传统网络安全更加严重，影响更加深远。
随着5G与新能源汽车的不断融合、汽车电子电器架构的不断更新、自动驾驶新场景的不断应用，新的安全风险很可能将持续发生。这是维护我国国家安全必须面对的严峻现实。
03 如何缓解“新”汽车的疼痛？
缓解“新”汽车的疼痛，就要构建系统、科学、规范的新能源汽车安全管理体系。如何构建新能源汽车安全管理体系呢？
在今年两会前夕，全国政协委员、360创始人周鸿祎提出的多项提案中，其中一项内容就是聚焦智能网联汽车安全。
周鸿祎建议，汽车行业应尽快搭建一套以汽车安全大脑为核心的智能网联汽车态势感知体系，帮助监管部门和车企实现汽车安全实时全程“可见、可控、可管”，确保智能网联汽车始终处于安全状态。
此外，周鸿祎还建议，将网络安全升级为数字安全，打造覆盖所有数字化场景的数字安全防范应急体系，以应对工业互联网、车联网、智慧城市、云安全、数据安全、供应链安全等挑战。
在智能网联汽车安全方面，赛迪智库也给出了相关建议。
一是加快车联网网络安全和数据安全相关标准研制。落实《车联网网络安全和数据安全标准体系建设指南》，细化“匿名化”“去标识化”“脱敏处理”等汽车数据处理原则的实施方法和具体要求，逐步建立完善车联网网络安全和数据安全标准体系，并着力强化标准宣贯和应用示范工作。
二是加强智能网联汽车网络安全和数据安全监管。建立车联网安全统筹协调工作机制，明确工信、公安、交通等多个管理部门职责，落实车联网安全责任。针对传统车企、信息技术企业以及新兴造车势力等不同类型的汽车制造厂商，实施针对性的监管策略。支持第三方机构开展智能网联汽车网络安全和数据安全检测评估，逐步形成市场化、规范化的检测评估机制。
三是提升智能网联汽车网络安全和数据安全保障能力。健全“云-管-端”智能网联汽车安全保障体系，建立健全网络安全和数据安全风险监测、预警、通报和处置机制。支持建设智能网联汽车态势感知、威胁分析、漏洞检测、风险评估等安全平台，提高应急处置能力和安全管理水平，构建智能网联汽车安全生态。
（本文刊于《智能网联汽车》杂志 2022年02期）
声明：本文来自赛迪智库，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
