2016年-艾瑞咨询_360研究报告：汽车信息安全年度报告_32页_4mb

报告摘要

2015 汽车信息安全年度报告总结

核心内容概述

2015年，随着车联网、新能源汽车及智能网联汽车的快速发展，汽车信息安全问题逐渐受到关注。本报告从技术发展、安全威胁分析、最佳实践和整体解决方案等方面对汽车信息安全进行了系统性分析，强调了在智能化和网联化背景下，汽车系统面临的安全挑战以及应对策略。

主要观点与关键信息

1. 汽车技术发展分析

车联网技术：
- 车联网概念普及加速，T-BOX成为核心设备，实现手机APP对车辆的远程控制。
- 整车厂采用自主开发、外包开发或OEM模式构建车联网系统，各有优劣。
- 未来车联网系统将呈现技术混杂化趋势。
新能源汽车：
- 电池、电机、电控技术持续改进，车型丰富，消费者认知度提高。
- 补贴退坡，产业进入成长期。
- 电池管理系统（BMS）是新能源汽车的核心技术之一，影响电池性能和安全。
智能网联汽车：
- 搭载传感器、控制器、执行器等设备，融合现代通信技术，实现环境感知和智能决策。
- 中国将智能网联汽车提升至国家战略层面，计划到2025年基本完成产业转型升级。
互联网汽车：
- 互联网企业与汽车厂商深度合作，通过车机系统提供导航、娱乐等服务。
- 未来可能改变用户的消费习惯，成为互联网厂商争夺的第四大终端市场。

2. 汽车信息安全威胁分析

基础架构安全威胁：
- OBD接口、网关是常见的攻击入口，需通过加密、身份认证、访问控制等方式加强防护。
- 通过分析CAN总线数据可发现系统漏洞，攻击者可利用低优先级ID消息获取控制权。
遥控钥匙安全威胁：
- 滚码机制存在漏洞，可通过信号重放实现远程开锁。
- 360攻防实验室曾成功破解特斯拉汽车钥匙系统，揭示了滚码算法的安全缺陷。
蓝牙钥匙安全威胁：
- 蓝牙2.0存在安全隐患，容易被逆向分析。
- 需加强APK的安全加固，防止调试、重打包等攻击手段。
TSP平台安全威胁：
- TSP（Telematics Service Provider）平台部署在云端，面临虚拟机逃逸、密钥泄露等风险。
- 2015年宝马ConnectedDrive因未使用HTTPS传输，导致远程控制漏洞被利用。
T-BOX安全威胁：
- T-BOX负责车辆与互联网通信，内部固件和密钥需严格保护。
- 通过逆向分析固件可获取加密密钥，进而控制车辆功能。
NGTP协议安全威胁：
- NGTP2.0使用MongoDB提升性能，但未对请求参数进行充分过滤，存在SQL注入等风险。
- 需在开发中采用安全框架，加强参数验证。
智能网联汽车安全威胁：
- 超声波雷达、毫米波雷达、高清摄像头、激光雷达等传感器易受干扰。
- 攻击者可通过强光、伪造信号等方式干扰传感器，影响自动驾驶决策。
802.11P通信安全威胁：
- 虽然有身份认证和传输加密，但链路层未加密，可被用于定位和跟踪车辆。
- 需加强链路层安全防护，防止信息泄露。

3. 汽车信息安全最佳实践

智能汽车信息安全模型：
- 针对传感单元、智能控制系统、电池管理系统等设置不同级别的安全保护。
- 采用安全域隔离技术，将动力系统与车身系统分开，通过网关进行访问控制。
以攻防平衡为核心的安全评估：
- 安全评估分为五个阶段，包括评估范围确定、计划制定、实施评估、输出报告、二次验证。
- 通过分析攻击链，加强系统脆弱性防护，降低攻击损失。
基于全生命周期的安全咨询：
- 在规划设计、开发、上线、运维、退服等阶段提供安全支持。
- 强调安全意识培训，确保安全需求贯穿整个开发流程。
防范于未然的大数据监控：
- 安全能力分为三级：事后分析、事中防御、事前感知。
- 利用大数据分析和威胁情报预测潜在攻击，提前部署防护措施。
快速响应降低安全风险：
- 建立应急响应中心，鼓励安全研究人员提交漏洞。
- 通过OTA升级、数据采集等手段监控车辆安全状态，及时修复漏洞。

4. 整体解决方案

360车联网安全框架包括：
- 安全服务与产品
- 应急响应机制
- 安全咨询与威胁情报
- 安全监控平台
FUSE车联网安全防护系统：
- 部署在车内接口，检测并阻断对CAN总线的攻击。
- 支持远程OTA升级和数据采集，实时监控车辆状态。
安全设计建议：
- 加强身份认证、访问控制、传输加密等机制。
- 对关键系统（如TSP、T-BOX、BMS）进行重点防护。
- 提高APP及系统代码的安全性，防止逆向分析和恶意攻击。

参考文献与致谢

引用多篇技术报告与论文，涵盖车联网、新能源、智能网联等领域。
致谢单位包括360 Unicorn Team、visual threat公司、中国汽车工程学会、浙江大学信息安全实验室、吉林大学计算机学院智能控制与嵌入式系统实验室、北京航空航天大学车路协同与安全控制北京市重点实验室、长安汽车研究院电装开发中心软件所互联技术开发室、长安汽车研究院电装开发中心智能化技术所。

招聘信息

360攻防实验室招聘车联网安全研究员。
岗位要求：
- 对网络安全攻防有兴趣，愿意投入大量精力研究。
- 有较强的工作责任心，主动学习最新攻击技术。
- 对车联网技术有浓厚兴趣，具备深入研究能力。
- 优先录用条件：
  - 技术拔尖者
  - 对某项技术有深入研究者
  - 有相关从业经验者
联系邮箱：liujianhao@360.cn