2017年-360研究报告_2016智能网联汽车信息安全年度报告_52页_4mb

报告摘要

2016 智能网联汽车信息安全年度报告总结

核心内容

本报告由360汽车信息安全实验室（360天行者团队）撰写，重点分析了2016年智能网联汽车技术发展、信息安全威胁以及相关安全事件案例。报告指出，随着智能网联汽车的快速发展，信息安全成为关注焦点，需要从技术、系统和法律等多个层面进行防护。

主要观点

智能网联汽车是融合了先进传感、通信、控制与决策技术的下一代汽车，其发展分为三个阶段：驾驶辅助系统（ADAS）、网联化（V2X）、自动驾驶（FA/HA）。
中国政策支持智能网联汽车发展，2015年《中国制造2025》和2016年《互联网+人工智能三年行动实施方案》为行业发展提供了指导。
自动驾驶技术正面临技术、成本、安全和法律等多重挑战，传统车企与互联网企业合作成为主流趋势。
特斯拉作为自动驾驶的“实战型选手”，其系统通过大量数据积累和深度学习算法不断优化，但同时也面临黑客攻击的威胁。
**车联网（TSP）**和车载信息娱乐系统（IVI）是信息安全的重要攻击面，存在SQL注入、XSS攻击、越权漏洞、暴力破解、文件上传漏洞、CSRF攻击等安全风险。
T-Box作为车联网核心系统，其安全设计至关重要，需通过增加硬件模块、软件防火墙和通信协议隔离等方式加强防护。
CAN总线和ECU（电子控制单元）是车辆内部控制的重要部分，存在信息泄露、数据篡改、远程控制等安全隐患。
**车间通信（V2X）**缺乏统一标准，存在信号窃取、干扰和伪造等风险，需加强通信安全和数据加密。
汽车信息安全不仅关乎技术，也涉及法律、伦理和用户信任问题，需系统性地进行研究和应对。

关键信息

一、智能网联汽车技术发展

技术体系包括传感、决策、控制、通信定位及数据平台。
发展阶段：
- 第一阶段：ADAS（驾驶辅助系统）
- 第二阶段：V2X（车与万物互联）
- 第三阶段：FA/HA（完全自动驾驶）
政策支持：
- 2020年目标：DA/PA新车装备率50%，交通事故减少30%
- 2030年目标：DA/PA/CA/HA新车装备率80%，交通事故减少80%

二、自动驾驶技术发展

互联网企业：
- Google、Apple、Nvidia、百度、腾讯、阿里巴巴等均在自动驾驶领域布局。
- 特斯拉Autopilot 2.0通过8个摄像头、12个超声波传感器、1个毫米波雷达和NVIDIA PX2芯片实现更高级别的自动驾驶。
- 通过深度学习和云端数据收集，特斯拉实现了快速算法迭代。
传统汽车厂商：
- 沃尔沃、宝马、奔驰、奥迪、福特、通用、丰田等均在自动驾驶领域有所突破。
- 传统厂商更倾向于联合开发，以保持对核心技术的掌控。
国内品牌：
- 北汽、长安、东风、上汽、奇瑞、广汽、众泰等均在自动驾驶领域有所布局。
- 众泰的自动驾驶原型车已进入L4级别测试阶段。

三、信息安全威胁分析

TSP系统：
- 存在SQL注入、XSS攻击、越权漏洞、暴力破解、文件上传漏洞、CSRF攻击等风险。
- 需加强后台安全防护，如数据加密、权限控制、安全认证等。
T-Box系统：
- 作为车联网核心，存在被远程攻击、模拟报文发送、控制车辆的风险。
- 需通过增加GW（网关）和制定防火墙策略提升安全性。
IVI系统：
- 攻击面广，可通过软件或硬件方式入侵。
- 存在VIN会话劫持、信息泄露、远程控制等风险。
CAN总线：
- 数据链路层安全，但应用层存在通信矩阵、协议漏洞等问题。
- 需通过逆向分析、模糊测试、数据校验等方式加强防护。
ECU系统：
- 存在固件被刷写、数据篡改、权限提升等风险。
- 需加强固件保护、更新机制、通信加密等。

四、2016年安全事件案例

日产聆风电动车：
- VIN码被利用，远程控制空调系统。
- 通过穷举VIN码，可绕过系统验证。
特斯拉自动驾驶系统：
- 通过干扰传感器（超声波、毫米波雷达、高清摄像头）实现攻击。
- 2016年Defcon24上，研究人员演示了远程攻击特斯拉Model S，实现解锁、启动等操作。
特斯拉车联网系统：
- 研究人员通过漏洞获得CAN总线权限，发送伪造指令实现远程控制。
- 存在多处可利用漏洞，如OpenVPN证书、地图数据、未知接口等。

总结

2016年智能网联汽车技术发展迅速，但信息安全威胁也日益凸显。随着车辆与互联网、云平台的深度连接，安全防护体系必须与技术发展同步完善。从TSP到T-Box，从IVI到ECU，每一个系统都存在被攻击的可能性。因此，需要从硬件、软件、通信、法律等多个维度构建完整的汽车信息安全体系，以保障用户隐私、数据安全和车辆安全。未来，随着自动驾驶技术的普及，汽车信息安全将成为行业发展的关键环节。

展开完整摘要