2015汽车信息安全年度报告_33页_5mb

2015年汽车信息安全年度报告总结

核心内容

2015年汽车信息安全报告全面分析了车联网、新能源汽车、智能网联汽车、互联网汽车以及相关基础设施的安全问题。报告强调了汽车在智能化和网联化过程中所面临的新型安全威胁，并提出了以攻防平衡为核心的安全评估和最佳实践方案。

主要观点

1. 车联网技术发展

• 车联网技术在2015年进入高速建设阶段，各大车厂开始设计和开发车联网系统。
• T-BOX是车联网系统的核心设备，负责将车辆与互联网连接，支持远程控制功能。
• 车联网系统开发模式分为自主开发、外包开发和OEM模式，各有优劣。

2. 汽车信息安全威胁

• 基础架构安全威胁：CAN总线通过OBD接口可被攻击，需采用网关或车载防火墙进行防护。
• 遥控钥匙安全威胁：滚码机制存在漏洞，可通过重放攻击实现远程解锁。
• 蓝牙钥匙安全威胁：使用蓝牙2.0技术，安全性较低，容易被逆向分析和攻击。
• TSP平台安全威胁：TSP平台未加密传输和缺乏身份认证，导致控制指令泄露。
• NGTP协议安全威胁：未对链路层进行加密，存在被定位和跟踪的风险。
• 智能网联汽车安全威胁：超声波雷达、毫米波雷达、高清摄像头、激光雷达等传感器易受攻击，可能引发自动驾驶系统误判。
• 新能源安全威胁：充电桩基础设施易受网络攻击，电池管理系统（BMS）算法可能被攻击影响电池性能。

3. 汽车信息安全最佳实践

• 智能汽车信息安全模型：需对传感器、智能控制系统和电池管理系统进行高安全级别保护。
• 以攻防平衡为核心的安全评估：通过五个阶段对系统进行全面评估，识别脆弱性并进行加固。
• 基于全生命周期的安全咨询：从规划、开发、上线、运维到退服，每个阶段都要关注安全。
• 防范于未然的大数据监控：通过三级安全能力（事后分析、事中防御、事前感知）提升安全防护能力。
• 快速响应降低安全风险：建立应急响应中心，鼓励白帽子发现漏洞并进行负责任的披露。

关键信息

车联网系统

• T-BOX作为车联网的核心设备，负责与TSP平台的通信，支持远程控制功能。
• TSP平台通常部署在云端，需注意身份认证、访问控制和传输加密。

汽车钥匙安全

• 遥控钥匙使用滚码机制，存在被破解风险。
• 蓝牙钥匙使用蓝牙2.0技术，安全性较低，容易被逆向和攻击。

智能网联汽车

• 智能网联汽车包括多种传感器和通信技术，如超声波雷达、毫米波雷达、高清摄像头、激光雷达等。
• 传感器易受干扰，可能导致自动驾驶系统误判。

新能源汽车

• 新能源汽车的电池、电机、电控技术是核心，其中BMS系统负责电池管理。
• 充电桩基础设施存在网络攻击风险，需加强防护。

安全解决方案

• FUSE车联网安全防护系统：部署在车内接口，检测并阻断攻击。
• 安全评估与加固：通过安全评估识别系统漏洞，进行配置修改、打补丁、增强访问控制等。
• 安全监控与应急响应：通过大数据监控和威胁情报，实现对安全事件的快速响应和处理。

结构与内容概述

1. 车联网汽车分析

• T-BOX作为车联网的核心设备，负责数据传输和远程控制。
• T-BOX硬件和架构安全需重点防护，防止固件泄露和密钥暴露。

2. 互联网汽车

• 互联网汽车结合了车联网与互联网服务，成为互联网厂商争夺的第四大终端市场。
• 互联网公司与汽车厂商合作，提供操作系统和应用服务。

3. 车联网安全威胁分析

• 2015年，Charlie Miller和Chris Valasek展示了远程破解汽车的可能性，引发行业关注。
• 需要对车联网系统进行安全评估，识别攻击面和网络架构中的漏洞。

4. 智能网联汽车安全威胁分析

• 传感器如超声波雷达、毫米波雷达、高清摄像头、激光雷达等是智能网联汽车的关键部件。
• 需要通过算法过滤和弹性设置来提高传感器的抗干扰能力。

5. 新能源安全

• 充电桩基础设施和电池管理系统（BMS）是新能源汽车的重要组成部分。
• 需要加强充电桩网络和BMS系统的安全防护，防止远程攻击。

6. 汽车信息安全最佳实践

• 智能汽车信息安全模型：采用隔离技术对车身网段和动力网段进行划分，确保系统安全。
• 安全评估：通过五阶段评估，识别系统脆弱性并进行加固。
• 全生命周期安全咨询：从规划到退服，每个阶段都需关注安全需求。
• 大数据监控：通过三级安全能力，实现对安全事件的预测、监控和响应。
• 快速响应机制：建立应急响应中心，鼓励白帽子发现漏洞并进行负责任披露。

附录与参考资料

• 参考文献：包括多篇关于车联网、智能网联汽车和新能源汽车安全的技术论文和报告。
• 致谢：感谢360 Unicorn Team、视觉威胁公司、中国汽车工程学会、浙江大学信息安全实验室、吉林大学计算机学院智能控制与嵌入式系统实验室、北京航空航天大学车路协同与安全控制北京市重点实验室、长安汽车研究院电装开发中心软件所互联技术开发室和智能化技术所。

360攻防实验室招聘信息

• 招聘职位：车联网安全研究员
• 要求：
  • 对网络安全攻防有浓厚兴趣
  • 有较强的工作责任心
  • 对车联网技术有浓厚兴趣
  • 有相关技术能力或经验者优先
• 联系方式：liujianhao@360.cn

总结

2015年汽车信息安全报告全面展示了车联网、新能源汽车、智能网联汽车等领域的安全问题，强调了安全评估、安全防护、应急响应和威胁情报的重要性。报告提出了一系列最佳实践，旨在构建一个安全、高效的车联网系统，同时鼓励企业和安全研究者合作，共同提升汽车信息安全水平。