11月11日-13日，2020世界智能網(wǎng)聯(lián)汽車(chē)大會(huì)（WICV 2020）在北京舉行。作為全國(guó)首個(gè)國(guó)家級(jí)智能網(wǎng)聯(lián)汽車(chē)年度大會(huì)，本屆大會(huì)以線下會(huì)議結(jié)合云直播、云展覽的方式，邀請(qǐng)國(guó)內(nèi)外智能網(wǎng)聯(lián)汽車(chē)相關(guān)產(chǎn)業(yè)鏈專家、企業(yè)代表，圍繞“智能新時(shí)代 車(chē)聯(lián)新生活”的主題，探討全球汽車(chē)產(chǎn)業(yè)新生態(tài)與技術(shù)創(chuàng)新版圖重構(gòu)的新思路，分享行業(yè)前沿科技與最新成果。
騰訊產(chǎn)業(yè)安全運(yùn)營(yíng)部總經(jīng)理呂一平在大會(huì)上，從車(chē)聯(lián)網(wǎng)安全攻擊面持續(xù)擴(kuò)大的現(xiàn)狀出發(fā)，結(jié)合騰訊安全科恩實(shí)驗(yàn)室研究實(shí)踐，分享了騰訊對(duì)智能網(wǎng)聯(lián)信息安全問(wèn)題的思考及提升思路，并提出將安全納入研發(fā)設(shè)計(jì)與管理階段，通過(guò)“安全左移”提升智能網(wǎng)聯(lián)領(lǐng)域安全能力。
(騰訊產(chǎn)業(yè)安全運(yùn)營(yíng)部總經(jīng)理呂一平)
近年來(lái)，隨著5G、V2X等技術(shù)的推廣應(yīng)用和用戶增值付費(fèi)意愿的提升，車(chē)聯(lián)網(wǎng)作為物聯(lián)網(wǎng)技術(shù)在智能交通系統(tǒng)的重要延伸，迎來(lái)新一輪規(guī)模化發(fā)展拐點(diǎn)。賽迪顧問(wèn)數(shù)據(jù)顯示，2020年我國(guó)車(chē)聯(lián)網(wǎng)市場(chǎng)增速將超過(guò)60%，規(guī)模將在2021年達(dá)1150億元。
從車(chē)載智能終端到自動(dòng)駕駛，智能汽車(chē)與互聯(lián)網(wǎng)的聯(lián)系愈加緊密。WIFI、充電樁、自動(dòng)駕駛系統(tǒng)等大量交互接口的衍生，使得智能網(wǎng)聯(lián)無(wú)論是在車(chē)端、云端、移動(dòng)端都面臨著更大攻擊面。安全性顯然已成為智能網(wǎng)聯(lián)電子電器架構(gòu)進(jìn)化升級(jí)的關(guān)鍵因素。
結(jié)合騰訊安全科恩實(shí)驗(yàn)室歷年對(duì)Tesla汽車(chē)系統(tǒng)安全的研究成果，呂一平分析，當(dāng)前智能網(wǎng)聯(lián)系統(tǒng)常見(jiàn)的安全問(wèn)題主要涉及三大層面。一是設(shè)計(jì)層面，系統(tǒng)內(nèi)核及瀏覽器版本滯后、已知漏洞未修復(fù)等安全特性設(shè)計(jì)的不完備，使得整個(gè)智能網(wǎng)聯(lián)系統(tǒng)陷入被遠(yuǎn)控的風(fēng)險(xiǎn)。二是工程實(shí)踐層面，來(lái)自系統(tǒng)自帶安全防護(hù)、自研應(yīng)用服務(wù)等的配置錯(cuò)誤、代碼實(shí)現(xiàn)邏輯等功能缺陷，為攻擊者破解系統(tǒng)提供了突破口。此外，由自動(dòng)駕駛等新技術(shù)引入帶來(lái)的前沿算法的應(yīng)用，引發(fā)了諸如特斯拉雨刮器錯(cuò)誤啟動(dòng)、道路標(biāo)記干擾等新攻擊。
面對(duì)持續(xù)疊加的安全修復(fù)成本與代價(jià)，如何以更低成本高效解決信息安全問(wèn)題，并提升原生安全能力，成為當(dāng)前智能網(wǎng)聯(lián)產(chǎn)業(yè)鏈共同的關(guān)注點(diǎn)。騰訊安全科恩實(shí)驗(yàn)室研究統(tǒng)計(jì)數(shù)據(jù)顯示，由于智能汽車(chē)開(kāi)發(fā)/供應(yīng)商安全需求缺位的常態(tài)化，設(shè)計(jì)缺陷和已知漏洞等造成的安全問(wèn)題占比已高達(dá)60%。對(duì)于智能網(wǎng)聯(lián)汽車(chē)而言，系統(tǒng)設(shè)計(jì)與研發(fā)階段的安全考量變得更加重要。
在呂一平看來(lái)，針對(duì)供應(yīng)鏈系統(tǒng)碎片化明顯等車(chē)聯(lián)網(wǎng)發(fā)展現(xiàn)狀，設(shè)計(jì)研發(fā)階段的安全左移是破解車(chē)聯(lián)網(wǎng)安全難題的有效途徑。具體到實(shí)踐場(chǎng)景，涉及人、技術(shù)和流程三個(gè)層面：
● 人的層面，實(shí)現(xiàn)安全思維上的左移。從企業(yè)宏觀視角，建立高度協(xié)同且具備前瞻性的信息安全全局思維，組建專業(yè)安全團(tuán)隊(duì)，打通規(guī)劃、咨詢、評(píng)估、測(cè)試管理全鏈路；
● 技術(shù)層面上，緊扣最小權(quán)限、攻擊面收斂、默認(rèn)安全、縱深防御等安全基本原則，重視成熟安全技術(shù)與車(chē)聯(lián)網(wǎng)業(yè)務(wù)場(chǎng)景的融合，并選擇合適的自動(dòng)化工具，提升安全開(kāi)發(fā)效率；
● 在設(shè)計(jì)研發(fā)流程上，注重安全前置的實(shí)踐。基于車(chē)企研發(fā)模式向軟件定義迭代轉(zhuǎn)變的趨勢(shì)，致力在研發(fā)設(shè)計(jì)層面解決大部分安全隱患，達(dá)到低成本高回報(bào)的安全效益。
對(duì)于大多數(shù)智能網(wǎng)聯(lián)產(chǎn)業(yè)鏈企業(yè)而言，成熟自動(dòng)化工具的應(yīng)用是提升系統(tǒng)設(shè)計(jì)研發(fā)安全構(gòu)建效率的重要輔助。為此，騰訊安全科恩實(shí)驗(yàn)室結(jié)合其在車(chē)聯(lián)網(wǎng)安全領(lǐng)域的技術(shù)研究和服務(wù)能力產(chǎn)品化的成果，打造推出了一款專注于嵌入式系統(tǒng)的全自動(dòng)安全基線審計(jì)的滲透測(cè)試輔助平臺(tái)工具sysAuditor。
這一嵌入式系統(tǒng)安全審計(jì)平臺(tái)能夠檢測(cè)出90%的共性安全問(wèn)題，助力企業(yè)實(shí)現(xiàn)對(duì)研發(fā)漏洞檢測(cè)、系統(tǒng)安全驗(yàn)收、潛在風(fēng)險(xiǎn)規(guī)避和行業(yè)安全管理等的自動(dòng)化審計(jì)，從而達(dá)到提升安全基線，降低維護(hù)成本的目的。日前，該平臺(tái)成功入選了工業(yè)和信息化部網(wǎng)絡(luò)安全管理局公布的2020年網(wǎng)絡(luò)安全技術(shù)應(yīng)用試點(diǎn)，進(jìn)一步加速車(chē)聯(lián)網(wǎng)安全最佳實(shí)踐的復(fù)用和解決方案的落地。
伴隨著“新基建”的宏偉藍(lán)圖不斷鋪開(kāi)，各行各業(yè)數(shù)字化轉(zhuǎn)型步伐再次提速，安全能力也需要在數(shù)字化進(jìn)程中實(shí)現(xiàn)“自適應(yīng)”，能夠和5G、云計(jì)算、智能網(wǎng)聯(lián)汽車(chē)、人工智能等新基建新技術(shù)產(chǎn)生動(dòng)態(tài)協(xié)同效應(yīng)。未來(lái)，騰訊安全將持續(xù)釋放釋放頂尖人才、技術(shù)優(yōu)勢(shì)，加深安全產(chǎn)品和服務(wù)與產(chǎn)業(yè)場(chǎng)景的貼合度，夯實(shí)數(shù)字化產(chǎn)業(yè)縱深發(fā)展的安全底座。
