8月23日，上?？匕矃⒕幍摹禛B 44495-2024 汽車整車信息安全技術(shù)要求》正式發(fā)布，標(biāo)準(zhǔn)將于2026年1月1日正式實(shí)施。

汽車整車信息安全技術(shù)要求

《汽車整車信息安全技術(shù)要求》由工業(yè)和信息化部歸口，委托全國(guó)汽車標(biāo)準(zhǔn)化技術(shù)委員會(huì)智能網(wǎng)聯(lián)汽車分會(huì)執(zhí)行。上海控安在內(nèi)的汽車科技領(lǐng)域企業(yè)、主機(jī)廠、Tier1、高校院所、機(jī)構(gòu)中心等單位聯(lián)合參與編制。

該標(biāo)準(zhǔn)是我國(guó)針對(duì)智能網(wǎng)聯(lián)汽車信息安全制定的強(qiáng)制性國(guó)家標(biāo)準(zhǔn)，基于當(dāng)前汽車行業(yè)發(fā)展現(xiàn)狀和管理需求自主制定，旨在提升智能網(wǎng)聯(lián)汽車信息安全能力，保障汽車網(wǎng)絡(luò)安全、個(gè)人隱私與數(shù)據(jù)安全。

標(biāo)準(zhǔn)涵蓋信息安全管理體系建設(shè)、車輛信息安全要求、安全技術(shù)要求、測(cè)試驗(yàn)證方法等內(nèi)容，對(duì)汽車整車信息安全和數(shù)據(jù)安全能力提出更符合我國(guó)發(fā)展現(xiàn)狀的嚴(yán)格要求，同時(shí)也為車企開(kāi)展網(wǎng)絡(luò)安全及信息安全建設(shè)提供有效指導(dǎo)。

標(biāo)準(zhǔn)網(wǎng)址：https://std.samr.gov.cn/gb/search/gbDetailed?id=208DEC46F6B347EEE06397BE0A0AA4A0

汽車網(wǎng)絡(luò)安全解決方案

隨著汽車發(fā)展向智能化、網(wǎng)聯(lián)化走深走實(shí)，車輛搭載的關(guān)鍵代碼規(guī)模與電子控制單元數(shù)量大幅增長(zhǎng)，導(dǎo)致汽車受到信息安全攻擊的風(fēng)險(xiǎn)與日俱增。近年來(lái)頻發(fā)的汽車信息安全事件加劇了社會(huì)各界對(duì)于智能汽車發(fā)展的擔(dān)憂。上海控安致力于長(zhǎng)期攻堅(jiān)智能網(wǎng)聯(lián)汽車關(guān)鍵核心技術(shù)，提出并建設(shè)了一系列汽車整車及核心零部件全方位網(wǎng)絡(luò)安全保障方案，在汽車產(chǎn)業(yè)轉(zhuǎn)型升級(jí)進(jìn)程中取得了突破性成效。

滿足多項(xiàng)標(biāo)準(zhǔn)法規(guī)的研發(fā)咨詢服務(wù)

《汽車整車信息安全技術(shù)要求》的發(fā)布實(shí)施有助于應(yīng)對(duì)智能網(wǎng)聯(lián)汽車信息技術(shù)快速發(fā)展帶來(lái)的安全挑戰(zhàn)。作為參編單位之一，上?？匕蔡峁M足《汽車整車信息安全技術(shù)要求》、WP.29 R155/R156、ISO/SAE 21434等標(biāo)準(zhǔn)法規(guī)的開(kāi)發(fā)設(shè)計(jì)咨詢服務(wù)。

《汽車整車信息安全技術(shù)要求》標(biāo)準(zhǔn)咨詢

WP.29 R155/R156法規(guī)咨詢

ISO/SAE 21434汽車信息安全標(biāo)準(zhǔn)咨詢

汽車信息安全實(shí)驗(yàn)室建設(shè)咨詢

覆蓋汽車全生命周期的網(wǎng)絡(luò)安全解決方案

智能網(wǎng)聯(lián)汽車的發(fā)展帶來(lái)了網(wǎng)絡(luò)安全諸多新的挑戰(zhàn)，涉及從開(kāi)發(fā)設(shè)計(jì)到運(yùn)營(yíng)生產(chǎn)等汽車全生命周期的各個(gè)階段。為應(yīng)對(duì)這些挑戰(zhàn)，需要采取全方位的網(wǎng)絡(luò)安全防護(hù)措施，上?？匕蔡峁└采w汽車全生命周期各個(gè)階段的汽車網(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理整體解決方案。

上?？匕财嚾芷诰W(wǎng)絡(luò)安全風(fēng)險(xiǎn)管理

01概念階段

支持TARA分析服務(wù)和汽車網(wǎng)絡(luò)安全工程咨詢服務(wù)

◆ 遵循ISO/SAE 21434中的TARA分析流程，對(duì)整車及零部件，進(jìn)行資產(chǎn)識(shí)別、威脅場(chǎng)景識(shí)別、攻擊路徑分析、風(fēng)險(xiǎn)評(píng)級(jí)等，最終得出安全目標(biāo)和安全需求。

02開(kāi)發(fā)階段

支持汽車網(wǎng)絡(luò)安全開(kāi)發(fā)服務(wù)

◆ 支持安全啟動(dòng)功能開(kāi)發(fā)

在啟動(dòng)時(shí)，通過(guò)HSM/TEE對(duì)bootloader、系統(tǒng)鏡像、應(yīng)用代碼進(jìn)行校驗(yàn)，防止固件被篡改。

◆ 支持安全存儲(chǔ)功能開(kāi)發(fā)

利用HSM/TEE的密碼服務(wù)對(duì)敏感數(shù)據(jù)（如密鑰）進(jìn)行安全存儲(chǔ)，保證數(shù)據(jù)的真實(shí)性和機(jī)密性。

◆ 支持安全通信功能開(kāi)發(fā)

- 基于HSM/TEE功能，對(duì)通信數(shù)據(jù)進(jìn)行非對(duì)稱加密、對(duì)稱加密、消息驗(yàn)證碼生成及校驗(yàn)等密碼學(xué)計(jì)算，保證數(shù)據(jù)的機(jī)密性、完整性、真實(shí)性；

- 支持開(kāi)發(fā)SecOC、TLS等標(biāo)準(zhǔn)的安全通信協(xié)議，同時(shí)提供私有安全通信流程的適配及設(shè)計(jì)。

◆ 支持安全診斷功能開(kāi)發(fā)

支持UDS 0x27,0x29服務(wù)的設(shè)計(jì)及開(kāi)發(fā)。

◆ 支持安全刷寫(xiě)功能開(kāi)發(fā)

結(jié)合HSM/TEE，對(duì)UDS刷寫(xiě)過(guò)程進(jìn)行加密及消息驗(yàn)證碼校驗(yàn)，保證過(guò)程的真實(shí)性、保密性及完整性。

◆ 支持安全日志功能開(kāi)發(fā)

對(duì)日志的完整性和真實(shí)性進(jìn)行防護(hù)，基于HSM/TEE提供的密碼算法對(duì)數(shù)據(jù)進(jìn)行認(rèn)證，保證日志數(shù)據(jù)的完整性和真實(shí)性。

◆ 支持藍(lán)牙鑰匙系統(tǒng)的開(kāi)發(fā)

設(shè)計(jì)基于HSM/TEE的安全通信流程，開(kāi)發(fā)汽車藍(lán)牙鑰匙系統(tǒng)。

03運(yùn)營(yíng)階段

支持OTA的簽名驗(yàn)簽安全、車載入侵檢測(cè)防護(hù)與車輛安全運(yùn)營(yíng)監(jiān)控

◆ SmartRocket PKI-SINGER 基于車聯(lián)網(wǎng)的公鑰基礎(chǔ)設(shè)施及軟件簽名系統(tǒng)

能夠構(gòu)建企業(yè)自有的公鑰基礎(chǔ)設(shè)施系統(tǒng)，用于生成/審核/頒發(fā)/管理證書(shū)及產(chǎn)生密鑰；同時(shí)數(shù)字簽名系統(tǒng)對(duì)接企業(yè)的軟件發(fā)布系統(tǒng)，自動(dòng)實(shí)現(xiàn)數(shù)字簽名。

◆ IDPS 車載入侵檢測(cè)防護(hù)系統(tǒng)

提供CAN、以太網(wǎng)等車載網(wǎng)絡(luò)流量入侵檢測(cè)探針、主機(jī)入侵檢測(cè)探針、入侵檢測(cè)管理模塊以及入侵檢測(cè)上傳模塊。實(shí)現(xiàn)車端攻擊事件的檢測(cè)及上報(bào)?？稍诓煌?a target="_blank">MCU、MPU上進(jìn)行部署及功能裁剪，支持Linux、Android、QNX系統(tǒng)適配。

◆ VSOC 車輛安全運(yùn)營(yíng)中心

支持平臺(tái)數(shù)據(jù)總覽、安全事件實(shí)時(shí)監(jiān)控、高靈活性配置、漏洞管理與風(fēng)險(xiǎn)處置。

04全生命周期

具備汽車網(wǎng)絡(luò)安全攻防演練靶場(chǎng)

◆ 該靶場(chǎng)支持針對(duì)實(shí)車、半實(shí)物臺(tái)架及全虛擬場(chǎng)景的測(cè)試或仿真測(cè)試。

◆ 可實(shí)現(xiàn)攻擊方法及安全措施測(cè)試、攻擊場(chǎng)景分析與復(fù)現(xiàn)。

◆ 為網(wǎng)絡(luò)安全相關(guān)研究人員培訓(xùn)提供硬件支持。

汽車網(wǎng)絡(luò)安全測(cè)試實(shí)驗(yàn)室建設(shè)能力

除產(chǎn)品及功能開(kāi)發(fā)服務(wù)，上?？匕策€建立了汽車網(wǎng)絡(luò)安全測(cè)試實(shí)驗(yàn)室，包含兩款標(biāo)準(zhǔn)化的測(cè)試工具，能夠針對(duì)整車、零部件、APP等對(duì)象，開(kāi)展?jié)B透測(cè)試、合規(guī)測(cè)試及符合性測(cè)試。

◆ 滲透測(cè)試

涉及汽車相關(guān)的CAN、以太網(wǎng)、WIFI、藍(lán)牙、應(yīng)用、硬件等11個(gè)模塊，目前積累200+滲透測(cè)試用例。

◆ 合規(guī)測(cè)試

- 支持GB 44495-2024《汽車整車信息安全技術(shù)要求》

- 支持GB/T 40855-2021《電動(dòng)汽車遠(yuǎn)程服務(wù)與管理系統(tǒng)信息安全技術(shù)要求及試驗(yàn)方法》

- 支持GB/T 40856 《車載信息交互系統(tǒng)信息安全技術(shù)要求及試驗(yàn)方法》

- 支持GB/T 40857 《汽車網(wǎng)關(guān)信息安全技術(shù)要求及試驗(yàn)方法》

- 支持《智能網(wǎng)聯(lián)汽車 數(shù)據(jù)通用要求》（征求意見(jiàn)稿）

- 支持R155 Cyber security and cyber security management system

◆ 符合性測(cè)試

針對(duì)被測(cè)對(duì)象的安全需求進(jìn)行測(cè)試用例設(shè)計(jì)及測(cè)試，驗(yàn)證被測(cè)對(duì)象的安全需求是否得到滿足，以及安全開(kāi)發(fā)方案是否合理。

標(biāo)準(zhǔn)化測(cè)試工具展示

SmartRocket BlitzFuzz工業(yè)互聯(lián)網(wǎng)協(xié)議模糊測(cè)試工具，可針對(duì)車載總線及車聯(lián)網(wǎng)協(xié)議的自動(dòng)化智能黑盒模糊滲透測(cè)試工具，提供各種故障注入功能，能夠有效發(fā)現(xiàn)并修復(fù)智能網(wǎng)聯(lián)汽車通信系統(tǒng)中潛在的安全缺陷。通過(guò)自動(dòng)化、系統(tǒng)化、智能化的模糊滲透測(cè)試方法，提高智能網(wǎng)聯(lián)汽車安全性。

SmartRocket PeneX汽車網(wǎng)絡(luò)安全測(cè)試系統(tǒng)，支持對(duì)整車及車輛零部件及子系統(tǒng)實(shí)施網(wǎng)絡(luò)安全測(cè)試，包含硬件安全、軟件系統(tǒng)安全、通信安全、數(shù)據(jù)安全四大安全測(cè)試系統(tǒng)；支持合規(guī)性測(cè)試，包含國(guó)內(nèi)外的法規(guī)及標(biāo)準(zhǔn)；提供實(shí)驗(yàn)室部署方案及便攜式工具箱方案，可按需靈活選擇。

智能網(wǎng)聯(lián)汽車作為國(guó)家戰(zhàn)略性新興產(chǎn)業(yè)，切實(shí)保障其網(wǎng)絡(luò)與信息安全，對(duì)維護(hù)國(guó)家安全具有重大意義。未來(lái)，上海控安將持續(xù)聚焦汽車領(lǐng)域安全保障與技術(shù)創(chuàng)新，助力我國(guó)智能網(wǎng)聯(lián)汽車產(chǎn)業(yè)高質(zhì)量發(fā)展，加快建設(shè)汽車強(qiáng)國(guó)。

審核編輯 黃宇