5月27日在上海舉辦的2021智能汽車(chē)信息安全大會(huì)上，憑借哈曼防護(hù)盾解決方案，哈曼榮幸被業(yè)界評(píng)為年度優(yōu)秀車(chē)聯(lián)網(wǎng)安全解決方案供應(yīng)商。5月28日，針對(duì)業(yè)內(nèi)關(guān)切的安卓系統(tǒng)可能為汽車(chē)智能網(wǎng)聯(lián)化帶來(lái)的安全隱患問(wèn)題，哈曼汽車(chē)網(wǎng)絡(luò)安全專(zhuān)家俞之浩受邀帶來(lái)了極具針對(duì)性的主題演講——如何應(yīng)對(duì)安卓在汽車(chē)領(lǐng)域發(fā)展中帶來(lái)的網(wǎng)絡(luò)安全挑戰(zhàn)。

安卓系統(tǒng)在汽車(chē)行業(yè)的發(fā)展是大勢(shì)所趨

        安卓系統(tǒng)憑借開(kāi)源、成熟、穩(wěn)定的特性在移動(dòng)手機(jī)上大獲成功后，也得到了國(guó)際主流車(chē)廠的廣泛支持。隨著汽車(chē)新四化，暨電動(dòng)化、網(wǎng)聯(lián)化、智能化、共享化的發(fā)展，汽車(chē)中安卓系統(tǒng)的占比不斷攀升。根據(jù)國(guó)際市場(chǎng)調(diào)研機(jī)構(gòu)Strategy Analytics的預(yù)測(cè)，到2025年，安卓系統(tǒng)在汽車(chē)車(chē)機(jī)系統(tǒng)中的占比將超過(guò)42%，遠(yuǎn)超2018年10%的市場(chǎng)份額。對(duì)用戶(hù)來(lái)說(shuō)，汽車(chē)車(chē)機(jī)和信息娛樂(lè)系統(tǒng)中采用安卓系統(tǒng)可以讓駕乘人員獲得與個(gè)人手機(jī)相似的使用體驗(yàn)，這不但延續(xù)了移動(dòng)體驗(yàn)的一致性，還大大降低了使用者的學(xué)習(xí)難度。對(duì)于車(chē)企、互聯(lián)網(wǎng)公司和第三方應(yīng)用公司來(lái)說(shuō)，安卓應(yīng)用商店將成為他們獲得新利潤(rùn)的增長(zhǎng)點(diǎn)，此外，個(gè)性化、定制化的應(yīng)用還可以增強(qiáng)用戶(hù)粘性，提升用戶(hù)的品牌忠誠(chéng)度。

安卓系統(tǒng)為汽車(chē)行業(yè)帶來(lái)的安全隱患

        隨著安卓將成為車(chē)機(jī)和車(chē)載信息娛樂(lè)系統(tǒng)新標(biāo)準(zhǔn)的趨勢(shì)發(fā)展，新的挑戰(zhàn)也隨之而來(lái)。例如當(dāng)前的安卓網(wǎng)絡(luò)安全方案的設(shè)計(jì)更傾向移動(dòng)市場(chǎng)，因此應(yīng)用商店已成為新的網(wǎng)絡(luò)攻擊入口。此外較長(zhǎng)的補(bǔ)丁周期，特別是一些已知風(fēng)險(xiǎn)的頻繁曝露和修正也將導(dǎo)致車(chē)輛暴露在風(fēng)險(xiǎn)之下。由于汽車(chē)生命周期遠(yuǎn)大于手機(jī)的生命周期，如何保證汽車(chē)網(wǎng)絡(luò)安全和個(gè)人信息安全，將成為了繼主動(dòng)安全、被動(dòng)安全、功能安全之后需要考慮的“第四安全”。2020 年，與汽車(chē)信息安全相關(guān)的國(guó)際標(biāo)準(zhǔn)和法規(guī)相繼頒布，UNECE WP.29和ISO/SAE 21434 都要求在汽車(chē)SOP前后，車(chē)企都需要具有監(jiān)控和風(fēng)險(xiǎn)管理能力。
 
        哈曼認(rèn)為網(wǎng)絡(luò)安全需要貫穿在車(chē)輛生命周期的各個(gè)重要里程節(jié)點(diǎn)。在開(kāi)發(fā)階段，車(chē)廠需對(duì)APK或完整安卓鏡像進(jìn)行掃描，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，并進(jìn)行修正。在汽車(chē)量產(chǎn)后，車(chē)廠需要通過(guò)IVI或車(chē)機(jī)中的嵌入式監(jiān)控模塊，來(lái)監(jiān)測(cè)APK及安卓系統(tǒng)的不正常設(shè)置及行為，以緩解新的風(fēng)險(xiǎn)。此外，針對(duì)國(guó)外的網(wǎng)絡(luò)安全法規(guī)，車(chē)廠要有能力對(duì)可能存在的風(fēng)險(xiǎn)進(jìn)行全面分析，在開(kāi)發(fā)階段展示風(fēng)險(xiǎn)緩解能力，在量產(chǎn)階段提供風(fēng)險(xiǎn)緩解機(jī)制。

        安全駕駛是駕駛員的第一責(zé)任，為汽車(chē)量身打造的安卓系統(tǒng)同樣要遵循這一優(yōu)先原則。哈曼汽車(chē)網(wǎng)絡(luò)安全專(zhuān)家俞之浩在演講中分享了安卓系統(tǒng)中常見(jiàn)的安全隱患檢測(cè)示例，讓我們一起來(lái)看看。
 
?       干擾駕駛檢測(cè)
改變音量控制設(shè)置 - 音量水平的突然變化可能會(huì)分散駕駛者的注意力，因此這類(lèi)App不應(yīng)該應(yīng)用在汽車(chē)上,這在安卓汽車(chē)指南中也有提及。
 
?       安全檢測(cè)  
開(kāi)放偵聽(tīng)端口控制 - 一個(gè)開(kāi)放的端口是一個(gè)攻擊面。在端口上列出的守護(hù)進(jìn)程很容易受到緩沖區(qū)溢出或其他遠(yuǎn)程可利用漏洞的攻擊。很多谷歌商店中的應(yīng)用都被發(fā)現(xiàn)了此類(lèi)相關(guān)漏洞。
 
?       隱私檢測(cè)
訪問(wèn)位置信息 - 一個(gè)車(chē)載應(yīng)用程序不應(yīng)該未經(jīng)授權(quán)訪問(wèn)位置信息。不正確地使用位置信息可能會(huì)導(dǎo)入未經(jīng)請(qǐng)求的廣告，罪犯利用對(duì)特定個(gè)人進(jìn)行人身攻擊，或泄露用戶(hù)信息或?qū)е赂櫋?BR> 
?       性能檢測(cè)
CPU和存儲(chǔ)介質(zhì)的使用 - 大量且不穩(wěn)定的CPU消耗會(huì)減慢和干擾其他在IVI中運(yùn)行的應(yīng)用程序和服務(wù)；而不受控制的應(yīng)用程序?qū)懘鎯?chǔ)策略會(huì)導(dǎo)致flash磨損問(wèn)題。

哈曼安卓汽車(chē)安全套件的突出優(yōu)勢(shì)

        為彌補(bǔ)以上缺陷，哈曼為汽車(chē)制造商提供了一種將安卓操作系統(tǒng)引入車(chē)輛的安全方法，暨哈曼安卓汽車(chē)安全套件。此套件可以提高應(yīng)用程序的安全性，保護(hù)應(yīng)用商店用戶(hù)免受惡意應(yīng)用程序的攻擊，避免安卓配置錯(cuò)誤，還可以緩解新的漏洞和風(fēng)險(xiǎn)。

哈曼汽車(chē)安全套件包括安全控制中心、安卓安全顧問(wèn)和安卓安全代理三大部分。
 
?       安全控制中心
這一端到端系統(tǒng)有助于解決最大的挑戰(zhàn)?降低新發(fā)現(xiàn)的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。憑借哈曼新穎獨(dú)特的緩解方法，無(wú)需修改車(chē)輛上運(yùn)行的固件，即可有效緩解風(fēng)險(xiǎn)，例如已安裝的應(yīng)用程序或安卓系統(tǒng)中新發(fā)現(xiàn)的漏洞，發(fā)現(xiàn)惡意系統(tǒng)中的惡意組件，攻擊者的偵察活動(dòng)等。
 
?       安卓安全顧問(wèn)
先進(jìn)的掃描框架，可查找和強(qiáng)調(diào)安卓相關(guān)部件與汽車(chē)相關(guān)的風(fēng)險(xiǎn)。APK驗(yàn)證器掃描 APK 并根據(jù)其對(duì)隱私、性能、駕駛員分心的可能性、 安全編碼和惡意意圖的處理對(duì)汽車(chē)進(jìn)行等級(jí)評(píng)分。固件驗(yàn)證器可掃描完整的Android固件，突出安全性問(wèn)題，比如 SELinux 錯(cuò)誤配置、 有問(wèn)題的加密材料、缺少安全強(qiáng)化、攻擊面增加導(dǎo)致的風(fēng)險(xiǎn)等。
 
?       安卓安全代理
車(chē)載代理持續(xù)監(jiān)控安卓應(yīng)用程序和系統(tǒng)， 查找偏離預(yù)先定義的行為。應(yīng)用程序預(yù)定義的行為可能包括應(yīng)用程序的內(nèi)存/CPU 使用、應(yīng)用 程序的網(wǎng)絡(luò)和流量使用，應(yīng)用程序的請(qǐng)求/授 權(quán)權(quán)限等?？墒謩?dòng)配置預(yù)定義行為，因此為獲得最佳效果，建議使用哈曼的安卓安全顧問(wèn)自動(dòng)生成應(yīng)用程序的預(yù)定義行為。
 
        此外，哈曼還提供汽車(chē)生命周期內(nèi)的安卓網(wǎng)絡(luò)安全咨詢(xún)服務(wù)和培訓(xùn)，包括SDL / ISO21434 / WP.29等國(guó)際標(biāo)準(zhǔn)和法律法規(guī)的咨詢(xún)服務(wù)和網(wǎng)絡(luò)安全培訓(xùn)。

哈曼獲獎(jiǎng)方案 - 哈曼防護(hù)盾
 
        哈曼此次被業(yè)界評(píng)選為年度優(yōu)秀車(chē)聯(lián)網(wǎng)安全解決方案供應(yīng)商，憑借的是另一旗艦網(wǎng)絡(luò)安全產(chǎn)品——哈曼防護(hù)盾。哈曼防護(hù)盾能提供汽車(chē)安全運(yùn)維中心（vSOC）的核心功能，通過(guò)運(yùn)行中的遠(yuǎn)程信息處理系統(tǒng)、車(chē)載網(wǎng)絡(luò)安全組件儀表和第三方數(shù)據(jù)等數(shù)據(jù)源，來(lái)監(jiān)控聯(lián)網(wǎng)車(chē)輛的網(wǎng)絡(luò)態(tài)勢(shì)。其主要產(chǎn)品和服務(wù)包括：
哈曼防護(hù)盾代理：嵌入式傳感器，能支持所有常見(jiàn)的操作系統(tǒng)、環(huán)境和推薦的安全機(jī)制；可以與領(lǐng)先的哈曼遠(yuǎn)程信息控制單元(TCU)和數(shù)字座艙平臺(tái)進(jìn)行預(yù)集成。
哈曼防護(hù)盾網(wǎng)絡(luò)安全分析中心（CSAC）：能實(shí)現(xiàn)可視化、檢測(cè)和響應(yīng)的命令&控制儀表板
車(chē)載集成框架，支持第三方檢測(cè)和OEM安全組件
能嵌入支持領(lǐng)先的哈曼云解決方案，包括：哈曼Ignite云數(shù)據(jù)平臺(tái)和哈曼軟件管理（OTA）解決方案
在整個(gè)價(jià)值鏈中的托管安全服務(wù)：SOC運(yùn)營(yíng)商、事件響應(yīng)和增值專(zhuān)業(yè)服務(wù)

哈曼防護(hù)盾的主要優(yōu)勢(shì)
 
        哈曼防護(hù)盾能讓汽車(chē)制造商和移動(dòng)服務(wù)提供商在進(jìn)行數(shù)字化擴(kuò)張的同時(shí)管控風(fēng)險(xiǎn)，以免阻礙業(yè)務(wù)增長(zhǎng)。哈曼防護(hù)盾的主要優(yōu)勢(shì)包括：
能夠以車(chē)輛為中心、數(shù)據(jù)為導(dǎo)向?qū)⒕W(wǎng)絡(luò)安全風(fēng)險(xiǎn)可視化
24/7 全天候監(jiān)控車(chē)隊(duì)安全狀況
可實(shí)施的網(wǎng)絡(luò)安全修復(fù)方案
及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)安全風(fēng)險(xiǎn)
向安全分析師提供整個(gè)車(chē)隊(duì)的安全分析洞察，這些極具價(jià)值的見(jiàn)解將對(duì)車(chē)隊(duì)產(chǎn)生影響
對(duì)多車(chē)型車(chē)隊(duì)測(cè)出的漏洞進(jìn)行潛在危害影響評(píng)估
符合各種網(wǎng)絡(luò)安全標(biāo)準(zhǔn)并滿(mǎn)足監(jiān)管要求 (SAE J3061 / ISO 21434 / WP.29)

        作為汽車(chē)網(wǎng)絡(luò)安全領(lǐng)域的先驅(qū)，哈曼憑借多年的專(zhuān)業(yè)經(jīng)驗(yàn)，現(xiàn)已成為值得全球汽車(chē)廠商信賴(lài)的網(wǎng)絡(luò)安全合作伙伴。想了解更多信息，歡迎訪問(wèn)：car.harman.com

（轉(zhuǎn)載）