静态代码分析 | 数字驾驶舱时代，如何确保车载信息娱乐系统的网络安全？
随着汽车智能化水平的提升，车载信息娱乐系统（IVI）所承载的功能也越来越丰富，从导航、地图，到音乐、娱乐，再到语音助手、自动泊车等，不断拓展着汽车作为智能终端的无限可能性。但伴随着 IVI 的普及，随之而来的网络安全问题也频频发生，为用户和厂商等带来了信息泄露和财产损失的风险。
阅读本文，您将了解到什么是车载信息娱乐系统（IVI），网络攻击会为 IVI 构成什么风险，IVI 网络安全漏洞对原始设备制造商的影响，以及如果通过 SAST 工具 Klocwork 提升 IVI 软件代码的安全性。
了解更多关于SAST工具Klocwork的信息，请联系Perforce授权合作伙伴——龙智。
现在，购买新车的消费者更关注“数字驾驶舱生态系统体验”，反而没那么关注马力、燃油经济性等传统特性了。交付完全连接的车载信息娱乐（IVI）系统体验，包括触摸屏显示、语音命令，信息聚合以及娱乐功能等，已经成为了汽车行业的头等重要的议题。
什么是车载信息娱乐系统？
越来越多的终端消费者希望体验到完全连接的“数字生态系统”。“数字驾驶舱”是车载信息娱乐系统的核心，正在成为原始设备制造商及其汽车品牌的关键差异化因素。
IVI 是一个汽车系统的组合，用于向车内人员提供音频/视频接口和控制元素——触摸屏显示器、按钮面板、语音命令等。
以下是组成“数字驾驶舱”的组件、模块的简要说明：
用户界面：驾驶者和乘客通过触摸、旋钮和转盘在屏幕上看到并与之交互的内容。
主机：包括显示器、外壳、电路板、CD/DVD 播放器、收音机和多个处理器——统称为车辆的主机。它也是与车辆所有物理输入的接口，例如音响系统和/或外部摄像头。
操作系统（OS）：操作系统是信息娱乐系统的核心，它控制着对主机中的处理器、内存、存储和显示器的访问。
应用程序框架模块：管理从 Spotify 应用程序到导航，以及与系统交互的所有内容，例如文本转语音和语音命令。它控制所有应用程序功能，以及哪些应用程序可以出现在主机中。
移动集成：使车辆能够与各种智能手机和设备连接。支持 Wi-Fi、蓝牙和即插即用程序，例如 Google Play 的 Mirror Link、苹果 CarPlay 和安卓 Auto，可以将修改过的手机媒体和应用程序导入屏幕。
汽车平台：应用程序框架和操作系统之间的软件桥梁，支持多媒体、视频、导航、音频、无线电、音响、软件更新、云服务等。
根据行业研究公司Frost&Sullivan最近的分析，到 2025 年，“联网汽车”将占全球汽车市场的近 86%。同年，IVI 市场预计将达到 427 亿美元。
但是，IVI 系统本身以及第三方应用程序也为网络犯罪分子创造了许多漏洞威胁点。汽车行业的原始设备制造商和 IVI 一级供应商必须努力确保这些系统内的嵌入式代码符合安全和防范的关键标准。这样做有助于避免召回的成本，以及避免影响企业声誉。
网络攻击对 IVI 构成严重风险
可以说，联网汽车就是一个通过 IVI 连接到互联网的四轮计算机。由于 IVI 是车辆内部网络的一部分，它可以为黑客创造许多易受攻击的威胁点，这些黑客可能会控制驾驶者的智能手机并访问个人数据、操纵车辆安全关键系统功能或伪造系统更新程序。因此，IVI 开发实践必须遵守编码标准和准则。
最近的两项标准有望使 IVI 受益，它们是 ISO/SAE 21434 标准和联合国欧洲经济委员会（UNECE）WP.29 法规。这些标准相辅相成，为新一代联网汽车的安全提供了保障。
ISO/SAE 21434 标准建立在其前身ISO 26262基础之上。ISO 26262 不包括软件开发或子系统。
ISO/SAE 21434 侧重于汽车电子产品设计和开发中固有的网络安全风险。汽车软件安全标准提供了一个结构化的流程，以确保在汽车产品的整个生命周期内，将网络安全考虑纳入汽车产品。
与 ISO/SAE21434 不同，WP.29 法规将责任交给了原始设备制造商，以管理整个供应链中的网络安全风险。
IVI 网络安全漏洞如何影响原始设备制造商
原始设备制造商及其一级供应商需要采取措施，来避免 IVI 嵌入式软件中漏洞的负面影响，因为攻击可能会威胁驾驶者及乘客的隐私和安全。网络安全事件可能代价高昂且非常耗时，并可能导致车辆召回，最终影响利润、损失声誉和组织生产力。
为什么 SAST 对 IVI 的软件代码来说至关重要
SAST (静态应用程序安全测试 ) 软件测试方法通过检查和分析应用程序源代码、字节码和二进制文件的编码和设计条件，来发现 IVI 软件中的安全漏洞。SAST 背后的工作机制是一个用于检查设计和编码缺陷静态分析工具。
Klocwork是企业 DevOps 和 DevSecOps 的理想选择，它是行业领先的静态分析和 SAST 工具，适用于 C、C++、C#、Java、JavaScript、Python，以及 Kotlin-designed 源代码。此外，十大汽车零部件制造商中有 9 家依靠 Perforce 静态分析工具来帮助他们确保其汽车软件的安全性、防范性和合规性。
如需深入了解静态分析工具 Klocwork 如何帮助您确保嵌入式软件的质量，请联系Perforce授权合作伙伴——龙智：
官网：www.shdsd.com
电话：400-666-7732
邮箱：marketing@shdsd.com
还未添加个人签名 2021.05.18 加入
分享DevSecOps解决方案最新动态，帮助您学习与使用Atlassian, Perforce, Whitesource, Cloudbees及龙智自研产品，实现软件研发的高度协同与自动化，提高交付效率与质量，并确保开发过程可追溯、可度量。
评论