汽車廠商三大問，如何解決車用電子系統(tǒng)安全隱患？

物聯(lián)網(wǎng)快速發(fā)展，不斷帶來新的可能，人們的生活、工作以及娛樂方式也隨之改變，而在物聯(lián)網(wǎng)更緊密串聯(lián)起世界的同時，黑客和其他安全漏洞帶來的風(fēng)險也不斷激增。如今人們雖已充分認(rèn)識到保護(hù)日常聯(lián)網(wǎng)設(shè)備安全的重要性，并高度重視自己手機和電腦的信息安全。但車聯(lián)網(wǎng)的安全性卻仍然常被忽略。事實上，近些年來智能網(wǎng)聯(lián)汽車的安全漏洞已經(jīng)成為了急需解決的問題。

即使作為市面上最領(lǐng)先的智能汽車之一，特斯拉Model 3也無法避免因聯(lián)網(wǎng)而產(chǎn)生的安全威脅。早在2019年3月，黑客就瞄準(zhǔn)了特斯拉的車載信息娛樂系統(tǒng)，利用渲染器中的JIT漏洞控制該系統(tǒng)。盡管這次攻擊屬于事先授權(quán)的演習(xí)，最后并沒有給車主帶來風(fēng)險，但卻暴露了汽車電子系統(tǒng)的安全漏洞。如果汽車想要向更智能的方向發(fā)展，并與世界上日益增長的物聯(lián)網(wǎng)基礎(chǔ)設(shè)施相連接，就必須解決這一弱點。

新時代汽車應(yīng)用推動更高標(biāo)準(zhǔn)的信息安全與人車安全需求

隨著智能汽車的蓬勃發(fā)展，現(xiàn)今的汽車搭載了越來越多的先進(jìn)電子功能，包括先進(jìn)駕駛輔助系統(tǒng) （ADAS）、網(wǎng)關(guān)、動力傳動系統(tǒng)、信息娛樂系統(tǒng)、V2V和V2X等。這些新功能對聯(lián)網(wǎng)信息安全（security）及人車安全（safety）都有極高的要求，而閃存作為這些系統(tǒng)的關(guān)鍵組件，其安全性更是成為了焦點。

經(jīng)歷了數(shù)十年的應(yīng)用發(fā)展，閃存目前已被廣泛應(yīng)用在車用電子市場。然而當(dāng)前應(yīng)用最廣的嵌入式閃存解決方案主要基于傳統(tǒng)的技術(shù)和體系架構(gòu)，并沒有適當(dāng)?shù)恼J(rèn)證來確保它的安全與防護(hù)功能，因此其潛在的巨大安全風(fēng)險不容忽視。

而在汽車系統(tǒng)中，人車安全是ISO 26262標(biāo)準(zhǔn)規(guī)定在可容忍風(fēng)險水平下系統(tǒng)必須具備的最基礎(chǔ)要求。在過去，這些風(fēng)險主要由汽車制造商和子系統(tǒng)供應(yīng)商負(fù)責(zé)，但隨著汽車電子產(chǎn)品的日漸復(fù)雜， IC制造商在功能安全的保障中也扮演了重要的角色提出了要求，其中就包括保障關(guān)鍵代碼和數(shù)據(jù)的閃存安全。

汽車電子系統(tǒng)的信息安全從本質(zhì)上來說就是隱藏信息并對所有數(shù)據(jù)進(jìn)行加密處理，以防止黑客通過側(cè)通道（side channel）等復(fù)雜的機制竊取車輛與車主信息。因此，存儲在閃存陣列中的數(shù)據(jù)必須混合加密，且通信通道也必須進(jìn)行高度加密。汽車電子系統(tǒng)的人車安全則體現(xiàn)在完全的可觀測性，錯誤檢測和最大限度信息透明化建立原則。而除了存儲在閃存中的數(shù)據(jù)需經(jīng)過驗證，閃存本身也應(yīng)有不良率趨近于0 DPPM的高品質(zhì)。此外，還要能通過缺陷分析提升品質(zhì)及檢測故障根本原因。

汽車廠商無法回避的問題

汽車和汽車電子系統(tǒng)制造商必須提前考慮到棘手的問題有哪些，而不是在發(fā)生安全漏洞之后才進(jìn)行檢討。汽車制造商可以自行選擇他們想要采用的閃存技術(shù)類型，而這一選擇將在消費者開車上路后起到關(guān)鍵作用——是保護(hù)汽車安全或是將其暴露在危險當(dāng)中。因此，在您決定信任并使用某個閃存產(chǎn)品來保證您的產(chǎn)品安全之前，請思考以下幾點：

閃存技術(shù)是否通過CC EAL5＋認(rèn)證？屬于什么級別？

沒有通過國際認(rèn)證的安全解決方案并不是真正安全和可信的。通過CC EAL5＋ 認(rèn)證意味著閃存能滿足包括 V2V 和 V2X 在內(nèi)的任何汽車應(yīng)用的最高安全要求。在這一最高等級的防護(hù)下，體系架構(gòu)甚至可以檢測到數(shù)據(jù)中最微小的非授權(quán)更改，同時立即向主機報告，并且此報告機制是無法被阻擋的。無論是出于惡意攻擊還是系統(tǒng)故障，其存儲的數(shù)據(jù)均被保護(hù)，不接受任何未經(jīng)授權(quán)的修改。此外，閃存陣列還應(yīng)受到CRC檢測碼的額外防護(hù)，而閃存邏輯中也應(yīng)含有能檢測出任何異常狀態(tài)的復(fù)雜邏輯。同時，SPI接口協(xié)議還增加了一層加密和錯誤檢測功能，在保證安全性的同時也避免出錯。

您采用的閃存解決方案的制造商是否通過了ISO 26262安全認(rèn)證？

2011年發(fā)布的ISO 26262《道路車輛功能安全》國際標(biāo)準(zhǔn)是驗證汽車電子供應(yīng)商是否滿足ASIL（automotive Safety Integrity Level）要求的重要認(rèn)證指標(biāo)。ISO 26262汽車安全認(rèn)證包括對整個汽車產(chǎn)品生命周期的功能安全，從概念階段到完整系統(tǒng)、硬件和軟件的設(shè)計與驗證、制造、使用、維護(hù)和退役服務(wù)的管理。ISO 26262 ASIL－D認(rèn)證代表了最高級別的風(fēng)險管理，使用這個等級產(chǎn)品的電子組件或系統(tǒng)也符合了目前國際上最嚴(yán)格的安全要求。而用來存儲車用關(guān)鍵功能代碼的汽車閃存設(shè)備亦應(yīng)滿足這樣高等級的安全要求，并通過提供高度可靠的代碼存儲方式來降低汽車的安全風(fēng)險。

您的安全方案是否可以進(jìn)行升級和可編程設(shè)計？信任根是如何執(zhí)行的？您的安全解決方案是否支持平臺固件保護(hù)及恢復(fù)（Platform Resiliency）？

安全解決方案是否支持平臺固件保護(hù)及恢復(fù)功能是相當(dāng)重要的，這樣才能夠隨著時間的推移不斷發(fā)展并進(jìn)行調(diào)整，保護(hù)系統(tǒng)不受破壞。使用傳統(tǒng)ROM（Read－only Memory）或嵌入式閃存（Embedded Flash）的MCU和SoC，其安全與防護(hù)性需通過軟件實現(xiàn)，而信任根代碼存儲在ROM中，使得這些系統(tǒng)既無法針對未來的安全攻擊做防護(hù)升級，也不具備系統(tǒng)恢復(fù)力。相比之下，現(xiàn)在更新的可編程設(shè)計安全閃存解決方案，其安全性通過軟件與硬件同時實現(xiàn)，使信任根可以不斷更新與升級，以應(yīng)對不斷擴張的威脅范圍，并且提供平臺固件的保護(hù)及恢復(fù)功能。

綜合上述所有原因，新一代的閃存解決方案顯然更能保障汽車系統(tǒng)的安全，它能使代碼和數(shù)據(jù)在安全區(qū)域和SoC或MCU之間通過加密的SPI標(biāo)準(zhǔn)接口做傳輸。在不久的將來，網(wǎng)絡(luò)攻擊將變得普通且復(fù)雜，相關(guān)法規(guī)也會隨之更加嚴(yán)謹(jǐn)，而為了符合各項的汽車安全準(zhǔn)則和標(biāo)準(zhǔn)，安全性更高的閃存解決方案將變得不可或缺。

未來汽車的發(fā)展趨勢

從車身到動力系統(tǒng)，再到信息娛樂系統(tǒng)，電子設(shè)備在當(dāng)今汽車的每一個部分都扮演著至關(guān)重要的角色。隨著消費者對汽車的安全性、信息安全防護(hù)、信息娛樂功能、舒適型和便利性等要求不斷增高，加上燃油價格也不斷提高的同時，未來的汽車必將配備更多的電子元件，而閃存等汽車領(lǐng)域核心技術(shù)的安全需求是否可達(dá)到最高級別的安全防護(hù)水平，也將成為大家關(guān)注的重點。況且隨著科技的快速發(fā)展，黑客帶來的安全威脅也越發(fā)復(fù)雜，半導(dǎo)體制造商們更是加快腳步開發(fā)更先進(jìn)有效的解決方案來抵御攻擊。在未來，汽車的安全防護(hù)絕對不會是人們想在自己車上節(jié)省開支的部分。