中新网3月24日电 今日，360春耕行动推出智能网联汽车专场，正式发布《2019智能网联汽车信息安全年度报告》(以下简称《报告》)。《报告》从智能网联汽车网络安全发展趋势，新兴攻击手段，汽车安全攻击事件，汽车安全风险总结和安全建设建议等方面对2019年智能网联汽车信息安全的发展做了梳理。

2019年，车联网出现了两种新型攻击方式，大部分车厂将失守，数字车钥匙漏洞也打开了汽车安全的潘多拉盒子，而汽车网络安全的黄金分割点在于对供应商的安全管理，《报告》建议车联网安全要从正反两面去考虑，做主动防御。

《报告》指出，通信模组是导致批量控车发生的根源，汽车厂商应该遵循即将落地的汽车网络安全系列标准，执行严格的供应链管理机制，定期进行渗透测试，持续监控网络安全风险。

智能网联汽车“新四化”向多元发展迈进

2019 年，我国汽车产销分别为 2572.1 万辆和 2576.9 万辆，同比分别下降 7.5%和 8.2%，但产业下滑幅度有所收窄。汽车产业也进入了转变发展方式、优化产业结构、由高速增长转向高质量发展的关键时期。以“电动化、智能化、网联化、共享化”为核心的汽车“新四化”趋势，已成为政府、整车企业、汽车供应商、科技企业及消费者等各界的共识。

随着“新四化”的不断推进，汽车原本几千上万数量的机械零部件，逐步被电机电控、动力电池、整车控制器等在内的“三电”系统取代。同时新的业务场景催生出例如汽车 T-box，数字车钥匙等在内的电子电气部件，这又衍生出了一系列新的网络安全隐患。《报告》从新一代 E/E 架构面临新的安全挑战以及自动驾驶算法与传感器面临的安全挑战两方面进行了整体分析。

2020 年国内外围绕汽车网络安全的标准将全面铺开，总体上呈现出以自动驾驶、V2X 等应用场景为目标抓手，指导汽车产业链在概念、开发、生产、运维等各阶段开展网络安全活动。

2019 年开始，不少车企与互联网公司牵手，以战略合作和共建实验室等方式携手合作共同解决网络安全问题，则意味着“新四化”的变革已经冲出了汽车领域，朝着横向和多元的发展空间并进。

车联网出现的新型攻击方式近乎“通杀”

2019年，车联网出现两种新型攻击方式，基于车载通信模组信息泄露的远程控制劫持攻击以及基于生成式对抗网络的自动驾驶算法攻击，这两种新型攻击方式能够影响大部分车企。

早在2018年，360就探索出了通过破解通信模组，利用私有APN渗透车企TSP平台，从而实现批量远程控制车辆的攻击方式。2019月12月，360与奔驰梅赛德斯奔驰共同发现并修复了19个引发此类攻击的漏洞，其中包含6个CVE漏洞，影响在路车辆200余万辆。双方在RSA大会上共同对此次漏洞研究成果发表了演讲，通信模组作为车辆与外界网络连接的第一道防线，如果遭到黑客的破解，将会实现远程开闭车门车窗，启动关闭引擎等控车操作，威胁到用户的生命财产安全。经过大量研究发现，此类漏洞广泛存在于车企的车联网系统中，亟需引起广大车企的关注。

基于生成式对抗网络的自动驾驶算法攻击主要源于在深度学习模型训练过程中，缺失了对抗样本这类特殊的训练数据。虽然深度机器学习代表了技术的未来方向，但在目前的实际运用中，通过研究人员的实验证明，可以通过特定算法生成相应的对抗样本，直接攻击图像识别系统，神经网络算法仍存在一定的安全隐患，值得关注。

2019年智能网联汽车十大安全事件

2019年，智能网联汽车全球范围内出现了十大安全事件，包括基于通信模组的远程控制劫持攻击，基于生成式对抗网络(GAN)自动驾驶算法攻击，特斯拉PKES系统存在中继攻击威胁，特斯拉Model S/X WiFi协议存在缓存区溢出漏洞，共享汽车APP存在漏洞，基于激光雷达的自动驾驶系统安全性存疑，Uber爆出存在账号劫持漏洞，后装汽车防盗系统存在漏洞，丰田汽车服务器遭到入侵，宝马遭受APT攻击。

《报告》通过对典型安全事件的分析，总结出当前汽车安全的四大风险：汽车攻击事件快速增长，攻击手段层出不穷；智能网联汽车缺乏异常检测和主动防御机制；数字钥匙成为广泛引起关注的新攻击面；自动驾驶算法和V2X系统将成为新的热点攻击目标。

数字车钥匙漏洞打开汽车安全的潘多拉盒子。数字车钥匙可用于远程召唤，自动泊车等新兴应用场景，这种多元化的应用场景也导致数字钥匙易受攻击。数字车钥匙的“短板效应”显著，身份认证、加密算法、密钥存储、数据包传输等任一环节遭受黑客入侵，则会导致整个数字车钥匙安全系统瓦解。目前常见的攻击方式是通过中继攻击方式，将数字车钥匙的信号放大，从而盗窃车辆。