新思科技探討“軟件定義汽車(chē)”時(shí)代下的供應鏈安全

智能網(wǎng)聯(lián)汽車(chē)產(chǎn)業(yè)發(fā)展的關(guān)鍵在于質(zhì)量、安全、速度、效益等方面相統一，推動(dòng)全產(chǎn)業(yè)鏈發(fā)展。在“軟件定義汽車(chē)”時(shí)代下，構建可信軟件，保障軟件供應鏈安全，才能提升產(chǎn)業(yè)鏈供應鏈韌性。

新思科技(Synopsys)應邀參加2022世界智能網(wǎng)聯(lián)汽車(chē)大會(huì )(WICV 2022)，并在9月17日舉辦的“產(chǎn)業(yè)鏈價(jià)值鏈提升”主題峰會(huì )上發(fā)表演講，聚焦網(wǎng)聯(lián)汽車(chē)軟件供應鏈安全，探討如何提升軟件供應鏈韌性，助推智能網(wǎng)聯(lián)汽車(chē)產(chǎn)業(yè)高質(zhì)量發(fā)展。

WICV 2022于9月16日至19日在北京舉行。大會(huì )由北京市人民政府、工業(yè)和信息化部、公安部、交通運輸部和中國科學(xué)技術(shù)協(xié)會(huì )主辦，全力打造全球范圍規模大、級別高、影響力強的交流平臺，為世界智能網(wǎng)聯(lián)汽車(chē)發(fā)展提供中國方案。WICV 2022主題為“智能加速度，網(wǎng)聯(lián)新生態(tài)”。

新思科技首席汽車(chē)安全策略師Dennis Kengo Oka博士以《網(wǎng)聯(lián)汽車(chē)軟件供應鏈安全》為主題，分享了在“軟件定義汽車(chē)”時(shí)代，網(wǎng)聯(lián)汽車(chē)相關(guān)的安全風(fēng)險以及業(yè)界應如何應對安全挑戰。新思科技期望與業(yè)界共同重塑產(chǎn)業(yè)供應鏈軟件安全體系，構建網(wǎng)聯(lián)汽車(chē)新生態(tài)。

Dennis Kengo Oka博士介紹到：“隨著(zhù)軟件的大量應用，網(wǎng)聯(lián)汽車(chē)生態(tài)系統成為可能。過(guò)去，一輛汽車(chē)包含一億行代碼，不久的未來(lái)將達到10億行代碼。軟件開(kāi)發(fā)方式也日新月異 ?，F在，采用DevSecOps逐步成為趨勢，保持開(kāi)發(fā)速度的同時(shí)，能夠在開(kāi)發(fā)流程的早期發(fā)現漏洞以降低成本。而且，車(chē)企也在使用靜態(tài)代碼分析、軟件組成分析、模糊測試、動(dòng)態(tài)應用安全測試等各種工具實(shí)現大批量測試自動(dòng)化。汽車(chē)‘新四化’包括電動(dòng)化、網(wǎng)聯(lián)化、智能化、共享化，賦予了汽車(chē)產(chǎn)業(yè)發(fā)展的無(wú)限可能。與此同時(shí)，安全無(wú)小事，尤其是網(wǎng)聯(lián)汽車(chē)產(chǎn)業(yè)軟件供應鏈復雜，潛在威脅和攻擊面也在增加?！?/span>

業(yè)界需要了解與網(wǎng)聯(lián)汽車(chē)相關(guān)的安全風(fēng)險：

首先，需要整體了解網(wǎng)聯(lián)汽車(chē)生態(tài)系統。網(wǎng)聯(lián)汽車(chē)有很多界面，包括多個(gè)網(wǎng)關(guān)和外設，例如遠程通信控制單元(TCU)和車(chē)載信息娛樂(lè )系統(IVI)。這些設備與互聯(lián)平臺進(jìn)行通信，比如后端服務(wù)、云服務(wù)、移動(dòng)設備和應用等。因此，不法分子可以針對外設進(jìn)行直接攻擊，或者通過(guò)系統漏洞進(jìn)行間接攻擊。

再者，軟件數量的爆炸式增長(cháng)，意味著(zhù)需要治理的軟件增多，包括自研軟件、第三方軟件或者開(kāi)源軟件。另外，車(chē)企還需要考慮供應鏈。一家公司不可能獨立開(kāi)發(fā)所有的軟件，會(huì )使用到供應鏈中不同方開(kāi)發(fā)的軟件。

還有，合規性也不容忽視。智能網(wǎng)聯(lián)汽車(chē)和自動(dòng)駕駛汽車(chē)領(lǐng)域已經(jīng)出臺或者正在制定相關(guān)法律法規及行業(yè)標準，以保護人身安全和隱私數據，包括ISO/SAE 21434，還有OpenChain項目汽車(chē)工作組發(fā)布的ISO 5230標準等。這些標準定義了汽車(chē)電子電氣系統的網(wǎng)絡(luò )安全風(fēng)險管理要求，面向開(kāi)源軟件許可證提出了要求。車(chē)企，尤其是那些開(kāi)拓海外市場(chǎng)的汽車(chē)制造商，不僅需要克服技術(shù)挑戰，管理軟件開(kāi)發(fā)生命周期和供應鏈中的風(fēng)險，還要確保軟件符合客戶(hù)及監管機構的重要國際標準。中國也已完成第一階段智能網(wǎng)聯(lián)汽車(chē)標準體系的建設，未來(lái)將新增100余項智能網(wǎng)聯(lián)汽車(chē)的標準。

新思科技建議智能網(wǎng)聯(lián)車(chē)企至少需要做到以下三點(diǎn)，以應對軟件供應鏈挑戰：

1.        提升軟件透明度。汽車(chē)制造業(yè)會(huì )創(chuàng )建物料清單，記錄各種原料、零部件等詳細細節。軟件物料清單 (SBOM)對于軟件安全治理來(lái)說(shuō)也是不可或缺的，可以記錄用于構建軟件的各種組件的詳細信息和供應鏈關(guān)系等，提升軟件透明度。SBOM有多種格式，包括SPDX、SWID和CycloneDX等。業(yè)界對SBOM的關(guān)注度與日俱增，美國國家電信與信息管理局在2021年發(fā)布文件，規定了軟件材料清單最少包括哪些要素。

2.        落實(shí)軟件供應鏈各方職責。軟件已經(jīng)深度參與到汽車(chē)的定義、開(kāi)發(fā)、驗證、服務(wù)等過(guò)程中。很常見(jiàn)的一個(gè)場(chǎng)景是，供應鏈二級供應商為一級供應商提供軟件，一級供應商將軟件集成到系統應用，然后將其提供給原始設備制造商。整個(gè)供應鏈環(huán)環(huán)相扣，明確各方的職責可以減少疏漏，比如規定須由哪方進(jìn)行威脅分析和風(fēng)險評估(TARA)等。

3.        信任，但要核查。當車(chē)企考慮如何處理軟件供應鏈風(fēng)險時(shí)，可以選擇兩種做法，尤其是供應商只提供二進(jìn)制文件的情況下：完全相信供應商所說(shuō)的二進(jìn)制文件中實(shí)際包含的內容；可以運行軟件組成分析工具，例如新思科技Black Duck軟件組成分析，并進(jìn)行二進(jìn)制掃描以識別包含的組件。

新思科技中國區軟件應用安全業(yè)務(wù)總監楊國梁總結道：“中國正在促進(jìn)智能網(wǎng)聯(lián)汽車(chē)與相關(guān)行業(yè)融合發(fā)展，以滿(mǎn)足建設汽車(chē)強國的需要。在未來(lái)行業(yè)競爭中，智能網(wǎng)聯(lián)汽車(chē)安全將是企業(yè)重要的核心競爭力，尤其是軟件安全，因為‘軟件定義汽車(chē)’已經(jīng)成為業(yè)界共識。軟件安全會(huì )成為影響消費者決策的重要因素，也是推動(dòng)產(chǎn)業(yè)長(cháng)久、穩定發(fā)展的驅動(dòng)力。當然，這不是任何一家車(chē)企、供應商或者科技公司可以單獨完成的；而是需要建立完善的流程和機制，采用可靠的工具，才能提產(chǎn)業(yè)鏈供應鏈的韌性，進(jìn)而為網(wǎng)聯(lián)汽車(chē)構筑安全底座?！?/span>