近年來，針對智能聯網汽車的攻擊頻現，最為知名和典型的例子，即2015年兩名安全人員（Charlie Miller及其搭檔）演示的遠程入侵車載信息娛樂系統，並完全操控車輛。
車輛安全事關人身安全，安全問題得不到有效解決，便無法上路。2019年11月，歐盟網絡安全局(ENISA)公佈了一份智能汽車網絡安全與隱私基線的綜合性報告，並列出了評測威脅、風險和攻擊場景的安全實踐。該研究報告的目的在於，識別車聯網及自動駕駛汽車生態系統的主要資產和主要威脅，並給出瞭解決這些安全問題的可行性實踐。同時，該報告還作為促進國際協同的立法、標準和政策建議。
資產與威脅分類
報告提供了一個覆蓋智能汽車功能以識別相關風險和威脅的資產分類，這些功能可直接影響乘客的人身安全。但由於涉及的技術、組件、功能等覆蓋了計算、通信以及自動駕駛器件等各種傳感器，尤其是當相互有交互時，情況變得極其複雜。從包含各種自動化和聯網技術的生態系統，到後端的遠程服務器，都可能成為攻擊者的目標。因此，報告所覆蓋的威脅分類也是多種多樣，包括了車內網絡安全、竊聽、法務、物理攻擊、組件故障、後端系統停擺、濫用、非故意損害等等。
此外，報告還給出了威脅與受到威脅影響的資產二者之間的聯繫，描述了各種攻擊場景，並分析了其帶來的影響和嚴重性。最值得關注的是，該報告提供了一個安全措施列表，包含了安全域、安全實踐、威脅分組，以及一些參考資料。
威脅緩解實踐
報告的核心目標是介紹正確的安全實踐和安全措施，並將這些實踐措施分成三大類共17個安全域。三大類分別是策略類、組織實踐類和技術實踐類。策略類用於確保組織內的網絡安全準備級別，相關的安全措施同時覆蓋安全和隱私，由四個安全域組成，分別是設計安全、隱私設計、評估管理，以及威脅與風險管理。同時，這些安全措施還面向原廠商和供應商。機構與治理實踐則包含了供應商關係、培訓與意識、安全管理、事件管理等。
技術安全實踐主要有：
檢測-->包括入侵檢測系統的部署、數據檢驗、網絡日誌與審計、取證準備等。
網絡與協議保護-->保護車輛內外部無線通信的完整性並需要驗證。
軟件安全-->在默認安裝軟件前，要確保軟件的驗證和完整性。軟件安全要尤為重視，以避免攻擊者通過OTA更新，操控固件。
雲安全--確保關鍵系統的安全運行，保護雲中的數據和傳送的數據。
密碼-->加密所有敏感信息和個人隱私數據。同時，加密還用於驗證系統連接以避免被操控。
訪問控制-->覆蓋內部網絡和數據的物理安全與邏輯安全，配置最小權限策略同時網絡分段。
自保護與網絡彈性-->在AI和機器學習方面實施數據防篡改機制。
持續運營-->確保發出便於理解的通知並幫助用戶解決問題。
結論
迄今為止，ENISA的這本報告是車聯網領域最好的參考資料之一。有力的促進了汽車與網絡安全行業的聯合，以應對未來的風險與威脅。
《歐盟網絡安全局智能汽車安全實踐》報告下載：
https://www.enisa.europa.eu/publications/enisa-good-practices-for-security-of-smart-cars/at_download/fullReport
關鍵詞：智能汽車；自動駕駛；車聯網；ENISA
閱讀更多 數世諮詢 的文章
