2022WICV丨新思科技架構師Dennis Kengo Oka:網聯汽車軟件供應鏈安全

中國汽車網(www.major-ns.com)專業汽車網站

9月16日,由北京市人民政府、工業和信息化部、公安部、交通運輸部、中國科學技術協會聯合主辦的2022世界智能網聯汽車大會,在北京中國國際展覽中心(順義館)開幕。本屆大會以“智能加速度 網聯新生態”為主題,包含1場開幕式暨主論壇、7場主題峰會、6個特色專場、2場閉門會及1場實地調研活動。

在9月17日主題峰會四:產業鏈價值鏈提升中,新思科技高級解決方案架構師Dennis Kengo Oka發表了題為“網聯汽車軟件供應鏈安全”的演講。

2022WICV丨新思科技架構師Dennis Kengo Oka:網聯汽車軟件供應鏈安全

以下內容為現場演講實錄:

    大家好,歡迎觀看網聯汽車軟件供應鏈安全演示。我是Dennis Kengo Oka,新思科技首席汽車安全策略師,非常高興能借此機會與大家分享熱點話題。

    首先,我們來整體了解網聯汽車生態系統,左圖代表網聯汽車,包括ECU電子控制單元,多個網關,外設例如TCU,遠程通信控制單元,和IVI車載信息娛樂系統。右圖是我們常說的互聯平臺,包括后端服務,云服務,移動設備,移動應用等。這些都通過蜂窩網絡、WIFI或藍牙進行通信。正如您在此處看到的,聯網汽車生態系統面臨著多種威脅,首先針對外設接口的威脅,攻擊遠程通信控制單元,車載信息娛樂系統,可以通過蜂窩網絡WIFI,或藍牙攻擊通信系統。也可以對車輛進行間接攻擊,因為攻擊者可攻擊后端系統,云服務,也可以攻擊或威脅移動設備或移動應用。

    現在隨著軟件的應用,網聯汽車生態系統成為可能,在過去一輛汽車包含一億行代碼,不久的未來將達到10億行代碼。軟件數量呈現爆炸式增長,軟件開發方式也日新月異?,F在采用DveSecOps逐步成為趨勢,我們改變了軟件開發方式,正如您所見,我們正在開發過程中有幾個階段正在發生變化,這些階段都是重疊的,并且在開發生命周期中持續執行。

    因此例如在構建和測試階段,可以用運行軟件組成分析工具,靜態代碼分析工具,模糊測試工具,以識別源代碼中漏洞和缺陷,在持續集成和持續測試階段,還可以進行持續交付,然后發布已修復的軟件,這會帶來許多裨益,在保持開發速度的同時,能夠在開發流程的早期發現漏洞以降低成本,使用各種的工具實現大批量測試自動化,正如之前介紹的包括靜態代碼分析工具,軟件組成分析工具,模糊測試工具,以及DAST動態應用安全測試工具等。

    我們可以獲得持續反饋,一旦發現問題我們可以獲得持續反饋,重新進行測試,然后發布新版本?,F在汽車企業使用的軟件越來越多,我們需要考慮由此帶來的新挑戰,首先軟件數量多,意味著汽車要管理更多的軟件,我們必須確保軟件是更新的,安全的,開發速度必須要快,要更快地推出新的功能,因此我們需要遵循一種開發方法,能夠更快地開發軟件,還必須考慮新技術,為自動駕駛或復雜解決方案開發高級功能,這些可以通過使用各種互聯解決方案實現,比如說WIFI,藍牙,V2X等,我們還需要考量不同領域的軟件風險,比如質量、人身安全,信息安全方面。

    最后,一家公司不可能獨立開發所有的網聯汽車或者互聯網平臺上的所有軟件,我們必須考慮軟件供應鏈,有許多不同的企業參與軟件開發,我們必須了解如何進行軟件集成,誰做測試,做了哪些測試,誰負責軟件的哪些部分,還必須了解是否使用了開源軟件,并掌握使用的許可證類型存在哪些風險,例如是否符合OpenChain ISO 5230標準。

    最后安全測試,如何知道在供應鏈中誰進行什么類型的測試,這也是我們需要管理的事情,讓我們更深入地研究這些主題,關注與軟件透明度相關的活動。比如美國國家電信與信息管理局,去年發布了文件,規定了軟件材料清單最少包括哪些要素,該文件規定了很多細節,比如SBOM軟件物料清單需要包含哪些信息,比如供應商、組件名字、版本號等。

    此外,還有OpenChain項目和汽車工作組,OpenChain社區他們發布了ISO 5230標準,描述了如何管理SBOM。ISO/SAE 21434標準也已經發布,雖然沒有專門規定SBOM的內容,但其中有與軟件組成的供應鏈管理相關的要求。

    最后,關于SBOM,軟件物料清單有多種格式,包括SPDX、SWID以及CycloneDX,接下來我們來看一下兩個不同的場景,了解其中的挑戰和解決方案。首先,軟件供應鏈開源軟件風險,在幻燈片上能看到,供應鏈二級供應商為一級供應商提供軟件,一級供應商將軟件集成到應用或系統,然后將其提供給OEM原始設備制造商,他們可能會添加一些OEM特定軟件。每個步驟中都有幾個風險,比如開源許可證風險、漏洞風險,現在您需要考慮,如何處理供應鏈中的風險,特別是只提供二進制文件的情況下,這樣的話軟件接收方通常有兩種選擇。

    第一,完全相信供應商所說的二進制文件中實際包含的內容,第二,可以運行軟件組成分析工具。例如新思科技Black Duck軟件組成分析,那么,我們建議是信任,但要核查,如果有權訪問源代碼,則應進行掃描識別開源軟件組件,如果只能訪問二進制文件,還是應該進行掃描。如果您可以訪問兩種類型的文件,也最好都進行掃描。

第二個場景是利用網絡接口協議,即我們所講的第三方軟件開發,比如供應鏈,供應鏈二級供應商為一級供應商提供軟件,一級供應商將軟件集成到應用系統中然后將其提供給OEM。在該軟件開發計劃中,我們需要了解哪一方負責那些網絡安全活動或工作產品。

這里有一個表格,TARA威脅分析和風險評估,這可能由二級供應商或一級供應商執行,我們需要決定哪一方負責執行該活動。是供應商嗎?還是客戶,執行哪種測試類型、模糊測試或者滲透測試等,所以這一頁是建議業界應該采取的行動,包括調查在開發過程中涉及的與網聯汽車相關的安全風險,如果您有不同的連接點,攻擊面是什么,您正在開發什么樣的功能,哪些業務在互聯平臺上運行,然后必須考慮如何采用我們討論過的,使用DevSecOps來解決這些安全挑戰。關于供應鏈,我們講過如何管理SBOM和供應鏈,如何有第三方開發,要如何通過網絡安全接口協議進行管理。

以上感謝觀看,謝謝。

(注:本文根據現場速記整理,未經演講嘉賓審閱)

中國汽車網(www.major-ns.com)專業汽車網站

作者頭像
中國汽車網創始人

上一篇:2022WICV丨北京市經信局黨組成員、副局長王磊致辭
下一篇:2022WICV丨北京大學市場經濟研究中心李剛:創新打造國際領先的智能汽車產業

發表評論

波多野无码黑人在线播放