智能网联汽车标准规范动态
智能网联汽车信息安全已成为国际标准组织关注的主要问题之一，国际标准组织中3GPP 对V2X的技术建立了信息安全技术要求，以保障通信层面的安全。一直致力于汽车安全标准的SAE与ISO形成了联合工作组，在ISO/SAE TC22中起草了ISO 21434国际标准，该标准将于2019年完成，主要约束了汽车信息安全工程能力的建设。在ITU-T SG17组中目前已有《智能交通系统通信设备的安全软件更新功能》标准发布，新的标准正在立项。
1.国际标准动态
（1）ISO/SAE TC22
目前ISO/SAE正在进行21434（道路车辆—信息安全工程）标准的制定，该标准主要从风险评估管理、产品开发、运行/维护和流程审核等四个方面来保障汽车信息安全工程工作的开展。目标是通过该标准设计、生产和测试的产品具备一定信息安全防护能力。
如图1所示，该标准的进度已经完成20%，预计在2019年10月份正式发布，目前中国代表团也积极参与此项标准的制定，国内几家汽车信息安全企业、整车厂，也参与了该标准的讨论。

（2）SAE
SAE的全球车辆标准工作组（Global Ground Vehicle Standards group）所属汽车电子系统安全委员会（Vehicle Electrical System Security Committee）负责汽车电子系统网络安全方面的标准化工作，作为第一个关于汽车电子系统网络安全的指南性文件，J3061对汽车电子系统的网络安全生命周期具有重要的应用意义，为开发具有网络安全要求的汽车电子系统提供了重要的过程依据。
2.国内标准分析 
中国通信标准化协会（CCSA）、全国信息技术安全标准化技术委员会（TC260）、车载信息服务产业应用联盟（TIAA）、中国智能网联汽车产业创新联盟（CAICV）等国内相关标准化机构、汽车产业联盟自2016年下半年开始，纷纷启动开展了车联网、智能网联汽车相关标准体系的建设工作，截至目前已经取得阶段性成果。
在国家相关部委的组织和指导下，全国汽车标准化技术委员会（TC114）在2017年底发布了《国家车联网产业标准体系》，列出了多项汽车信息安全相关标准。
（1）TC114
全国汽车标准化技术委员会（简称汽标委）下属的智能网联汽车分技术委员会（编号为SAC/TC114/SC34）负责归口管理我国智能网联汽车领域的国家标准和行业标准，并成立了ADAS标准工作组、信息安全、自动驾驶等工作组。汽标委于2016年推出了《智能网联汽车标准体系建设方案》（第1版），明确了智能网联汽车标准体系建设的目标和原则，对智能网联汽车标准体系框架进行了分析和研究，并积极推进后续标准法规方面的各项事宜。信息安全标准体系（204）作为该方案的重要组成部分，支撑着整个智能网联汽车标准体系的整体架构。
2017年，汽标委已组织两次汽车信息安全工作组会议，目前对《智能网联汽车标准体系建设方案》中汽车信息安全标准建设已经进入讨论阶段。
（2）TC260
全国信息技术安全标准化技术委员会（信安标委）是国家标准化管理委员会的直属标准委员会，成立于2002年，编号为SAC/TC260，负责全国信息安全技术、安全机制、安全服务、安全管理以及安全评估等领域标准化工作，并负责统一协调申报信息安全国家标准年度计划项目，组织国家标准的送审、报批工作。
2017年7月，信安标委立项首个关于汽车电子系统网络安全的国家标准项目《信息安全技术 汽车电子系统网络安全指南》。

智能汽车漏洞分析
2017年是车联网快速增长的一年，大量的互联网汽车以及车联网的发展并未考虑相关安全防护建设，2017年，360智能网联汽车安全实验室（SKYGO TEAM）通过大量的车厂测试项目了解到智能互联网汽车存在很多的漏洞，通过漏洞可能会为用户引起财产安全风险，其中漏洞涉及TSP平台、APP应用、Telematics(T-BOX)上网系统、车机IVI系统、CAN-BUS车内总线等安全威胁风险漏洞。
1. 汽车CVE漏洞
2017年，汽车安全爆出了很多关于汽车被攻击的CVE漏洞，SKYGO TEAM针对2017年关于汽车相关安全漏洞进行一些分析，具体分析如下文所述。
（1） TCU漏洞
TCU/T-Box其实是一种调制解调器，现在的汽车普遍用它来传输数据。利用这个模块汽车之间可以互相通信，还可以用web控制台和手机APP来远程控制手机。
CVE-2017-9647-TCU漏洞影响的是S-Gold 2 (PMB 8876)蜂窝基带芯片，其中一个漏洞是TCU中处理AT命令的组件存在缓冲区溢出漏洞（漏洞编号CVE-2017-9647），这些命令包括AT+STKPROF, AT+XAPP, AT+XLOG和AT+FNS，这些命令中有很多是苹果公司在2015年修复的iPhone漏洞。不过要执行这个攻击，攻击者需要对汽车有物理权限。CVE-2017-9633-TCU漏洞则是攻击者可以利用TMSI（临时移动用户识别码）来入侵并且控制内存（漏洞编号CVE-2017-9633），这个漏洞可以被远程利用。该漏洞同时也可以对汽车进行远程攻击。
（2）安全气囊漏洞
CVE-2017-14937-OBD漏洞通过接入OBD连接器或者车内CAN网路发送指令。攻击条件是车辆点火且车辆的速度必须小于6 km/h，通过获得CAN指令访问权限以及OBD接口向车内网络发送UDS针对服务来对安全气囊进行攻击，可对车内乘客造成物理伤害，该漏洞影响到2014年起制造的乘用车。
2.汽车漏洞平台
CAVD中国汽车行业漏洞共享平台：2017年12月15日由中汽中心数据资源中心组织汽车行业共同建设的“中国汽车行业漏洞共享平台（China Automobile Vulnerability Database，简称CAVD）”正式上线运行，CAVD通过内部测试、数据共享、民间力量等多种方式收集漏洞信息，按照云服务、通信、车内、外部威胁四种类型对漏洞进行分类、审核、验证和存储，并逐步对行业公开通用型漏洞，推进汽车信息安全产业良好发展。
HackerOne通用汽车公司和安全漏洞赏金平台：美国汽车制造商通用汽车公司于2016年1月推出了“协调披露（coordinated disclosure）”程序，其目的是为了赶在恶意黑客之前发现汽车车载系统中的一些安全方面的漏洞。据报道，通用汽车公司和安全漏洞赏金平台 HackerOne 一起合作开展这个计划，并且依托于白帽黑客来发现车载系统的潜在安全问题。

智能汽车破解案例分析
随着互联网的进化，诸如TSP的车联网产品通过T-BOX与汽车内部网络联网之后，汽车受到的远程网络攻击就不再是猜想。可以预见，一旦车联网产品普及，关于汽车被攻击的现实案例就会出现并越来越多。360发布的《2017智能网联汽车信息安全年度报告》中分别分析了斯巴鲁汽车、马自达车机娱乐系统、特斯拉汽车车联网系统和“海豚音”破解语音控制系统等案例破解内容，以下内容将主要分析“海豚音”破解语音控制系统。

“海豚音”破解语音控制系统
被调制后语音命令频率超出人耳接收范围，无法被人听见，但可以被手机、智能家居以及智能汽车等智能设备的语音控制系统接收到。传声器的非线性特性，会将被调制的语音命令声音解调、恢复到调制之前的状态，同时，滤波器会过滤掉人耳不可听到的部分，这样语音指令可以消无声息地被语音识别系统识别到，最终实现攻击。而“海豚音”的攻击原理正是将语音命令频率转换成为超声波频率信号，将语音命令声音调制后加载到载波的超声波上，具体过程如图2所示。

图2  语音系统识别语音指令下发执行命令及“海豚音”攻击过程

SKYGO TEAM连同浙江大学徐文渊教授团队针对 “海豚音攻击”的研究项目，在智能汽车荣威eRX5的进行测试验证，并且使用了“海豚音”对车载语音助手进行了攻击测试，实现了可以在人耳听不到的情况下，通过超声波对车载语音助手下达指令，达到开起天窗，控制空调、导航等功能。
实验人员通过对eRX5语音系统硬件的研究，发现其中控台上方有两个驻极体传声器，由于eRX5的特性，只有来自驾驶位的语音才能被语音识别系统所识别。经过实验人员反复测试与验证，发现将语音系统识别功能调整为驾驶人语音模式后，通过两个驻极体接收到语音时的微小时差，进行攻击测试，发现“海豚音”能够被系统成功识别。这种攻击方式主要针对的是人工智能领域。只要装载了语音助手的设备都可能被攻击。未来，这些设备一旦接入物联网，将会为汽车安全埋下较大隐患。实验团队建议重新设计语音可控制系统以防御听不到的语音命令攻击。因为通过软件升级的方式让硬件学会辨识声音来源究竟是人声还是超声波，比召回所有智能设备进行硬件调整效率更高。

信息安全建设建议
根据2017年智能网联汽车信息安全领域所发现的漏洞以及破解案例看来，目前汽车信息安全已处于一个稳定期。各厂家都已经注意并重视汽车信息安全风险带来的隐患，行业内部也开始制定相关标准解决此类问题。但目前态势还是安全建设滞后于安全研究的，所以在此提出一些安全建议供汽车厂商参考。
 ①组建信息安全团队或组织：要做好信息安全工作，首先需要培养专职的人员总体牵头信息安全技术工作。②进行合理有效的威胁分析：从2017年的发展形势来看，汽车信息安全已经进入刷漏洞的时代。安全漏洞始终存在，只有建立动态防护体系，针对攻击能够进行动态调整，才能够做到攻防平衡。③控制上线前产品安全验收：信息安全工程是一个庞大的体系，从以往的破解案例来看，目前汽车领域的安全手段是滞后的。④在没有安全标准及规范的环境下，最重要的关键环节是把控上线前的安全验收，将危害最严重、影响范围最广的漏洞解决以后，可以达到一种相对安全的状态。后续依靠持续的漏洞监测，保障不会因为新的漏洞造成入侵事件。⑤关注标准建设和法律法规：从2017年的标准分析来看，国内的汽车信息安全标准可能会早于国际标准，目前国内的汽车智能化、网联化程度要高于国外，在国家部委及科技部门的指导推进下，各大标准组织逐步开始了汽车信息安全标准的立项与制定工作。各大汽车厂商、供应商、安全公司能够贡献自己智慧和能力，在国内汽车智能科技领先的条件下，引领国际标准。