-
創提部落格
希望我們能與您分享和探討成長中的點點滴滴
車載資訊娛樂系統的網路安全考慮
創提科技
2022/11/07
分享到
如今，新車購買者的關注點更多地集中在“數位座艙生態系統體驗”上，而不是馬力和燃油經濟性等傳統功能上。汽車行業已經將通過完全連接的車載資訊娛樂(IVI)系統(由觸摸顯示幕、語音命令以及綜合資訊娛樂功能組成)提供這種體驗作為有限考慮的需求。
什麼是車載資訊娛樂系統？
終端消費者對連接到他們的“數位生態系統”的體驗的期望越來越高。“數位座艙”是車載資訊娛樂系統的核心，正成為各大整車廠及其汽車品牌的主要區別所在。
IVI是車輛系統的組合，用於向車內人員提供音視頻界面和控制元件——觸摸顯示幕、按鈕面板、語音命令等。
以下是組成“數位座艙”的元件或模組的簡要說明：
1. 使用者介面：駕駛員和乘客通過觸摸或通過旋鈕和錶盤在螢幕上查看並互動的介面。
2. 頭部單元：包括顯示器、外殼、電路板、CD/DVD播放機、收音機和多個處理器——這些統稱為車輛的頭部單元。它也是車輛所有物理輸入（如音響系統和/或外部攝像頭）的介面。
3. 作業系統(OS)：作業系統是資訊娛樂系統的核心，可以控制對頭部單元中處理器、記憶體、記憶體和顯示器的訪問。
4. 應用程式框架模組：管理從Spotify應用程式到導航以及與系統交互的一切，如文本轉語音和語音命令。它可以控制所有應用程式的功能，以及哪些應用程式出現在頭部單元。
5. 移動集成：使車輛能夠與各種智慧手機和設備連接。支援Wi-Fi、藍牙和隨插即用軟體，例如Google Play’s Mirror Link, Apple Car Play和Android Auto，可以將自訂版本的手機媒體和應用程式導入到螢幕上。
6. 汽車平臺：應用程式框架與作業系統(OS)之間的軟體橋樑，支援多媒體、視頻、導航、音訊、收音機、音響、軟體更新、雲服務等等。
根據行業研究公司Frost & Sullivan最近的一項分析，到2025年，“聯網汽車”將佔據全球汽車市場近86%的份額。同年，IVI市場預計將達到427億美元。
但是，IVI系統本身與協力廠商應用程式共同為網路犯罪分子製造了大量的漏洞威脅點，也的確是事實。整車廠和汽車行業的IVI系統一級供應商必須努力確保這些系統內的嵌入式程式碼符合安全關鍵標準。這樣做有助於避免產生召回成本和對商業信譽造成影響。
網路攻擊對IVI構成嚴重風險
可以說，聯網車輛是通過IVI系統與互聯網連接的四輪電腦。此外，由於IVI系統是車載網路的一部分，駭客可以利用該系統控制駕駛員的智慧手機，獲取個人資訊，操縱車輛安全關鍵系統功能，編寫系統更新程式等，從而製造出許多易受攻擊的威脅點。因此，IVI系統開發實踐必須遵守編碼標準和指南。
另外，最近的兩項舉措有望惠及IVI系統，即ISO/SAE 21434標準和聯合國歐洲經濟委員會(UNECE)WP.29法規。這兩個標準相互補充，為汽車行業打造新一代的聯網汽車做好了準備。
ISO/SAE 21434標準建立在其前身ISO 26262的基礎上，而不包括軟體發展和子系統。ISO/SAE 21434重點關注的是汽車電子產品設計和開發中固有的網路安全風險。汽車軟體安全標準ISO/SAE 21434提供了一個結構化的流程，以確保在汽車產品的整個生命週期內都會考慮網路安全問題。
與ISO/SAE 21434不同的是，WP.29法規確認了整車廠有責任管理整個供應鏈網路安全風險。
IVI網路安全性漏洞如何影響整車廠
整車廠及其一級供應商需要採取措施，避免其IVI嵌入式軟體中的漏洞產生負面影響，因為攻擊可能會威脅駕駛員和乘客的隱私與安全。網路安全事故可能會耗費可觀的成本和大量的時間，還可能導致車輛召回，最終帶來最嚴重的影響，造成聲譽的損失和組織效率的降低。
為什麼SAST是IVI系統軟體程式碼的關鍵
靜態應用程式安全測試(Static Application Security Testing, 簡稱SAST)軟體測試方法可以檢查和分析應用程式原始程式碼、位元組碼以及用於編碼和設計的二進位檔案，以發現IVI系統軟體中的安全性漏洞。SAST背後的工作機制依賴於檢查設計和編碼缺陷的靜態分析工具。
Klocwork是業界領先的靜態分析和SAST工具，適用於C, C++, C#, Java, JavaScript, Python和Kotlin等語言設計的原始程式碼，非常適合企業DevOps和DevSecOps。而且，10家頂級汽車零部件製造商中有9家依賴於Perforce靜態分析工具來説明確保其汽車軟體的安全性和合規性。
如果您準備親自體驗Klocwork如何幫助確保您的嵌入式軟體的品質，立刻註冊申請10天的免費試用吧。