新思科技探讨“软件定义汽车”时代下的供应链安全

智能网联汽车产业发展的关键在于质量、安全、速度、效益等方面相统一，推动全产业链发展。在“软件定义汽车”时代下，构建可信软件，保障软件供应链安全，才能提升产业链供应链韧性。

新思科技(Synopsys)应邀参加2022世界智能网联汽车大会(WICV 2022)，并在9月17日举办的“产业链价值链提升”主题峰会上发表演讲，聚焦网联汽车软件供应链安全，探讨如何提升软件供应链韧性，助推智能网联汽车产业高质量发展。

WICV 2022于9月16日至19日在北京举行。大会由北京市人民政府、工业和信息化部、公安部、交通运输部和中国科学技术协会主办，全力打造全球范围规模大、级别高、影响力强的交流平台，为世界智能网联汽车发展提供中国方案。WICV 2022主题为“智能加速度，网联新生态”。

新思科技首席汽车安全策略师Dennis Kengo Oka博士以《网联汽车软件供应链安全》为主题，分享了在“软件定义汽车”时代，网联汽车相关的安全风险以及业界应如何应对安全挑战。新思科技期望与业界共同重塑产业供应链软件安全体系，构建网联汽车新生态。

新思科技首席汽车安全策略师 Dennis Kengo Oka博士

Dennis Kengo Oka博士介绍到：“随着软件的大量应用，网联汽车生态系统成为可能。过去，一辆汽车包含一亿行代码，不久的未来将达到10亿行代码。软件开发方式也日新月异 。现在，采用DevSecOps逐步成为趋势，保持开发速度的同时，能够在开发流程的早期发现漏洞以降低成本。而且，车企也在使用静态代码分析、软件组成分析、模糊测试、动态应用安全测试等各种工具实现大批量测试自动化。汽车‘新四化’包括电动化、网联化、智能化、共享化，赋予了汽车产业发展的无限可能。与此同时，安全无小事，尤其是网联汽车产业软件供应链复杂，潜在威胁和攻击面也在增加。”

业界需要了解与网联汽车相关的安全风险：

首先，需要整体了解网联汽车生态系统。网联汽车有很多界面，包括多个网关和外设，例如远程通信控制单元(TCU)和车载信息娱乐系统(IVI)。这些设备与互联平台进行通信，比如后端服务、云服务、移动设备和应用等。因此，不法分子可以针对外设进行直接攻击，或者通过系统漏洞进行间接攻击。

再者，软件数量的爆炸式增长，意味着需要治理的软件增多，包括自研软件、第三方软件或者开源软件。另外，车企还需要考虑供应链。一家公司不可能独立开发所有的软件，会使用到供应链中不同方开发的软件。

还有，合规性也不容忽视。智能网联汽车和自动驾驶汽车领域已经出台或者正在制定相关法律法规及行业标准，以保护人身安全和隐私数据，包括ISO/SAE 21434，还有OpenChain项目汽车工作组发布的ISO 5230标准等。这些标准定义了汽车电子电气系统的网络安全风险管理要求，面向开源软件许可证提出了要求。车企，尤其是那些开拓海外市场的汽车制造商，不仅需要克服技术挑战，管理软件开发生命周期和供应链中的风险，还要确保软件符合客户及监管机构的重要国际标准。中国也已完成第一阶段智能网联汽车标准体系的建设，未来将新增100余项智能网联汽车的标准。

新思科技建议智能网联车企至少需要做到以下三点，以应对软件供应链挑战：

1.       提升软件透明度。汽车制造业会创建物料清单，记录各种原料、零部件等详细细节。软件物料清单 (SBOM)对于软件安全治理来说也是不可或缺的，可以记录用于构建软件的各种组件的详细信息和供应链关系等，提升软件透明度。SBOM有多种格式，包括SPDX、SWID和CycloneDX等。业界对SBOM的关注度与日俱增，美国国家电信与信息管理局在2021年发布文件，规定了软件材料清单最少包括哪些要素。

2.       落实软件供应链各方职责。软件已经深度参与到汽车的定义、开发、验证、服务等过程中。很常见的一个场景是，供应链二级供应商为一级供应商提供软件，一级供应商将软件集成到系统应用，然后将其提供给原始设备制造商。整个供应链环环相扣，明确各方的职责可以减少疏漏，比如规定须由哪方进行威胁分析和风险评估(TARA)等。

3.       信任，但要核查。当车企考虑如何处理软件供应链风险时，可以选择两种做法，尤其是供应商只提供二进制文件的情况下：完全相信供应商所说的二进制文件中实际包含的内容；可以运行软件组成分析工具，例如新思科技Black Duck软件组成分析，并进行二进制扫描以识别包含的组件。

新思科技中国区软件应用安全业务总监杨国梁总结道：“中国正在促进智能网联汽车与相关行业融合发展，以满足建设汽车强国的需要。在未来行业竞争中，智能网联汽车安全将是企业重要的核心竞争力，尤其是软件安全，因为‘软件定义汽车’已经成为业界共识。软件安全会成为影响消费者决策的重要因素，也是推动产业长久、稳定发展的驱动力。当然，这不是任何一家车企、供应商或者科技公司可以单独完成的；而是需要建立完善的流程和机制，采用可靠的工具，才能提产业链供应链的韧性，进而为网联汽车构筑安全底座。”