2. 基础知识
在进入车型网络安全认证与量产审核之前，必须先建立一套共同语言。汽车网络安全不是传统IT安全的简单移植，它面对的是“会移动的分布式计算系统”：车内有多条总线、几十到上百个ECU、外部有蜂窝/Wi-Fi/蓝牙/V2X接口，云端还有TSP、OTA和诊断平台。攻击者一旦突破某个入口，就可能横向移动到安全关键功能。因此，理解基本概念、术语、攻击面和应用场景，是后续做TARA、设计安全需求、编写审核证据链的前提。
一、核心原理：资产—威胁—脆弱性—风险
汽车网络安全的底层逻辑可以用四个词串起来：资产（Asset）、威胁（Threat）、脆弱性（Vulnerability）、风险（Risk）。资产是“有价值、需要保护的对象”，例如制动控制信号、OTA签名密钥、诊断权限、车辆位置数据。威胁是“可能造成损害的潜在原因”，例如伪造CAN报文、重放解锁指令、篡改OTA包。脆弱性是资产或系统中可被利用的弱点，例如CAN总线无认证、调试口未关闭、密钥硬编码。风险则是威胁利用脆弱性对资产造成损害的可能性和影响组合。
与功能安全关注“系统失效”不同，网络安全关注“系统被恶意利用”。功能安全问“如果刹车信号丢了会怎样”，网络安全问“如果有人伪造刹车信号会怎样”。两者在量产审核中经常交叉：一个被攻击后可能导致危害事件的资产，通常也是功能安全相关资产，需要同时满足安全与信息安全要求。
关键原则：网络安全不是“加一个防火墙”或“装一个IDS”就结束，而是贯穿概念、开发、生产、运行、报废全生命周期的持续活动。量产审核看的不是某个单点工具，而是“风险是否被识别、需求是否被实现、证据是否可追溯”。
二、常见术语：从ECU到SecOC
下面这些术语在认证审核、TARA会议和供应商接口中会反复出现，建议先建立清晰映射：
| 术语 | 含义 | 在量产审核中的典型证据 |
|---|---|---|
| ECU | 电子控制单元，执行特定功能的嵌入式控制器 | ECU清单、软件版本、诊断地址 |
| CAN/CAN FD | 车内广播式总线，报文无源地址认证 | DBC、报文矩阵、网关过滤规则 |
| SecOC | 安全车载通信，为报文增加MAC和新鲜度值 | 密钥管理方案、新鲜度同步策略 |
| HSM | 硬件安全模块，提供密钥存储与加解密加速 | HSM固件版本、密钥注入记录 |
| Secure Boot | 安全启动，逐级校验固件签名 | 信任根、签名验证日志、回滚策略 |
| OTA | 空中下载升级，远程更新车辆软件 | 签名验证、防回滚、升级失败恢复 |
| IDS/IPS | 入侵检测/防御系统，监测异常报文或流量 | 检测规则、告警日志、误报率 |
| TARA | 威胁分析与风险评估，识别风险并定级 | TARA报告、攻击树、风险处置计划 |
| CSMS | 网络安全管理体系，组织级流程与责任 | 方针、角色职责、审核记录 |
| V2X | 车与外界通信，包括车车、车路、车云 | 证书管理、消息签名、隐私保护 |
其中SecOC和HSM是车内网络安全的两个关键抓手：SecOC解决“报文是谁发的、是否被篡改、是否重放”，HSM解决“密钥放在哪里、运算是否可信”。审核时如果只看到“支持SecOC”的声明，却没有密钥生命周期和新鲜度同步证据，通常会被认为证据不足。
三、典型攻击面：从物理口到云端
汽车攻击面可以按“接触方式”和“信任边界”划分。下图给出一个典型的攻击面拓扑，帮助理解攻击者可能从哪里进入、向哪里移动：
从图中可以看到，攻击面不是单点，而是“入口—通道—目标”的链条。审核时，审核员通常会沿着这条链追问：入口是否有认证？通道是否有过滤和监测？目标是否有SecOC或访问控制？如果某一环缺失，风险就会上升。
四、应用场景与误区复盘
在量产项目中，以下场景最容易暴露网络安全问题：
- 远程控制场景：用户通过手机App远程解锁、启动空调。若云端鉴权薄弱或指令重放保护不足，攻击者可伪造指令。
- OTA升级场景：升级包签名验证不严、防回滚缺失，可能导致恶意固件被刷入。
- 诊断与售后场景：OBD口未做会话权限控制，攻击者可通过UDS写入关键参数。
- V2X协同场景：伪造BSM消息可能干扰碰撞预警，影响驾驶决策。
- 供应链场景：第三方组件带漏洞、密钥在代码中硬编码，都会成为量产后的隐患。
常见误区：“我们的车没有联网，所以没有网络安全风险。”实际上，物理接口（OBD、USB、调试口）和短距无线（蓝牙、Wi-Fi、钥匙）同样是攻击面。另一个误区是“做了渗透测试就等于安全”，渗透测试只是验证手段之一，不能替代TARA、安全需求、密钥管理和生命周期监控。
复盘时建议用“资产—攻击面—控制措施—证据”四列清单逐项核对。例如：
资产：远程解锁指令
攻击面：T-Box 蜂窝接口 → 云端 API
控制措施：双向 TLS、指令签名、防重放计数器
证据：接口安全设计文档、密钥注入记录、重放测试报告
只有把概念、术语、攻击面和场景串成一条可追溯的链，后续的认证审核才有据可依。否则，安全活动容易变成“补文档”，而不是真正降低量产车辆的风险。