智能网联汽车OTA升级安全设计

本文由武智，刘天宇，贾先锋联合创作

摘要

随着汽车行业快速向智能化、网联化、电动化的方向发展，车载电子器件（ECU）在整车系统中逐渐增多，整车和 ECU 已经实现从物理方式到软件升级（OTA）的更新迭代。当前针对汽车的黑客攻击事件频发，OTA 功能作为智能网联汽车的重要功能，也成为黑客的重点攻击对象。攻击者通过劫持、篡改、替换等攻击方法对智能网联汽车 OTA 升级链接发起攻击。文章基于当前智能网联汽车 OTA 升级架构进行安全分析，通过设计安全的 OTA 升级方案，提升整车 OTA 升级的安全性。

前言

近年来，随着智能网联汽车的发展，越来越多的主机厂在汽车产品上集成了 OTA 升级功能，通过 OTA 实现系统升级、应用更新、漏洞修复及功能开通等等。目前主机厂 OTA 系统主要通过自主研发或由 OTA 供应商集成的方式在整车系统上实现 OTA 升级功能。

1 OTA系统架构

整车 OTA 系统主要分为云端、车端、通讯端三部分。

云端主要功能包括：OEM 云对接、车型/车辆/ECU 版本信息管理、升级软件管理，差分包管理、大版本管理及策略创建、ECU 关联升级配置、升级模式配置、策略测试、审批、发布等。车端主要功能包括：升级条件判断、软件包下载、升级包验签、升级包解密、安全刷写、升级状态上报等。

通讯端主要负责在 OTA 升级过程中进行报文传输及升级包下载等。