智能网联汽车安全渗透测试活动--测试指标

---

前言

上篇简单介绍了国内外法律法规，中国软件测评中心（赛迪汽车）在相关主管单位的指导监督下，开始组织智能网联汽车安全渗透测试活动。

---

测试指标有哪些？

它的指标体系是不断更新的，大概可以分为七大类。

外部连接

蜂窝网络安全

• 伪基站识别
• 网络优先级
• 双向认证
• 通信加密
• 完整性校验

WIFI

• 通信认证
• 流量劫持
• 重放攻击
• 数据包篡改

蓝牙

• 通信连接请求
• 通信认证

无线钥匙

• 通信安全
• 代码安全

卫星导航

• 干扰GPS
• 干扰北斗
• 同时干扰GPS和北斗

硬件安全

硬件安全

• 设计安全
• 访问控制
• 抗攻击防护

数据安全

数据安全

• 车辆电子身份
• 车辆行驶数据
• 密钥/证书安全
• 非法篡改操作系统日志
• 非法访问系统关键参数

接口安全

OBD安全

• 访问控制
• 身份控制
• 报文监听
• 报文篡改
  USB安全
• 访问控制
  云平台
• 车云通信监听
• 恶意消息
• 数据包篡改
• 平台漏洞
• 应用劫持

软件升级

软件升级安全

• 升级文件合法性校验
• 升级文件完整性校验
• 升级包存储安全
• 升级包传输安全
• 系统备份与恢复
• 身份认证
• 日志记录
• 升级包代码安全

应用安全

应用软件安全

• 安全日志记录及审计
• 安全日志内容完整性
• 日志访问控制机制
• 日志安全存储
• 日志个人信息
• 软件后门
• 防逆向安全机制
• 最小安装原则
• 非授权手机信息
• 应用权限最小化
• 漏洞扫描
• 应用软件安装限制
  第三方应用安全
• 语音助手安全
• 程序源文件安全
• 本地数据存储安全
• 通信数据传输安全
• 身份认证安全
• 内部数据交互安全
• 恶意攻击防范能力

系统安全

系统安全

• 已知漏洞探测
• 可疑文件识别
• 服务安全
• 服务开启情况
• 系统端口
• 系统漏洞扫描
• 身份鉴别
• 登录失败处理
• 默认账户控制
• 多余过期账户控制
• 权限控制
• 控制访问颗粒度
• 限制用户提权操作
• Suid提权

2. • 通信认证

3. WIFI

   • 通信认证

---

总结

本篇主要介绍了安全渗透测试的相关指标。