保障汽车行业的软件供应链安全

汽车行业正处于激烈的变革性技术创新之中。20多年来，从1999年的混合动力，到2010年的插电式混合动力，再到现在的纯电动汽车，汽车行业发生了翻天覆地的新变化。最近，它在安全、车辆连接、半自动驾驶等领域取得了显著的技术进步。

 

而且，这一革新时代远未结束。根据全球领先的管理咨询公司麦肯锡所言：“未来十年，汽车行业将面临一个世纪以来从未见过的巨大变化。”

这种变化将在很大程度上受到软件组件的推动，这些软件组件构成了信息娱乐、乘客舒适性、远程信息处理、完全自动驾驶能力、动力集成、通信、安全等各种车载应用的基础。据估计，到2026年，全球汽车软件市场将到达惊人的419亿美元，年复合增长率（CAGR）将达到两位数。

当然，这种创新和进步也将为网络安全，尤其是软件供应链安全领域带来更加光明的前景。随着软件组件和供应商数量的增加，再加上网络犯罪活动日益猖獗，汽车制造商需要特别小心的开发带有可信组件的应用程序。

在本文中，我们将探讨一些汽车行业的软件供应链安全风险问题，这些风险预计就随着持续的技术创新而不断出现，最后我们将介绍SCA如何帮助汽车公司解决这些问题。

一、汽车软件供应链的演进

就像硬件来源于跨越大陆和公司的供应链一样，复杂的电子软件也来源与世界各地的第三方。鉴于驱动未来十年汽车创新所需的大量软件组件，汽车制造商就不可避免的被迫重新审视传统的软件供应链。

正如麦肯锡在一份报告中所提到的：

在过去的几年里，现代汽车已经成为车轮上的数据中心。通过比较现代汽车、飞机和个人电脑中的代码行，我们可以窥见保护这些汽车安全的挑战。今天的汽车有多达150个ECU和大约1亿行代码；到2030年，许多学者预计他们将有大约3亿行软件代码。而客机只拥有大约1500万行代码，一架现代战斗机拥有大约2500万行代码，大众市场的个人电脑操作系统接近4000万行。产生这种情况的原因既有过去35年来以特定方式设计电子系统的遗留问题，也有联网和自动驾驶汽车系统日益增长的需求和日益复杂的问题。它为网络攻击创造了大量机会，不仅是在汽车上，而且是在整个产业链上。

 

二、硬件和软件驱动的联动汽车未来

 理论上，现在交通工具中的软件组件规模确实为不法分子创造了一个更广泛的攻击平台。当我们展望全自动驾驶汽车和更多软件驱动创新的未来时，不难想象恶意代码进入关键系统并对乘客造成伤害的情况。

显然，对于跨行业的企业，包括汽车公司来说，留意软件供应链攻击是很重要的。攻击者知道感染上游项目是可行的，这他们能快速控制大量的下游客户。当我们使用的软件深深的嵌入到我们的系统中，我们给予它对秘密和敏感信息的完全控制，这可能会带来毁灭性的后果。

汽车行业安全风险的增加和软件使用的增长促使监管部门采取相应行动。两个特别重要的标准应运而生，它们是《WP.29网络安全车辆条例》和《ISO/SAE 21434》，下面我们来详细介绍：

1. WP.29网络安全车辆条例

20世纪50年代，联合国欧洲经济委员会（UNECE）成立了WP.29，其使命是确保汽车制造商达到有关汽车安全、质量和环境影响的标准。2021年初，WP.29发布了联合国第155号条例——网络安全和网络安全管理系统。

 

根据UNECE网站上的介绍，该条例有以下几项主要内容：

①通过供应链收集和核实本条例所要求的信息，以表明与供应商相关的风险得到识别和管理。

②记录风险评估（在开发阶段或回顾阶段进行）、测试结果和适用于车辆类型的缓解措施，包括支持风险评估的设计信息。

③在设计车辆类型时采取适当的网络安全措施。

④检测并应对可能的网络安全攻击。

⑤记录数据，以支持检测网络攻击，并提供数据取证能力，以便能够分析未遂或成功的网络攻击。

2.ISO/SAE 21434：道路车辆网络安全工程

ISO（国际标准组织）和SAE（汽车工程学会）目前正在为汽车行业的网络安全风险管理开发一个框架。根据SAE官网上呈现的内容，该标准的范围为：“本文件规定了道路车辆电器和电子（E/E）系统的概念、开发、生产、操作、维护和退役工程方面的网络安全风险管理要求，包括它们的组件和接口。”

 

同样值得注意的是，影响软件供应链的其他法规遵循标准和规章可能会在未来几年发布。我们预计这些不仅会影响汽车制造商，而且越来越多的原始设备制造商也会参与到软件供应链之中。例如，美国政府去年发布的网络安全行政命令要求向联邦政府出售产品的任何企业都必须达到供应链安全和透明度的更高标准。

三、SCA如何保证汽车软件供应链安全

考虑到汽车软件供应链的复杂性，有众多的供应商以及专有和开源组件的混合使用，没有一个单一的灵丹妙药可以确保企业100%的免受供应链威胁。但SCA（软件成分分析）可以提供很大的帮助。

SCA工具通过扫描你的代码并查找项目中包含的所有第三方依赖项，它能做到：

1.所有软件依赖项的清单，包括许可证和漏洞；

2.关于迅速有效的确定这些问题的优先次序和采取补救措施的指导意见；

3.生成SBOM，可以帮助制造商跟踪组件和版本。

鉴于汽车制造商大量使用不同来源提供的组件，第三点显得尤为重要。要求供应商提供SBOM是一个很有效的安全手段，这可以减少漏洞逃避安全检测的可能性。SCA所支持的上述功能也可以帮助汽车制造商满足开源许可证合规性方面的需求。

四、保护汽车软件供应链

汽车产业的创新已近导致了对电子和软件组件的日益依赖。鉴于供应链日益复杂，以及新的合规性要求，网络安全在汽车行业前所未有的受到关注。

随着重新评估现有的软件开发和质量保障过程，以满足日益增长的安全挑战，汽车制造商可能会考虑新的工具以提供一个额外的保护层。例如，泛联新安的CodeAnt可以发挥重要作用，以帮助汽车制造商通过识别第三方依赖中的脆弱性和风险来确保其车辆和软件生态系统的安全。