大家可能不知道，一輛聯網的智能汽車上的車載智能設備數量不小於100臺，這些智能設備上所包含運行的代碼都不小於5000萬行，從而可以算出整個智能汽車所包含的代碼就將達近2億多行。即便程序員再仔細，也會出現代碼有漏洞，這個在所難免，但有兩個關鍵問題需要引起關注，一方面是很多智能汽車製造商未及時對車載軟件加以管理控制，使其充滿漏洞因而極易遭到惡意攻擊；另一方面是這些程序員編寫的代碼應當如何保護，以防止黑客對其它進行破解。
自1886年戴姆勒創造出第一輛汽油機驅動的汽車以來，直至2009年發佈第一輛智能汽車，引領智能汽車發展要得利於通信技術和AI技術的發展，才能夠讓智能汽車的發展一步步快速發展起來。在智能汽車產業的快速發展的同時，也引發了很多關於代碼安全的思考。幾維安全是智能車聯網行業頂尖安全服務商，結合自身技術和實踐的優勢，對智能汽車的代碼程序安全進行了探索和分析。
智能汽車發展態勢
智能汽車有其特有的發展路線，當今，我們已實現了Level 3特定條件下自動化的時代，而從2020至2025年，全自動無人駕駛將全面進入我們的生活，這將使智能汽車電子相關產業完全進入互聯網化。在這個演化過程中，智能汽車的態勢感知系統、智能汽車互聯網大數據分析平臺以及高精地圖導航系統，將會全面帶到各位面前，而智能汽車的安全也在其中成爲不可或缺的組成部分。
在今年的5月29日第六屆國際智能網聯汽車技術年會上，清華大學教授、國汽（北京）智能網聯汽車研究院有限公司首席科學家、中國智能網聯汽車產業創新聯盟專家委員會主任曾發言表示：“智能網聯汽車已經成爲汽車產業發展的戰略方向。智能網聯汽車的發展不能只關注汽車本身，要在場景中落地，與中國環境相結合，發展中國方案的智能網聯汽車。”認爲基於新一代的移動通信技術、互聯網技術、大數據雲、人工智能技術，可實現先進技術與汽車產業的有機結合，形成汽車交通系統的信息物理融合系統，將會給汽車產業帶來重大的變革，非常看好未來的智能汽車產業的發展。
智能汽車製造業也在國家政策的大力支持下，智能汽車的安全同樣也走在了前端，就在今年6月11日已有《智能網聯汽車信息安全評價測試技術規範》（徵求意見稿，以下簡稱《規範》）發佈，但是作爲智能網聯汽車一個新的產品形態、產業形態，未來還需要加強這方面的推進。據統計，智能網聯汽車平均每1000條指令會出現1個bug，《規範》的發佈也應運而生，旨在解決智能汽車中所面臨的一系列信息安全和開發代碼的隱患。
智能汽車開發代碼的安全隱患分析
根據國家信息安全漏洞平臺發佈的智能終端設備的代碼漏洞上報行爲，幾維安全對每年上報的智能設備的漏洞數據進行了統計，按每年的總計展示內容如下：
由上表可見，智能終端中的代碼漏洞在每年承上升的趨勢，到2018年和2019年已經可以達到成倍上升，也正是近兩年智能終端設備的快速發展有密切的關係。而這些智能終端技術也完全有可能利用在智能汽車上，會給智能汽車帶來安全隱患。幾維安全也根據發佈智能終端的漏洞進行了分析，如果將其集成到智能汽車上，其安全風險包括：
（1）被注入惡意程序
通過智能汽車的OTA升級功能和智能汽車使用的Android平臺漏洞，會在升級過程中加載非法程序，會對整個智能汽車車載系統造成攻擊。
（2）被未授權登錄
目前很多智能終端在出廠使用時，均在使用初使密碼（弱口令或默認口令）的方式進行身份鑑別，黑客可通過社工庫將其進行破解，就可以登錄智能汽車車載系統造成攻擊。
（3）被信息竊取
在智能終端或智能汽車車載系統進行網絡服務和運營商進行數據傳輸過程中，傳輸信息90%以上均爲明文，或被黑客進行信息攔截，則可以造成車主個人信息的泄露。
（4）被遠程操作
智能汽車配置特定的移動應用APP，但大多數APP未經過安全保護，黑客可通過未經過防護的APP發送控制指令，達到遠程控制的目的。
（5）被攻擊後端服務
通過未加密的傳輸網絡，找到後端提供服務的雲平臺，竊取後端平臺系統，造成車主個人信息的丟失。
攻擊者可通過對智能汽車中的智能終端設備、APP進行攻擊和漏洞挖掘，找到其脆弱點，再對其智能汽車發起攻擊。在國家發佈的《規範》中涵蓋了面對智能汽車的13個檢測條目，而13個檢測相關智能終端所面臨的風險，幾維安全是能夠做到全面的覆蓋。
利用《規範》使智能汽車開發代碼發現安全問題
在發佈的《規範》中可以看出，將風險轉化的概率、風險可能的計算和風險影響的計算等多重評測維度被納入《規範》考覈，像現在所瞭解到的安全技術，如OTA安全、數據安全、網絡安全、應用安全、系統安全，以及硬件安全這六大內容進行把關，來評估智能汽車信息安全是否達到《考覈》的安全合規標準。幾維安全利用智能終端的代碼層安全檢測、智能終端的業務層滲透測試和智能終端的邊界及傳輸層檢測，全面保護智能汽車爲核心的檢測體系，以幫助智能汽車達到安全合規的標準。
（1）智能終端的代碼層安全檢測
通過對智能終端的代碼進行檢測，利用人工+工具的形式對其代碼進行全面的合規審計，發現其存在安全風險和安全漏洞，並達到《規範》的要求。
（2）智能終端的業務層滲透測試
利用滲透測試人員的專業技術，對智能終端的業務邏輯進行安全檢測，發現其業務層的安全風險和安全漏洞。
（3）智能終端的邊界及傳輸層檢測
使用攻防人員的專業技能，對其傳輸過程的數據進行抓取，發現其傳輸加密、邊界傳輸在使用過程中的安全風險。
經過幾維安全結合《規範》的安全檢測，會輸出在檢測、滲透及評估後的一份檢測報告。檢測報告涵蓋了檢測項目、檢測方法、使用工具、過程演示截圖及可落地的修復整改建議，供開發者對其進行整改。
幾維安全滲透測試服務優勢
完善的修復解決方案——幾維安全新一代的代碼保護技術KiwiVM
幾維安全不僅能夠發現智能汽車存在的安全問題，同時還能爲智能汽車製造商提供完善的代碼保護方案。代碼虛擬化保護技術（KiwiVM），是幾維安全基於Clang編譯器擴展實現的VM虛擬機編譯器,在編譯時直接對指定的函數［代碼］實施虛擬化處理。可幫助智能汽車製造商在通信、支付、算法、核心技術等模塊進行深度加密，避免因逆向破解問題帶來的安全隱患。
（1）雲+管+端的全面防護策略
要實現安全的保障需要多個環境共同協同來完成，建議從智能汽車入手進行防護，通過雲端對其進行加固防護，同時對傳輸的數據再進行加密處理，以達到雲+管+端的整體安全。
（2）智能終端固件和智能汽車APP代碼的虛擬化保護
保護智能終端和智能汽車APP，就是對智能汽車最核心的部分進行保護,確保最核心的密鑰和業務邏輯不被攻擊者逆向破解，從而保障智能終端不被攻擊。幾維安全源代碼保護技術針對Android平臺，提供Dex類方法抽取加固、Dex-Java2C靜態代碼加密、SO加殼、C/C++代碼混淆、C/C++代碼輕量虛擬化、C/C++代碼虛擬化、防禦型SDK，可以從靜態加密到動態防護做一個全方位的安全加固。
而對於硬件平臺，幾維安全可提供SO加殼、C/C++代碼混淆、C/C++代碼輕量虛擬化、C/C++代碼虛擬化等方案，針對不同嵌入式環境對尺寸、性能、內存消耗的不同要求，我們提供量身定製的安全方案。上述服務平臺的代碼加密產品還可配合防禦型SDK、白盒祕鑰等技術實現諸如數據加密存儲、通訊鏈路加密等業務場景的保護需求，完全保護智能汽車中的源代碼及應用程序安全。這樣KiwiVM即可同時對智能終端和智能汽車APP進行安全加固，又能保障兩者不被攻擊者逆向分析破解。
結語
隨着5G技術和AI人工智能技術的發展，智能汽車現在也已經在快速發展的道路上，那麼接下來要怎麼往下走？智能汽車是汽車發展的基石與核心，跨行業合作是保障，多領域合作是支撐。幾維安全將在國家政策的領引下，繼續加大對智能汽車安全領域的探索和研究，提供更爲優質的安全服務，願意成爲智能汽車製造商優秀的合作伙伴。