汽車軟件供應(yīng)鏈中的開源風(fēng)險

汽車中使用的大多數(shù)軟件組件都不是由汽車制造商自己甚至頂級供應(yīng)商直接開發(fā)的。軟件來自廣泛的供應(yīng)商，包括嵌入式 GUI 框架、中間件、操作系統(tǒng)、導(dǎo)航和電信軟件組件等。

這些源軟件組件可以是儀表板信息娛樂系統(tǒng)或嵌入式系統(tǒng)（例如整個車輛使用的傳感器）的一部分。這種日益增加的復(fù)雜性和互操作性導(dǎo)致了供應(yīng)商之間的軟件協(xié)作，從而形成了一個同行的合作伙伴網(wǎng)絡(luò)（例如，福特和谷歌，通用汽車和Lyft）。

由于汽車軟件組件是由許多不同的供應(yīng)商創(chuàng)建的，因此其中很大一部分包含開源。就像現(xiàn)在的任何軟件一樣，開源是生活中的事實。事實上，Android是汽車主機的流行平臺，它建立在Linux之上。其他例子是Genivi Alliance和Automotive Grade Linux，這是專門用于汽車應(yīng)用的開源平臺。

據(jù)估計，2018年開源在汽車軟件堆棧中的比例約為50-70%。2021 年 66 月的另一次演講將這一數(shù)字定為約 <>%，無論開源是否直接或間接用于其他專有第三方組件。

不“重新發(fā)明輪子”的生產(chǎn)力優(yōu)勢是顯而易見的。免費和開源軟件通常質(zhì)量很好，并提供顯著的好處，尤其是在用于整個子系統(tǒng)時。但是，安全性和質(zhì)量因軟件來源而異。在大多數(shù)情況下，您不確定重復(fù)使用的組件是否安全且高質(zhì)量，因此必須采取措施來減輕這種風(fēng)險。

開源組件的不安全版本是汽車軟件中常見的安全漏洞。在某些情況下，漏洞已被識別和修補，但車輛中使用的組件尚未更新。

開源組件或包含漏洞的組件缺乏更新也是汽車制造商面臨的挑戰(zhàn)。盡管在汽車中修補軟件可能很困難，但確保軟件供應(yīng)鏈也跟上要求成為一項復(fù)雜的任務(wù)。有時更新不會到來，因為作者甚至可能不知道開源。

開源組件中隱藏的依賴關(guān)系是另一個關(guān)鍵的安全問題。開源依賴于其他依賴項來運行是很常見的。依賴關(guān)系增加了安全風(fēng)險的范圍。其中一些依賴項沒有記錄在案，或者如果在專有軟件中使用，則完全隱藏。

最后，許可是汽車軟件的潛在雷區(qū)。開源不一定可以在商業(yè)產(chǎn)品中免費使用，或者如果是，產(chǎn)品中的重新分發(fā)可能需要滿足法律要求。包含第三方軟件的設(shè)備正在重新分發(fā)其中使用的任何源代碼或二進制文件，這是開源的獨特用例。未正確管理所使用的所有第三方源和二進制文件的許可證存在重大法律風(fēng)險。

管理開源軟件的風(fēng)險

正如物料清單 （BOM） 有助于管理汽車生產(chǎn)中的實物庫存一樣，管理采購軟件的質(zhì)量和安全性需要從軟件 BOM – SBOM 開始。

SBOM 如何幫助管理風(fēng)險？

實施軟件供應(yīng)鏈風(fēng)險管理計劃和使用 SBOM 對于改善最終產(chǎn)品的安全狀況至關(guān)重要。對于汽車軟件開發(fā)，此實踐有助于滿足行業(yè)安全性和合規(guī)性要求

SBOM 管理為制造商提供以下好處：

發(fā)現(xiàn)：識別第三方代碼和 COTS/第三方軟件中的開源組件。檢測這些組件中的已知（N 天）和未知（零天）漏洞。這包括隱藏在第二層和第三層軟件提供商的二進制文件中的開源組件。

管理風(fēng)險：根據(jù)對代碼/軟件的可見性做出更明智的安全決策。遵守安全、許可和供應(yīng)商風(fēng)險合規(guī)性要求。

修正：利用可操作的漏洞情報防范網(wǎng)絡(luò)安全威脅。簡化漏洞修復(fù)以降低軟件風(fēng)險。

自動化軟件供應(yīng)鏈安全的目標是深入了解為支持項目目標而購買和部署的產(chǎn)品。需要SBOM和詳細的漏洞信息來真正了解車輛中使用的現(xiàn)有軟件的安全風(fēng)險。

借助無需訪問源代碼即可分析二進制應(yīng)用程序的新技術(shù)，產(chǎn)品安全團隊現(xiàn)在可以生成自己的詳細 SBOM 以及高級儀表板，以幫助分析和總結(jié)結(jié)果。此外，軟件漏洞報告對于對 SBOM 中概述的軟件組件中的已知漏洞進行編目至關(guān)重要。

尋找能夠生成人工和機器可讀輸出的 SBOM 工具，這些輸出可以導(dǎo)出并與其他組織共享，并與安全和風(fēng)險解決方案集成。人類可讀的格式應(yīng)提供組件和報告的漏洞的輕松導(dǎo)航。

汽車行業(yè)在車輛中使用的物理部件的質(zhì)量、可靠性和安全性方面始終需要保持高度警惕。隨著越來越多的軟件被集成到他們的成品中，制造商不再“相信”他們產(chǎn)品中的嵌入式代碼沒有安全漏洞和缺陷。軟件供應(yīng)鏈風(fēng)險管理必須是車輛質(zhì)量控制的關(guān)鍵支柱。

審核編輯：郭婷