車輛與乘客安全茲事體大，各界都期盼資安業界正視V2X資安威脅議題，V2X技術成熟和應用普及的同時，資安風險也隨之攀升。落實軟體安全開發，才可創造出可被信任的智慧車聯網生態系。
智慧車聯網(V2X)是近年來迅速發展的熱門科技，它為汽車產業帶來革命性變革與無限商機。但大家在關注其美好一面之餘，亦逐漸意識到V2X技術成熟和應用普及的同時，資安風險也隨之攀升。
由於車輛與乘客安全茲事體大，各界都期盼資安業界正視V2X資安威脅議題，協助開創可被信任的智慧車聯網生態系。
V2X包括硬體製造、軟體研發、通訊領域等多元應用場景，導致資安問題相對複雜，唯有結合產官學研跨界力量，共同催生資安標準及認驗證機制，才能驅使V2X相關廠商提升資安管理強度。
多面向潛藏資安破口
在闡述車聯網資安為何重要之前，先瞭解幾個重大趨勢。第一個趨勢是市場規模的高度成長，預估2028年汽車電子市場規模將達4,000億美元；其次則是出貨量，2024~2030年聯網汽車出貨量上看5億台。如此龐大商機與量體，可望帶動相關網路安全市場在2031年時達到177億美元，為資安產業帶來新契機。
而智慧車聯網的技術應用場景，主要分三大類，包括車輛對車輛(V2V)、車路協同(V2I)、車輛對雲端(V2C)；事實上其他還有車輛對網路(V2N)、車輛對人(V2P)甚至車輛對裝置(V2D)、車輛對感測器(V2S)等。此外V2X架構蘊含四個主要組成要素，一是裝置端，包含鑰匙、控制單元、充電樁、APP等。二是通訊端，意指V2X的對應通訊手段，如802.11、BLE、4G或5G等。三是服務提供端，為智慧車的各項應用。第四項即是資料與資訊，隨著車輛聯網化與智慧化，有關資料和資訊的蒐集增多，所有個資、隱私、必要或非必要等資料都會被不斷的蒐集，接著儲存在車輛端或上傳雲端執行後續的應用。
V2X正面臨什麼問題？第一個問題是越來越多的程式碼行數，軟體定義下的智慧車就有逾1.5億行程式碼，對廠商或工程師帶來沈重負擔。其次，一台智慧車也擁有超過100個不同功能的電子控制單元(ECU)，中間賴以溝通的協議眾多，此即為造成車聯網資安推動困難的其中一個主因。第三個問題，資料量以每年50%幅度成長，一台車每天產生逾4GB資料，目前ECU每小時可傳輸25GB數據，反觀傳統控制器區域網路(CANbus)傳輸速率僅1Mbps，可以處裡的資料量有限，足見車輛要推進智慧化，車輛本身的協議仍有極大改善空間。
汽車資安與工控資安議題類似，產品壽命都很長，平均一台車長達18年以上。現今設計的資安產品能保證幾年後依然安全？答案是否定的，故要投入V2X資安的業者，亟需持續改善與演進，提供必要售後服務與更新服務。
現行法令規定所有IoT或聯網產品，至少應提供5~10年更新週期，意謂一台車啟用後5~10年內可能面臨的資安議題，皆需倚靠廠商協助解決；導致廠商揹負繁重的維護成本，可謂極大困境，造成不少業者望而卻步。
產業認證實現V2X資安
V2X面臨的資安威脅為何？從技術架構來看，大致也分為四個潛在威脅面向。第一針對裝置端，主要威脅為軟體或演算法的缺失、漏洞等。第二針對通訊端，主要威脅為脆弱的傳輸協議、中間人攻擊等。第三針對服務提供端，可能因存取管理不當釀成服務中斷風險。至於資料與資訊方面，最大隱患來自資料洩漏與運用不當。
更令人憂心的，經統計近三年有關V2X的CVE漏洞數量已見大幅飆升。回顧2019年，一整年約莫僅三十個漏洞，但2023年超過350個，呈現10倍以上增幅。其中逾半數落在後端應用及車上娛樂系統，顯示因為應用繁多，導致駭客可切入的點增多；且逾七成漏洞源自廠商提供裝置裡的軟體，因程式碼未寫好，產生許多漏洞可被駭客利用；而上述提及的350個CVE中，有超過八成是高危險漏洞；由此可見，如何藉由改善軟體品質來降低漏洞風險，確實至關重要。
廠商如德凱DEKRA集團成員的安華聯網科技提出降低或緩解上述風險的建議措施。針對裝置端，可行的措施包括採用安全開發流程、建立產品資安管理與事件應變團隊，並力求最小化程式碼功能、服務、接口與資訊量。針對通訊端，包含採用更安全的通訊機制(如IEEE 802.11p或ITS-G5)、永遠預設啟用強加密演算法、針對通訊流量進行異常監控。針對服務提供端，務必做好上線前資安檢查，此外部署防護設備、執行安全稽核、採用安全的憑證管理機制，且與合作夥伴、執法單位共享資安資訊，藉此形成聯防機制。針對資料與資訊端，應做好資料分類與分級、個資或隱私資料去識別化。
然而，上述降低資安風險的措施多不勝數，使許多業者都期盼能有簡化之道。欲降低智慧車聯網資安風險，須動員全部組織才能達成，企業高階主管的支持是最重要的；至於化繁為簡的方法，在於導入產業標準並取得第三方認證，例如無鑰匙(Keyless)資安要求的Apple CarKey，充電樁資安標準IEC 62443-4或RED-DA，晶片資安標準PSA、SESIP等。
最後，V2X資安究竟該如何落實？以汽車安全開發最常見的V Model來說，使用ISO 21434時，產品開發不能只是功能開發完成就結束，還必須往後延伸至售後的安全，才能符合產業標準的資安要求。V2X資安問題複雜，落實軟體安全開發，才可以創造出可被信任的智慧車聯網生態系。
(本文由安華聯網科技提供)
(針對車聯網資安，如欲瞭解更多，請參考安華聯網ISO/SAE 21434車聯網安全介紹)