案例研究

ASRG 推动汽车软件安全发展

January 1, 2021

竞赛驱动：ASRG 推动汽车软件安全发展

汽车安全研究小组 (ASRG) 是一家非营利组织，致力于提高人们对汽车行业安全的认识，并支持相关安全技术的开发，重点在于寻找和推广能让汽车产品更安全、更可靠的解决方案。目前，汽车行业正处于变革之中，经历着向互联、自动驾驶、共享、电动化和软件定义汽车的下一场革命。随着我们迈向这个全新的技术世界，汽车及生态系统应用对软件的依赖程度日益加深，像 ASRG 这样的组织在引起行业对软件安全的关注并维护其安全性方面发挥着关键作用。

随着消费市场对新型车辆技术的普及，潜在的攻击媒介和网络风险不断增加，这种安全意识以及制造商采取的相应行动至关重要。FBI 最近发出警告，称攻击者正瞄准美国汽车行业，其中绝大多数安全漏洞都是由敏感数据未加密导致的。此外，针对配置不当的数据库进行暴力破解等攻击，可能会造成巨大且致命的后果。作为研究如何塑造和维护汽车产品软件安全标准的解决方案和工具的一部分，ASRG 团队试用了 Secure Code Warrior 的平台，特别是其竞赛功能。该功能专为通过趣味化的竞赛吸引开发人员、提高其安全意识并磨练其安全编码技能而设计。ASRG 深入探讨了 Secure Code Warrior 如何激发开发人员对安全的兴趣，教授他们修复影响汽车软件的常见漏洞的技能，并防止不可接受的风险敞口。

Let’s shine a light on thestate of the industry,the immediate issueswe need to address,and the real stats fromhundreds of challengesplayed on the SecureCode Warrior platform.

‍

汽车软件中常见的攻击媒介在哪里？

所详述，在分析攻击者访问汽车软件的潜在途径时，存在多种可能性。Allot 的综合报告

无论安全意识有多强，开发人员都无法防范所有攻击（也不应期望他们这样做——应用安全专家存在的意义就在于此！），但精明的工程师可以在代码中关闭许多常见的后门，从而避免它们演变成严重问题，例如：

→ Web interface and mobile APIs
Exploitable web applications and APIs can allow an attacker to access sensitive credentials, and something as simple as a security misconfiguration or business logic vulnerability can lead to a significant privacy breach – or at least, more information being passed between software than intended – within connected apps.

→ Mobile apps
Many of us enjoy the modern convenience car connectivity via an on-board interface. However, a malicious attack is possible if a vulnerability provides unintended access to something even as simple as the radio. Remote file inclusion would allow malware to be played across onboard multimedia apps.

→ Code injection on entertainment systems
On an exploitable system, an attacker could potentially create multimedia files that can change code within it. This opens pathways to exploit, and even remotely monitor, other parts of connected vehicles.

→ Wireless Media
Threat actors can attack vulnerabilities in wireless channels such as Bluetooth or Wi-Fi, which can bypass administrative privileges.

→ External Sensor Interfaces
Threat actors can spoof external sensors and force the vehicle into taking unwanted actions.

→ Wireless key entry
Vulnerable apps can be used to exploit wireless key entry, with attackers able to use a proxy bridge between the key and the automobile, giving them the ability to lock or open the automobile at will. This has already been proven with attacks on several vehicles.

→ External Device Access through the OBD-II Port
Potential access to the vehicle’s internal systems.

→ Attacks on the cloud service of automotive provider
A vulnerable cloud infrastructure – even something as simple as a misconfiguration – could potentially enable a threat actor to attack many connected vehicles at once.

精明的工程师可以在代码中关闭许多常见的后门，从而避免它们演变成严重问题

‍

车辆被入侵的情况有多严重？

对于普通人来说，显而易见的是，大多数车辆并非百分之百安全，使用它们时必然伴随着一定的风险。机动车故障、事故、酒后驾驶……所有这些都可能给道路使用者带来致命的后果。

但如果那场灾难性的车辆故障实际上是由恶意网络攻击远程造成的呢？人们早就提出，只有当网络安全问题产生危及生命的后果时，世界才会真正重视起来。但现实情况是，我们早已身处这一境地，如果不加以干预，局势只会进一步恶化。

早在 2015 年，安全研究人员就成功地在高速公路上行驶的 Jeep 切诺基汽车上“关闭”了发动机；他们利用系统软件中已知的零日漏洞，无线控制了空调、收音机、转向、刹车和变速箱。虽然这只是一个受控实验，但它证明了攻击者对车辆及其乘客可能拥有的致命控制力。自那次事件以来，数百万辆联网汽车驶上了道路，每一辆车都包含数百万行必须确保安全的代码。

自动驾驶技术（及其应用）正以惊人的速度发展，这给开发者带来了巨大的压力，尤其是那些负责交付驱动未来便利功能代码的团队。汽车行业的软件开发人员迫切需要共同承担安全责任，而 ASRG 正是许多人依赖的社区中心，用于获取最新的安全知识、工具、同行建议和支持。他们举办的全球 Secure Code Warrior 锦标赛旨在吸引、评估并激励来自全球 ASRG 分会的 100 多名开发人员。通过参与友好的竞赛和培训，他们致力于解决与行业软件中常见问题直接相关的安全编码挑战。

自动驾驶技术（及其应用）正以惊人的速度发展，这给开发者带来了巨大的压力，尤其是那些负责交付驱动未来便利功能代码的团队。

‍

TIME SPENT IN TRAINING: 3303 minutes ACTIVE IN TOURNAMENTS: 3697 minutes IN FIRST-TOUCH LEARNING 189 minutes

锦标赛与培训试验中的事实与数据

这表明了极高的参与度和持续参与的意愿——这两者都是培训和教育中游戏化技术带来的巨大益处。

培训和竞赛可以根据每位开发人员的需求，使用其偏好的语言和框架进行，确保挑战具有高度相关性，并使用他们在日常工作中会遇到的真实代码。这种情境化、碎片化的学习方式，确保了能够快速交付最关键的内容，从而解决组织软件开发生命周期（SDLC）中最普遍的问题。

参与者中最常见的开发者画像

Tournaments area great way tointroduce securitystandards, abenchmark ofquality, and theresponsibilityto learn how tosquash commonsecurity bugsin code

‍

其他重要发现：

ASRG 全球虚拟安全编码锦标赛：各语言安全代码得分

ASRG 全球虚拟安全编码锦标赛：各漏洞类型安全代码得分

虽然所有参与者在各自选择的语言和框架中都表现出了一定的熟练度，但没有哪个漏洞领域被认为是“100% 安全”或已完全掌握，平均准确率得分仅为 67%。我们并不期望每位开发人员都成为安全专家，但竞赛是引入安全标准、建立质量基准以及培养在代码中消除常见安全漏洞责任感的绝佳方式……尤其是当这些代码可能导致他人车辆被远程控制，甚至造成更严重后果时。

锦标赛对漏洞和基于技能的风险因素的洞察

ASRG 锦标赛和培训计划重点关注了影响联网汽车的几个关键漏洞，即：

经过数千分钟的培训和数百项挑战，显而易见，重点应继续放在访问控制、敏感数据存储，以及作为重中之重的内存损坏漏洞上。后者不仅在高度互联的车辆中，在许多其他物联网设备中也是已知的潜在攻击点。

思科客户体验评估与渗透团队（CX APT）最近在 Linux ARMv7 系统使用的 GNU Glibc 库中发现了一个漏洞，在补丁创建并应用之前，该漏洞使系统面临内存损坏的风险。在当今这个传感器密集型设备利用来自多个环境点的实时数据进行采集的时代，即使无法远程控制设备，攻击者也可能从中获利颇丰。

ASRG 团队为需要在汽车安全领域工作的开发人员构建了令人惊叹的资源，包括经过测试的工具和解决方案目录、全面的维基百科以及强大的全球社区。这些独立的团体倡议是推动基层变革的关键，他们尝试新事物的意愿以及为成员奠定安全意识基础的努力，是阻止高度敏感设备中反复出现漏洞的有力保障。

现在投入安全编码最佳实践的投资回报

SAE International 和 Synopsys 软件完整性小组发布的一项研究发现，在确保联网技术免受现有和新兴网络威胁方面，汽车行业明显落后于许多其他行业。

这是一个令人担忧的趋势，但并非不可逆转——特别是在 ASRG 等组织的努力下，他们不仅让行业始终保持安全意识，还阐明了汽车公司构建稳固安全计划所需的解决方案、工具和教育。

他们通过举办极具吸引力的全球 Secure Code Warrior 竞赛，得以识别开发团队中的核心风险领域、挖掘进一步学习的机会，并获取安全编码挑战的准确率统计数据，从而明确行业需求中亟待关注的关键漏洞。

那么，如果一个组织能够从软件开发生命周期（SDLC）的最初阶段就植入安全意识并采取行动，从而实现安全计划的转型，其预期的投资回报会是多少呢？让我们来看一看：

对于在安全审计中发现哪怕少量年度漏洞的企业而言，检测和修复的潜在成本可能非常巨大。而且，根据这些棘手的漏洞在流程中被发现的时间点不同，修正价格可能会急剧增加——后期修复的成本最高可达早期发现并修复成本的三十倍。

Relative cost to fix, based on time of detection

Ignoring commonvulnerabilities until the latestpossible moment is a surefire way to blow budgetsand miss critical releasedates. By starting left, andempowering developers toerase decades-old bugbearslike SQL injection, XSS, andsecurity misconfigurations,the cost — not to mentiontime — savings are immense.

投资回报率

此三点估算展示了通过 Secure Code Warrior 的培训、竞赛和文化转型所带来的三项潜在财务和时间成本节约。

‍

潜在年度节省

Three gauge charts showing 5%, 15%, 25% potential savings with $94.5k, $283.5k, $472.5k and developer hours.

‍

分享到社交媒体

标语

在 AI 驱动的开发成果发布前实现有效治理

评估 AI 辅助风险，在提交代码时强制执行安全编码策略，并加速整个软件开发生命周期的安全交付。

资源库

探索更多资源

获取有关安全编码、人工智能治理和软件风险管理的专家内容。

浏览全部

案例研究

荷兰商会：大规模开发者驱动的安全实践

荷兰商会（Kamer van Koophandel）分享了他们如何通过基于角色的认证、信任评分基准测试以及共享安全责任的文化，将安全编码融入日常开发工作。

了解更多

带有 Paysafe 标志的浏览器窗口，蓝色渐变背景上显示三个浅蓝色项目符号点。

案例研究

追求卓越：Paysafe 安全代码标准的飞跃

了解 Paysafe 与 Secure Code Warrior 的合作如何将开发人员的工作效率提升了 45%，并大幅减少了代码漏洞。

了解更多

案例研究

DigitalOcean Decreases Security Debt with Secure Code Warrior

DigitalOcean's use of Secure Code Warrior training has significantly reduced security debt, allowing teams to focus more on innovation and productivity. The improved security has strengthened their product quality and competitive edge. Looking ahead, the SCW Trust Score will help them further enhance security practices and continue driving innovation.

了解更多

在产品发布前确保 AI 驱动的开发安全

洞察开发风险，执行安全策略，并在整个软件开发生命周期中预防漏洞。

预约演示

未找到相关项目。