汽车软件供应链中的开源风险

汽车中使用的大多数软件组件都不是由汽车制造商自己甚至顶级供应商直接开发的。软件来自广泛的供应商，包括嵌入式 GUI 框架、中间件、操作系统、导航和电信软件组件等。

这些采购的软件组件可以是仪表板信息娱乐系统的一部分，也可以是嵌入式系统（如整个车辆中使用的传感器）的一部分。这种日益增加的复杂性和互操作性导致了供应商之间的软件协作，从而形成了一个同行的合作伙伴关系网络（例如，福特和谷歌，通用汽车和Lyft）。

由于汽车软件组件是由许多不同的供应商创建的，因此其中很大一部分包含开源。就像现在的任何软件一样，开源是生活中的事实。事实上，Android是汽车音响主机的流行平台，它建立在Linux之上。其他例子是Genivi联盟和汽车级Linux，这是专用于汽车应用的开源平台。

据估计，2018年开源在汽车软件堆栈中的比例约为50-70%。2021年2月的另一份演讲显示，无论开源是直接或间接用于其他专有的第三方组件，这一数字都约为66%。

不“重新发明轮子”的生产力优势是显而易见的。自由和开源软件通常质量很好，并且提供了显着的好处，特别是当用于整个子系统时。但是，安全性和质量因软件来源而异。在大多数情况下，您不确定重用的组件是否安全且高质量，因此必须采取措施来减轻这种风险。

开源组件的不安全版本是汽车软件中常见的安全漏洞。在某些情况下，漏洞已被识别和修补，但车辆中使用的组件尚未更新。

缺乏开源组件或包含漏洞的组件的更新也是汽车制造商面临的挑战。尽管在汽车中修补软件可能很困难，但确保软件供应链效仿是一项复杂的任务。有时更新不会出现，因为作者甚至可能不知道开源。

开源组件中隐藏的依赖关系是另一个关键的安全问题。开源依靠其他依赖项来运行是很常见的。依赖关系会增加安全风险的范围。其中一些依赖项没有记录，或者在专有软件中使用，则完全隐藏。

最后，许可是汽车软件的潜在雷区。开源不一定可以在商业产品中免费使用，或者如果是，在产品中重新分发可能具有您需要满足的法律要求。包含第三方软件的设备正在重新分发其中使用的任何源代码或二进制文件，这是开源的独特用例。如果不能正确管理所有第三方源和二进制文件的许可证，则存在重大的法律风险。

管理开源软件的风险

正如物料清单 （BOM） 有助于管理汽车生产中的物理库存一样，管理采购软件的质量和安全性需要从软件 BOM（SBOM）开始。

表面免疫机如何帮助管理风险？

实施软件供应链风险管理计划并使用 SBOM 对于改善最终产品的安全状况至关重要。对于汽车软件开发，这种做法有助于满足行业安全性和合规性要求

SBOM 管理为制造商提供了以下好处：

发现：识别第三方代码和 COTS/第三方软件中的开源组件。检测这些组件中的已知（N 天）和未知（零日）漏洞。这包括隐藏在二级和三级软件提供商的二进制文件中的开源组件。

管理风险：根据对代码/软件的可见性做出更明智的安全决策。遵守安全性、许可和供应商风险合规性要求。

修复：利用可操作的漏洞情报防范网络安全威胁。简化漏洞修复以降低软件风险。

自动化软件供应链安全的目标是深入了解为支持项目目标而购买和部署的产品。需要SBOM和详细的漏洞信息来真正了解车辆中使用的现有软件的安全风险。

借助无需访问源代码即可分析二进制应用程序的新技术，产品安全团队现在可以生成自己的详细SBOM以及高级仪表板，以帮助分析和总结结果。此外，软件漏洞报告对于编目 SBOM 中概述的软件组件中的已知漏洞至关重要。

寻找能够生成人类和机器可读输出的 SBOM 工具，这些输出可以导出并与其他组织共享，并与安全和风险解决方案集成。人类可读的格式应该提供组件和报告漏洞的轻松导航。

汽车行业在车辆中使用的物理部件的质量、可靠性和安全性方面始终需要保持高度警惕。随着越来越多的软件被集成到他们的成品中，制造商不再能够“相信”其产品中的嵌入式代码没有安全漏洞和缺陷。软件供应链风险管理必须成为车辆质量控制的关键支柱。

审核编辑：郭婷