汽车软件供应链中的开源风险

汽车中使用的大多数软件组件都不是由汽车制造商自己甚至顶级供应商直接开发的。软件来自广泛的供应商，包括嵌入式 GUI 框架、中间件、操作系统、导航和电信软件组件等。

这些源软件组件可以是仪表板信息娱乐系统或嵌入式系统（例如整个车辆使用的传感器）的一部分。这种日益增加的复杂性和互操作性导致了供应商之间的软件协作，从而形成了一个同行的合作伙伴网络（例如，福特和谷歌，通用汽车和Lyft）。

由于汽车软件组件是由许多不同的供应商创建的，因此其中很大一部分包含开源。就像现在的任何软件一样，开源是生活中的事实。事实上，Android是汽车主机的流行平台，它建立在Linux之上。其他例子是Genivi Alliance和Automotive Grade Linux，这是专门用于汽车应用的开源平台。

据估计，2018年开源在汽车软件堆栈中的比例约为50-70%。2021 年 66 月的另一次演讲将这一数字定为约 <>%，无论开源是否直接或间接用于其他专有第三方组件。

不“重新发明轮子”的生产力优势是显而易见的。免费和开源软件通常质量很好，并提供显着的好处，尤其是在用于整个子系统时。但是，安全性和质量因软件来源而异。在大多数情况下，您不确定重复使用的组件是否安全且高质量，因此必须采取措施来减轻这种风险。

开源组件的不安全版本是汽车软件中常见的安全漏洞。在某些情况下，漏洞已被识别和修补，但车辆中使用的组件尚未更新。

开源组件或包含漏洞的组件缺乏更新也是汽车制造商面临的挑战。尽管在汽车中修补软件可能很困难，但确保软件供应链也跟上要求成为一项复杂的任务。有时更新不会到来，因为作者甚至可能不知道开源。

开源组件中隐藏的依赖关系是另一个关键的安全问题。开源依赖于其他依赖项来运行是很常见的。依赖关系增加了安全风险的范围。其中一些依赖项没有记录在案，或者如果在专有软件中使用，则完全隐藏。

最后，许可是汽车软件的潜在雷区。开源不一定可以在商业产品中免费使用，或者如果是，产品中的重新分发可能需要满足法律要求。包含第三方软件的设备正在重新分发其中使用的任何源代码或二进制文件，这是开源的独特用例。未正确管理所使用的所有第三方源和二进制文件的许可证存在重大法律风险。

管理开源软件的风险

正如物料清单 （BOM） 有助于管理汽车生产中的实物库存一样，管理采购软件的质量和安全性需要从软件 BOM – SBOM 开始。

SBOM 如何帮助管理风险？

实施软件供应链风险管理计划和使用 SBOM 对于改善最终产品的安全状况至关重要。对于汽车软件开发，此实践有助于满足行业安全性和合规性要求

SBOM 管理为制造商提供以下好处：

发现：识别第三方代码和 COTS/第三方软件中的开源组件。检测这些组件中的已知（N 天）和未知（零天）漏洞。这包括隐藏在第二层和第三层软件提供商的二进制文件中的开源组件。

管理风险：根据对代码/软件的可见性做出更明智的安全决策。遵守安全、许可和供应商风险合规性要求。

修正：利用可操作的漏洞情报防范网络安全威胁。简化漏洞修复以降低软件风险。

自动化软件供应链安全的目标是深入了解为支持项目目标而购买和部署的产品。需要SBOM和详细的漏洞信息来真正了解车辆中使用的现有软件的安全风险。

借助无需访问源代码即可分析二进制应用程序的新技术，产品安全团队现在可以生成自己的详细 SBOM 以及高级仪表板，以帮助分析和总结结果。此外，软件漏洞报告对于对 SBOM 中概述的软件组件中的已知漏洞进行编目至关重要。

寻找能够生成人工和机器可读输出的 SBOM 工具，这些输出可以导出并与其他组织共享，并与安全和风险解决方案集成。人类可读的格式应提供组件和报告的漏洞的轻松导航。

汽车行业在车辆中使用的物理部件的质量、可靠性和安全性方面始终需要保持高度警惕。随着越来越多的软件被集成到他们的成品中，制造商不再“相信”他们产品中的嵌入式代码没有安全漏洞和缺陷。软件供应链风险管理必须是车辆质量控制的关键支柱。

审核编辑：郭婷