无人驾驶装备示范应用技术规范 第4部分：信息安全要求及试验方法

Q/LB.□XXXXX-XXXX目次TOC\o"1-1"\h\t"标准文件_一级条标题,2,标准文件_二级条标题,3,标准文件_附录一级条标题,2,标准文件_附录二级条标题,3,"前言 II1范围 12规范性引用文件 13术语、定义和缩略语 14试验项目 25信息安全要求及试验方法 25.1操作系统安全 25.1.1操作系统安全技术要求 25.1.2操作系统安全试验方法 35.2OTA升级安全 45.2.1OTA升级安全技术要求 45.2.2OTA升级安全试验方法 45.3软件安全 45.3.1软件安全技术要求 45.3.2软件安全试验方法 55.4数据安全 55.4.1数据安全技术要求 55.4.2数据安全试验方法 55.5通信安全 65.5.1通信安全技术要求 65.5.2通信安全试验方法 6前言本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。T/CIVEE***-2024《无人驾驶装备示范应用技术规范》分为以下5个部分：——第1部分T/CIVEE***-2024：术语与分类——第2部分T/CIVEE***-2024：安全技术要求及试验方法——第3部分T/CIVEE***-2024：自动驾驶要求及试验方法——第4部分T/CIVEE***-2024：信息安全要求及试验方法——第5部分T/CIVEE***-2024：安全监管要求本文件由××××提出。本文件由广州市智能网联汽车电子产业发展促进会归口。本文件起草单位：工业和信息化部电子第五研究所、、、、等本文件主要起草人：无人驾驶装备示范应用技术规范第4部分：信息安全要求及试验方法范围本文件规定了无人驾驶装备的信息安全要求及试验方法。本文件适用于在公共道路开展物流配送、巡检、零售、环卫等业务的无人驾驶装备，其他特定区域上路的无人驾驶装备可参考使用。规范性引用文件下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。GB/T25069-2010信息安全技术术语GB/T35273-2017信息安全技术个人信息安全规范GB/T18336-2015信息技术安全技术信息技术安全性评估准则YD/T3746-2020信息服务用户个人信息保护要求YD/T3750-2020无线通信安全技术指南YD/T3751-2020信息服务数据安全技术要求YD/T3752-2020信息服务平台安全防护技术要求YD/T3957-2021基于LTE的无线通信技术安全证书管理系统技术要求术语、定义和缩略语下列术语和定义适用于本文件。术语和定义最小权限原则principleofleastprivilege要求计算环境中的特定抽象层的每个模块如进程、用户或者计算机程序只能访问当下所必需的信息或者资源。它赋予每一个合法动作最小的权限，就是为了保护数据以及功能避免受到错误或者恶意行为的破坏。数字签名digitalsignature数字签名是只有信息的发送者才能产生的别人无法伪造的一段数字串，这段数字串同时也是对信息的发送者发送信息真实性的一个有效证明。保证数据来源的真实性和和完整性，防止数据被第三方伪造，保护发送者。端口port设备与外界通信交流的出口，本文特指TCP/IP协议中的端口，是逻辑意义上的端口。调试接口debuginterface分为有线外部接口和无线外部接口。有线外部接口包括USB接口、SD卡接口等，无线外部接口包括蓝牙接口、WLAN接口等。终端terminal安装在设备上，采集及保存整机及系统部件的关键状态参数并发送到平台的装置或系统。CANControlAreaNetwork控制器局域网总线，一种用于实时应用的串行通讯协议总线。敏感数据sensitivedata一旦泄露或者非法使用，可能导致车主、驾驶人、乘车人、车外人员等受到歧视或者人身、财产安全受到严重危害的个人数据。 缩略语以下缩略语适用于本文件。CNVD：国家信息安全漏洞共享平台（ChinaNationalVulnerabilityDatabase）CNNVD：中国国家信息安全漏洞库（ChinaNationalVulnerabilityDatabaseofInformationSecurity）试验项目无人驾驶装备试验项目如表1所示。序号试验项目操作系统安全OTA升级安全软件安全数据安全通信安全信息安全要求及试验方法操作系统安全操作系统安全技术要求端口与服务安全操作系统提供的端口与服务安全要求如下：基于端口开放最小化原则，默认关闭不是系统业务所必需的其他端口；操作系统按照模块最小化裁剪，仅保留必须的模块。漏洞与缺陷管理安全漏洞与缺陷管理安全要求如下：系统应不包含有CNVD与CNNVD6个月前公布的高危及以上的漏洞；预装软件、补丁包/升级包应不包含恶意程序。系统与固件升级安全系统与固件升级安全要求如下：设备应支持固件和系统远程升级；应对升级包的来源和完整性进行校验，包括验证升级包的哈希值、文件大小、版本号和签名；当发生更新失败时，设备能回退到原来的版本，可以正常启动；提供系统升级的日志记录，确保异常升级时可以溯源；升级包文件应做防篡改或其他合适的加密处理，防止不法分子窃取更新包导致源码泄露；升级包应采用加密通道传输。操作系统安全试验方法端口与服务安全试验试验步骤：无人驾驶装备处于正常运行状态。通过数据包嗅探、修改和重放等分析手段检查如下内容：基于端口开放最小化原则，是否默认关闭不是系统业务所必需的其他端口；操作系统是否按照模块最小化裁剪仅保留必须的模块。结果若符合端口与服务安全要求的要求，判定为符合，其他情况判定为不符合。漏洞与缺陷管理安全试验试验步骤：无人驾驶装备处于正常运行状态。通过漏洞扫描等分析手段检查如下内容：系统是否不包含有CNVD与CNNVD6个月前公布的高危及以上的漏洞；预装软件、补丁包/升级包是否不包含恶意程序。结果若符合漏洞与缺陷管理安全技术要求的要求，判定为符合，其他情况判定为不符合。系统与固件升级安全试验试验步骤：无人驾驶装备处于正常运行状态。通过漏洞扫描等分析手段检查如下内容：设备是否支持固件和系统远程升级；是否对升级包的来源和完整性进行校验，包括验证升级包的哈希值、文件大小、版本号和签名；当发生更新失败时，设备是否能回退到原来的版本，可以正常启动；是否提供系统升级的日志记录，确保异常升级时可以溯源；升级包文件是否做防篡改或其他合适的加密处理，防止不法分子窃取更新包导致源码泄露；升级包是否采用加密通道传输。结果若符合系统与固件升级安全试验技术要求的要求，判定为符合，其他情况判定为不符合。OTA升级安全OTA升级安全技术要求若无人驾驶装备支持OTA升级功能，应满足如下要求：应在非工作状态下方可进行OTA升级，OTA升级应全程可控。未完成升级的情况下，可自动回溯到前一版本。车端进行OTA升级时，车端OTAClient和云端OTA服务器之间应采用双向认证。升级包的传输应采用加密措施。车端OTAClient接收升级包后，应对升级包的数字签名信息进行验证，校验升级包的完整性。车端OTAClient对数据包解压后进行升级包对分发，OTA升级过程，需要详细的日志记录和过成监控。车端零部件OTA升级完毕，OTAClient需要收集OTA后的状态信息，并将状态信息加密上报给云端服务器。OTA升级安全试验方法按如下步骤开展检测：检查是否在非工作状态下方可进行OTA升级，OTA升级应全程可控。未完成升级的情况下，可自动回溯到前一版本。采用网络抓包工具进行抓包，通过汽车信息安全评估工具箱解析通信报文数据，检查被测无人驾驶装备车端OTAClient和云端OTA服务器之间是否采用双向认证。采用网络抓包工具进行抓包，通过汽车信息安全评估工具箱解析通信报文数据，检查被测无人驾驶装备升级包的传输是否采用加密措施。通过无人驾驶装备信息安全风险评估工具，对升级包进行篡改，检查被测无人驾驶装备是否成功升级。检查被测无人驾驶装备车端OTAClient对数据包解压后进行升级包对分发，OTA升级过程，是否记录详细的日志记录和过成监控。检查被测无人驾驶装备是否OTA升级状态信息加密上报给云端服务器。软件安全软件安全技术要求预置应用软件的安全预置应用软件安全应满足如下要求：预置的应用软件应进行加固处理，防止反编译、二次打包，反调试等；预置的应用软件权限遵循最小权限原则；预置的应用软件不应存在后门等隐藏接口；预置的应用软件应不包含有CNVD与CNNVD6个月前公布的高危及以上漏洞。应用软件的更新安全应用软件的更新安全如下：预置应用软件进行更新时，应对应用软件更新包进行版本号、哈希值、签名和文件大小校验；进行预置应用软件更新时，应对应用软件更新包进行加密，防止应用更新包被非法获取，导致信息泄露。软件安全试验方法预置应用软件的安全试验试验步骤：无人驾驶装备处于正常运行状态。通过漏洞扫描等分析手段检查如下内容：预置的应用软件是否进行加固处理，防止反编译、二次打包，反调试等；预置的应用软件权限应循最小权限原则；预置的应用软件不应存在后门等隐藏接口；预置的应用软件不应包含有CNVD与CNNVD6个月前公布的高危及以上漏洞。结果若符合预置应用软件的安全技术要求的要求，判定为符合，其他情况判定为不符合。应用软件的更新安全试验试验步骤：无人驾驶装备处于正常运行状态。通过漏洞扫描等分析手段检查如下内容：预置应用软件进行更新时，是否对应用软件更新包进行版本号、哈希值、签名和文件大小校验；进行预置应用软件更新时，是否对应用软件更新包进行加密，防止应用更新包被非法获取，导致信息泄露。结果若符合应用软件的更新安全技术要求的要求，判定为符合，其他情况判定为不符合。数据安全数据安全技术要求数据传输安全数据传输安全要求如下：针对传输数据被恶意篡改的现象，需要对重要数据的传输通道进行加密保护，保证传输过程中数据的完整性；支持传输过程中的身份鉴别和认证。数据存储和使用安全数据存储和使用安全如下：识别用户敏感数据，要求对敏感数据进行加密存储，不能以硬编码的形式存储在终端和零部件中；车载终端的安全重要参数在存储以及使用过程中，应只允许被授权的应用以授权方式读取和修改；应支持数据可用性保障，支持数据备份和恢复的能力。数据删除安全数据删除安全要求如下：在恢复出厂设置时应删除运行的数据和配置文件；在返厂维修时，支持数据被彻底删除的功能，以保证被删除的数据不可再恢复，防止残留的数据信息被泄露或非法获取。数据安全试验方法数据传输安全试验试验步骤：无人驾驶装备处于正常运行状态。通过数据包嗅探、修改和重放等分析手段检查如下内容：针对传输数据被恶意篡改的现象，是否对重要数据的传输通道进行加密保护，保证传输过程中数据的完整性；是否支持传输过程中的身份鉴别和认证。结果若符合数据传输安全技术要求的要求，判定为符合，其他情况判定为不符合。数据存储和使用安全试验试验步骤：无人驾驶装备处于正常运行状态。通过数据包嗅探、修改和重放等分析手段检查如下内容：识别用户敏感数据，是否对敏感数据进行加密存储，是否以硬编码的形式存储在终端和和零部件中；车载终端的安全重要参数在存储以及使用过程中，是否只允许被授权的应用以授权方式读取和修改；是否支持数据可用性保障，支持数据备份和恢复的能力。结果若符合数据存储和使用安全技术要求的要求，判定为符合，其他情况判定为不符合。数据删除安全试验试验步骤：无人驾驶装备处于正常运行状态。通过数据包嗅探、修改和重放等分析手段检查如下内容：在恢复出厂设置时是否删除运行的数据和配置文件；在返厂维修时，是否支持数据被彻底删除的功能，保证被删除的数据不可再恢复，防止残留的数据信息被泄露或非法获取。结果若符合数据删除安全试验技术要求的要求，判定为符合，其他情况判定为不符合。通信安全通信安全技术要求认证机制应具备对通信数据的消息校验和认证机制，防止攻击者伪造、篡改信息。数据传输完整性应采用杂凑密码算法（如SM3）和数字签名算法（如SM2）的检验技术和密码技术保证重要数据在传输和存储过程中的完整性，包括鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。数据传输机密性应采用对称密码算法（如SM4）和数字信封分发对称密钥的方式的检验技术和密码技术保证重要数据在传输和存储过程中的保密性，包括鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。行为抵赖数据传输应具备抵赖性，发送方用自己的私钥对传输的数据进行签名，接收方使用发送方的公钥对签名数据验签，防止发送方对其行为进行抵赖。通信安全试验方法认证机制试验试验步骤：无人驾驶装备处于正常运行状态。通过数据包嗅探