密碼守護安全 | ⑤ 汽車數據安全的核心保護技術
8月23日，推薦性國家標準GB/T 44464-2024《汽車數據通用要求》批準發布，該標準詳細規定了汽車處理個人信息和重要數據的一般要求，對個人信息保護的要求，對于重要數據在收集、存儲、使用、傳輸、處理等各個環節中的保護要求以及審核評估及試驗要求等。密碼技術的加密、認證、完整性校驗等手段，可以有效防止數據泄露、篡改和未授權訪問，構筑起堅實的安全防線。本期內容，我們將從密碼技術的角度解讀GB 44464—2024《汽車數據通用要求》，以期對行業同仁有所幫助。
一、標準對使用密碼技術保護數據安全提出了要求
標準明確規定車輛在個人信息和重要數據的存儲、傳輸和使用過程中，必須采用安全訪問技術、加密技術等措施，確保敏感信息和重要數據不被非授權訪問、獲取、刪除或修改，同時強化數據傳輸的保密性，以全面保障車輛數據的安全性和隱私保護。
圖 1 標準架構圖
01 個人信息存儲與傳輸
存儲:車輛應采取安全訪問技術、加密技術或其他安全技術保護存儲在車內的敏感個人信息，防止其被非授權訪問和獲取。車輛應采取安全防御機制保護存儲在車內的VIN、等用于車輛身份識別的數據，防止其被非授權刪除和修改。
傳輸:車輛應對向車外發送的敏感個人信息實施保密性保護措施。
02 重要數據存儲、使用和傳輸
存儲：車輛應采取安全訪問技術、加密技術或其他安全技術保護存儲在車內的重要數據，防止其被非授權訪問和獲取。
使用:使用重要數據時，汽車數據處理者應采取訪問控制措施，防止非授權訪問存儲都的重要數據。
傳輸:車輛應對向車外發送的重要數據實施保密性保護措施。
二、密碼是保證車輛數據安全的關鍵保護手段
01 加密技術是車輛數據安全的基礎
無論是車內存儲的敏感個人信息，還是通過車外傳輸的重要數據，均需要采用合適的加密算法（如對稱加密的SM4、非對稱加密的SM2）進行加密處理。通過加密，數據被轉換為密文，即使被攔截，也難以在未經授權的情況下解密和使用。特別是在車輛與外部設備進行數據交互時，端到端的加密通信保障了數據在傳輸中的保密性，防止敏感數據被截獲和解析。
圖 2 SM4加密過程示意圖（圖片來源于網絡）
02 身份認證和訪問控制技術確保了車輛數據只能由授權用戶或系統訪問
通過多因素認證（如密碼、智能卡和生物識別技術）與基于角色的訪問控制（RBAC）相結合，車輛系統可以有效防止未經授權的人員獲取敏感數據。同時，訪問控制的細粒度設置確保不同角色只能訪問與其權限相關的特定數據，進一步降低了數據泄露的風險。
圖 3 基于角色的訪問控制示意圖
03 數字簽名和完整性校驗技術為數據傳輸中的完整性提供了重要保障
通過使用密碼學中的雜湊算法（如SM3）生成數據摘要，并結合數字簽名技術，車輛數據處理者能夠確保數據在傳輸和存儲過程中未被篡改。任何對數據的修改都會導致校驗失敗，從而及時發現潛在的安全問題。這種技術特別適用于車與車、車與云端之間的高頻數據交互，確保通信過程的可靠性。
圖 4 SM3一輪雜湊過程（圖片來源于網絡）
04 安全通信協議在車輛數據傳輸中發揮著關鍵作用
TLS/SSL安全通信協議通過加密數據傳輸，確保車輛與外部系統（如云端服務器、移動設備）的通信安全。這些協議能夠防止中間人攻擊、數據截獲和篡改，從而保障通信雙方的數據隱私和完整性。此外，在智能網聯汽車領域中的車輛間通信中，通過端到端的密碼技術，可以確保車輛在與其他車輛、基礎設施或行人設備進行數據交互時，數據不被非法竊取或篡改，為車輛通信的安全性提供了強有力的技術支持。
三、影響與意義
鮑越
中汽研科技 技術專家
中汽研科技有限公司（簡稱“中汽研科技”）密碼技術專家鮑越表示，隨著智能網聯汽車技術的快速發展，汽車數據安全受到社會各界的廣泛關注。密碼學作為保護車輛數據安全的關鍵技術，其在確保車輛數據的機密性、完整性和真實性方面發揮著至關重要的作用。為了應對日益復雜的網絡攻擊和數據泄露風險，需要不斷推動密碼技術在整車上的研究和應用。
結語
中汽研科技下屬的中汽研軟件測評（天津）有限公司（簡稱“軟件測評中心”）已獲批國家密碼管理局頒發的商用密碼檢測機構資質證書，可面向整車及密碼產品企業在數據安全密碼保護方面提供相關咨詢與測試服務。未來，軟件測評中心將持續拓展密碼檢測新能力，為企業提供車聯網數據安全保護的整體解決方案，助力企業為消費者提供更加安全可靠的汽車產品。
專家介紹
鮑越
中汽研科技 技術專家
主要研究方向為汽車密碼檢測認證技術，牽頭及參與制定《汽車密碼應用技術要求》等標準3項，制定國內首個汽車整車可信安全認證規程、汽車車載可信安全模塊認證規程，參與國家和省部級級課題8項，試點示范4項，發表汽車密碼相關高水平論文3篇，授權發明專利1篇，入選工業和信息化領域商用密碼應用典型建設方案2項。