当以色列 REE Automotive 设计其 P7 电动汽车底盘时，它是从软件开始工作的：扁平的车辆底盘完全可配置，每个轮胎附近有四个独立的模块，用于转向、制动、悬架和动力传动系统，每个模块均由电子驱动控制单元（ECU）可通过软件定制。

它具有线控驾驶、线控转向和线控制动以及数据收集即服务的功能，使该公司能够根据客户的应用定制车辆，但也有可能使该平台成为黑客的攻击目标。

该汽车技术公司的首席信息安全官表示，确保车队安全是一项重大工作，需要设计和开发团队、工厂车间以及联网车辆本身的网络安全。网络安全团队不仅要监控网络威胁，还要管理供应链、工厂运营技术（OT）以及用于监控和更新平台的车辆网络的安全。

担忧基本上分为两部分：我们的网络（支持平台的创建），但这还不够。 我们需要弄清楚威胁是什么，并通过我们的 SOC 对每辆车进行全天监控。

然而，此类安全工作还面临另一个挑战：“维修权”努力的成功开放了各种消费者和企业技术，允许客户修复他们购买的设备。例如，马萨诸塞州通过的一项法律要求汽车制造商和汽车技术制造商共享车辆产生的信息和数据，以便消费者和第三方能够维护、修理甚至改装他们的车辆。

虽然国家公路交通安全管理局 (NHTSA)最初裁定现有的联邦安全法规优先于法律 - 称“联邦法律不允许制造商销售其明知存在安全缺陷的车辆” - 州和联邦各国政府最终就实施达成了协议：监管机构裁定，汽车制造商将被要求向第三方提供在其拥有的车辆上本地访问数据和系统的能力，但远程诊断和更新网络可以保持关闭。

电动汽车带来巨大的灵活性和风险

该协议是否会帮助拥有大量车辆（尤其是电动汽车）的公司仍然是一个悬而未决的问题。软件定义汽车真正随着电动汽车的发展而腾飞，特斯拉的成功例子，最重要的基于软件的功能可能仍将保留在电动汽车上。

汽车供应链咨询公司表示，电动汽车制造商可以使用软件从初始设计开始构建自己的平台，这些软件可以更新以改变车辆的配置和性能，直至部署及其他阶段。

有效、快速响应网络安全事件的能力可能仍属于这些制造商，而不是第三方。

如果存在真正关键的零日漏洞，并且需要尽快修补，那么（汽车制造商的）产品网络安全团队就会主持这场演出，协调整个企业的利益相关者，并加快修补问题的时间表。今天这不是一个容易的过程，这是肯定的。

然而，一些制造商可能会将网络安全功能外包。联合国通过了一项产品安全修正案，要求联合国欧洲经济委员会成员国对车辆中使用的网络安全管理系统进行监管批准。

连接只会增长

车辆联网已有数十年历史，无论是作为车载维护系统还是驾驶员辅助系统的一部分。然而，软件定义的车辆已经扩展了这种连接性，例如通过智能手机应用程序远程启动以及跟踪消费者的有限诊断，本质上将汽车变成了物联网（IoT）设备。随着汽车制造商通过 API 提供更多的可访问性，更多的风险也会随之而来。

向生态系统开放可能带来最大的风险，”她指出特斯拉汽车的各种网络安全黑客攻击。 当原始设备制造商开始向其他第三方应用程序开放 API，这些应用程序现在可以向您的车辆发送命令时，会发生什么？……车辆正在成为技术中心。

允许公司访问其中一些数据以进行车队管理可能就足够了，而马萨诸塞州维修权法中的协议允许一些第三方提供车辆维修服务，尽管成本可能很高。随着 SDV 创新步伐放缓，这些限制未来是否会得到改善还有待观察。

对于 NHTSA 和汽车制造商来说，提出一些警告是公平的，但话虽如此，有一种安全的方式来共享诊断信息，并且软件定义的车辆实际上提供了一种通过这些安全通道来实现这一点的方法。

网络攻击大多数情况下不太可能造成灾难性的

汽车制造商最近对网络安全的关注在过去十年中带来了更加安全的平台。但奥勒表示，未来的重点需要放在提供安全保障上，同时为客户提供更高的透明度。随着企业客户和个人车主要求其设备具有更高的可维护性和可重用性，汽车制造商也需要跟进。

设计得当的平台还可以大大降低广泛网络攻击的风险。该公司已经为一些制造商处理威胁情报和事件响应，大多数事件与安全无关，但根据该公司的“ 2024 年汽车网络安全报告”，该公司确实将所有事件的一半归类为大规模或高严重性。

我们看到的绝大多数事件并不一定会危及安全，因为需要有一个理由来危及你的安全，而攻击者不会那样做，他们是为了赚钱。相反，该公司发现了很多针对可用性的攻击。他们操纵应用程序，让你无法在早上启动卡车或进入卡车。它可能是勒索软件，也可能是其他形式，但可用性和车队是必须讨论的问题。

其他攻击还利用叫车应用程序造成莫斯科交通拥堵，以及攻击远程启动应用程序。这些可用性问题与诊断系统（例如维修权所需的信息）关系不大，而与管理系统关系更大。