汽车密码新国标公开征求意见：防止固件、引导程序、操作系统或关键应用软件被非法篡改、替换或伪造后运行

工信部装备工业一司 8 月 21 日发布公告，公开征求《汽车密码应用技术要求》强制性国家标准的意见。

征求意见稿编制说明提到，我国已成为全球最大的智能网联汽车市场，L2 级及以上辅助驾驶功能正加速普及，L3 级自动驾驶开启商业化试点，单车代码量突破十亿级，车载通信涵盖 V2V、V2I、V2N 等多种复杂场景，数据采集、传输、存储、处理全链路面临前所未有的安全挑战。近年来，针对智能网联汽车的网络攻击事件频发，远程控车、数据窃取、系统篡改等安全风险已从理论验证演进为现实威胁，涉及人身安全、公共安全乃至国家安全的连锁风险不容忽视。

密码技术是实现身份认证、数据加密、完整性保护和抗抵赖性的核心技术手段，能够在整车层面构建起“进不来、拿不走、看不懂、改不了、走不脱”的内生防御体系。然而，当前汽车行业密码应用仍存在顶层设计不足、技术要求分散、实施规范缺失等突出问题。

填补汽车密码应用强制性技术标准空白，解决汽车密码应用面临三方面突出矛盾。矛盾如下：

• • 一是密码算法与密码模块的选用缺乏统一、强制的技术要求，部分产品使用非标准密码算法或密码模块不合规，存在安全隐患；

• • 二是车载密码应用场景覆盖不全，从安全启动到车云通信、远程控制等关键环节，密码技术应用的深度和广度参差不齐，缺乏系统性规范；

• • 三是密码管理与密钥全生命周期安全保障能力薄弱，密钥生成、存储、分发、使用、销毁等环节存在安全盲区。

注意到，征求意见稿要求车辆制造商不得使用未经标准化验证或未经主管部门认可的自研算法、私有算法。应根据不同密码算法和业务场景，选择适当的参数和选项。

此外，车辆需通过密码技术确保车辆在上电或重启过程中加载的软件组件真实、完整、可信，防止固件、引导程序、操作系统或关键应用软件被非法篡改、替换或伪造后运行。

车辆制造商围绕关键系统建立从底层固件到上层应用的逐级可信启动链，对启动阶段的关键组件进行逐层安全校验，并结合可信根、密钥或证书管理、签名验证、完整性校验等机制保证校验依据本身可信。同时，安全启动机制还应与远程控制、OTA 升级、自动驾驶数据记录以及经风险评估识别后确需安全启动保护的关键系统等业务场景相衔接，在校验失败时能够采取阻止加载、进入安全状态、告警、恢复或回退至可信版本等处置措施，避免车辆在不可信软件环境下继续运行。

在线接收的升级包、依赖车载软件升级系统执行的离线升级包，以及在公开终端下载、无安全通道拷贝等非可信环境下获取的离线升级包均应在执行或加载前采用数字签名、消息鉴别码等密码技术进行真实性和完整性验证，同时通过禁止明文导出等措施防止密钥泄露。

车辆制造商在第三方应用授权、接入、调用和数据交互过程中，采用基于公钥密码算法的数字签名或基于对称密码算法的消息鉴别码等密码机制，对第三方应用的真实身份及交互数据的完整性进行验证，应覆盖应用接口调用请求、关键业务指令、数据传输内容等关键环节，并与密钥管理、权限控制、访问控制和异常处置等结合，确保只有经过授权且未被篡改的第三方应用才能访问相应车辆资源。