汽车关键零部件信息安全测评

依据GB/T 18336.2-2015 《信息技术安全技术信息技术安全性评估准则第2部分：安全功能组件》、CSAE 101-2018《智能网联汽车车载端信息安全技术要求》、T/CSAE 252-2022《智能网联汽车车载端信息安全测试规程》、GB/T 40857-2021《汽车网关信息安全技术要求及试验方法》、GB/T40856-2021《车载信息交互系统信息安全技术要求及试验方法》等相关标准规范。

整车信息安全测评

依据《中华人民共和国网络安全法》、《中华人民共和国数据安全法》、《中华人民共和国个人信息保护法》、《工业和信息化部关于加强智能网联汽车生产企业及产品准入管理的意见》、UN Regulation No. 155 Uniform provisions  concerning the approval of vehicles with regards to cyber security and cyber security management system、ISO/SAE-21434《道路车辆 信息安全工程》、20214423-Q-339 国家标准《汽车软件升级通用技术要求》、GB/T 40861-2021《汽车信息安全通用技术要求》、GB/T 40857-2021《汽车网关信息安全技术要求及试验方法》、GB/T40856-2021《车载信息交互系统信息安全技术要求及试验方法》等相关法规和标准规范对整车信息安全进行测试。

整车信息安全测评指标包括车外网络安全、车内网络安全、OTA升级安全和车内系统安全。其中车外网络安全测试主要包括C-V2X安全、蓝牙安全、无线钥匙安全、WI-FI安全、GPS/GNSS安全等方面的测试；车内网络安全测试主要包括车载信息交互系统安全、传感器安全、车载网关安全、ECUs安全、TBOX安全等方面的测试；OTA升级安全测试主要包括软件管理体系、车辆要求等方面的测试；车内网络安全测试主要包括CAN/LIN/FlexRay/MOST总线安全、车载以太网安全等方面的测试。

V2X安全测评

V2X通信安全检测服务包括云平台通信安全检测服务、OBU通信安全检查服务、RSU通信安全检查服务、整车通信安全检查服务。

（1）云平台通信安全检测服务：包括X.509 PKI证书测试、V2X安全证书测试、平台等级保护测试

（2）OBU/RSU通信安全检测服务：为整车企业的智能联网汽车中的OBU/RSU提供通信安全检测服务，对C-V2X的通信协议安全进行检测。OBU/RSU通信安全测试包括V2X基础通信、V2X业务交互、V2X证书管理、OBU/RSU系统策略。
（3）整车通信安全检测服务：为整车企业的智能联网汽车提供通信安全检测服务，对C-V2X的通信协议安全进行检测。整车通信安全测试包括基于整车应用场景的V2X基础通信、V2X业务交互、V2X证书管理、整车系统策略。

V2X通信安全检测测试指标包括：安全信息版本号信息测试、签名方式测试、数字证书版本号信息测试、数字证书签发者信息测试、假名证书主题信息测试、应用数字证书主题信息测试、数字证书主题属性信息测试、假名证书有效性限定信息测试、应用证书有效性限定信息测试、数字证书签名信息测试、待签数据头信息测试、待签数据内容测试、安全消息签名信息测试、签名证书父子正式一致性测试、签名证书证书链测试、DUT延签SPDU测试、安全消息验证测试。

V2X性能测试通过构建虚拟交通环境和车辆，结合路测端真实 RSU设备，模拟接收和广播 V2X 消息，对测试场道路上的实车进行仿真测试，触发被测车辆的真实预警功能，达到预期的场景安全测试目标，可以发现和定位潜在安全问题，测试指标包括：整车OBU预警不灵敏、算法定位偏差等。

V2X预警功能测试通过构建虚拟交通环境和车辆，结合路测端真实 RSU设备，模拟接收和广播 V2X 消息，对测试场道路上的实车进行仿真测试，触发被测车辆的真实预警功能，达到预期的场景安全测试目标，可以发现和定位潜在安全问题，测试指标包括：整车OBU预警不灵敏、算法定位偏差等。

电动汽车通信协议及数据格式一致性及安全测评

主要对车载系统管理平台，即中心管理服务器集群基于车载终端采集上传的数据进行测试和车载终端用于车内外音视频、位置、报警、油耗、里程、CAN等信息数据的采集与上传进行通信协议及数据格式一致性及安全性测试。

源代码安全测评

源代码安全测试的主要内容包括OWASP WEB TOP 10漏洞、WEB应用程序的权限架构、WEB应用通信安全、数据库的配置规范SQL语句的编写规范、WEB应用框架安全性等。

测评指标包括输入校验与表示、API滥用、安全特性、时间和状态、错误处理、代码质量、代码封装、环境配置。