自动驾驶 1000问 · 十 · 第 29 题：OTA 被劫持的后果，怎么防？
来源：Flomo 原始笔记｜查看原笔记｜迁移日期：2026-10-31
自动驾驶 1000问 · 十 · 第 29 题：OTA 被劫持的后果，怎么防？
先看后果：OTA 本质是「远程改代码」，一旦被劫持——
- 可刷入恶意固件，控制刹车、转向、动力，直接变成安全事件。
- 可窃密钥、植后门、长期潜伏。
- 影响面大：一辆车的漏洞能顺着 OTA 通道扩散到整个车队，等于「一次成功攻击 = 召回级」。
攻击面在哪
- 传输链路：云端到车端（TLS 被降级、中间人）。
- 云侧：签名服务器、后台账号被入侵。
- 车端：下载后存储、校验、写入过程被篡改。
- 供应链：第三方固件、开发工具链被投毒。
怎么防（分层）
-
签名与验签（地基）：固件包用厂商私钥签名，车端用公钥验签，验不过不刷。保证来源 + 完整性。
-
加密传输：TLS / HTTPS 保护通道，防中间人。
-
安全启动链（Secure Boot）：验签通过后，固件加载时由 bootloader 再校验一次，和启动信任链衔接，防止「验了却没真正执行」。
-
双向认证 + 证书管理：车端与云端互认身份，证书有生命周期、可吊销。
-
回滚保护：防降级到有已知漏洞的旧版本（anti-rollback），常用单调计数器 / eFuse 实现。
-
密钥与权限保护：私钥放 HSM / 安全芯片；云端签名服务器隔离、最小权限、可审计。
-
灰度 + 可回滚：先小批量、盯异常，出问题能回滚，压小影响面。
-
供应链安全：SBOM、来源可信、工具链防护。
关键理解
- OTA 的信任根在「签名密钥」和「安全启动」，这两个破了，其他都是摆设。
- 防的是端到端：云侧签名服务器 → 车端验签 → 安全启动 → 回滚保护，哪一环松都等于没有。
- 它和 SecOC 一样，是纵深防御里的一层，要配网关、IDS、域隔离。
一句话：OTA 被劫持等于把方向盘交给攻击者；防线是「签名验签（地基）→ 加密通道 → 安全启动 → 密钥保护 → 回滚防护 → 灰度可回滚」，哪一环都不能松。
📎 导航：https://v.flomoapp.com/mine/?memo_id=MjU2MDMwMzA0