一、攻击面从接线口搬到了网络上

传统认知里，汽车网络安全就是守好 OBD 诊断口、JTAG 调试口——毕竟攻击者得物理接触车辆。但今天的车联网让这件事变了：4S 店远程诊断、厂家 OTA 升级、车云数据回传，都是长期在线的网络通道。攻击者不用摸到车，只要拿下远程诊断服务器或伪造 OTA 包，就能远程注入恶意固件。

GB 44495-2024、UNECE R155 等法规之所以把"软件升级安全""整车信息安全"单列，正是看到了这个变化。

二、远程通道要验什么

远程场景和车间烧录本质一样，都是"谁来发起、是否被授权、固件是否正版"，只是通道在网络上：

• 诊断接入认证：远程诊断仪的身份必须由密钥管理系统鉴权，不能凭一个长期有效的账号密码就放行；
• OTA 包签名验证：下发的升级固件必须经过 HSM 签名，ECU 端验签通过才执行，杜绝伪造升级包；
• 通道隔离：产线诊断、售后诊断、远程诊断分配不同密钥，权限边界清晰；
• 可远程吊销：疑似泄露的诊断密钥能在线吊销，快速止血。

三、和物理接口防护是一套体系

远程通道和 OBD / JTAG 防护不是两套东西，而是同一个密钥管理平台的两种"接入姿势"：物理接口靠调试端口密码保护，远程通道靠诊断密钥与 OTA 签名。底层都依赖"密钥在 HSM、签名在 HSM、审计在平台"。

四、方案参考

以安当 CAS 为例，其诊断接入安全与固件签名服务均由 HSM 提供硬件级密钥支撑，诊断密钥可按产线 / 售后 / 远程渠道独立分配并支持远程吊销，OTA 固件通过 API 提交后由 HSM 完成签名。车企在规划车云安全时，建议把"远程诊断鉴权 + OTA 签名验签 + 渠道隔离 + 密钥可吊销"作为远程通道的标配，不要等一次伪造升级事件发生后才补这道门。