因汽車信息安全問題導致車輛被召回的典型事件發(fā)生在2015年的菲亞特克萊斯勒汽車公司（FCA）身上。在一次信息安全測試，多名信息安全專家利用FCA生產(chǎn)的汽車上拆下來的娛樂主機的聯(lián)網(wǎng)通道以及對外的物理接口，入侵了FCA的云端，并偽造發(fā)送了車輛的遠程控制指令，結(jié)果順利打開了車輛的空調(diào)、儀表、雨刷等模塊。且這類攻擊既可發(fā)生于車輛尚未啟動時，也可發(fā)生于汽車行駛過程中，存在極大的安全風險。隨后，F(xiàn)CA宣布在美國召回140萬輛存在此信息安全風險的轎車和卡車。
處于開放網(wǎng)絡環(huán)境中的汽車面臨的信息安全風險主要來自于車載終端、云服務平臺、通信鏈路和外部生態(tài)等方面。主機廠在經(jīng)歷車聯(lián)網(wǎng)業(yè)務野蠻生長之后，開始越來越重視車聯(lián)網(wǎng)的信息安全，并通過各種手段提升車輛的信息安全防護能力。包括加強車聯(lián)網(wǎng)數(shù)據(jù)在全生命周期的分級分類管理和訪問控制；完善車輛研發(fā)、生產(chǎn)、使用過程中的身份認證體系；搭建多方聯(lián)動、信息共享、實時精準的安全服務平臺等。
國家相關機構作為行業(yè)的監(jiān)管方，也正在逐步建立建全有關網(wǎng)聯(lián)汽車的安全管理體系（國標、行業(yè)規(guī)范），強化汽車行業(yè)對于信息安全的風險防控以及安全防御能力。
本文作為車聯(lián)網(wǎng)圈黑話第五期，通過對車聯(lián)網(wǎng)中典型的車云架構進行剖析，分析潛在的信息安全威脅，并介紹一些通用的信息安全方案。
車聯(lián)網(wǎng)車云業(yè)務整體架構
車聯(lián)網(wǎng)的常用架構為云管端架構，云指云服務平臺，端指車載終端，管指連接云服務平臺與車載終端的通信鏈路，通用的云管端架構方案如下圖所示。
車載終端以內(nèi)置4G/5G通信模塊的TBOX/智能網(wǎng)關為主。對外通過遠程通信技術與云服務平臺進行通信，對內(nèi)通過CAN/LIN/車載以太網(wǎng)與車內(nèi)其他ECU進行通信。從而提供行車數(shù)據(jù)采集、遠程查詢和控制、遠程診斷、遠程升級等服務。
至于連接云服務平臺與車載終端的通信鏈路，公網(wǎng)域與車載終端一般采用HTTPS協(xié)議，私網(wǎng)域與車載終端一般采用TCP/IP協(xié)議。而對接入車輛/設備多的場景可在網(wǎng)絡的應用層采用MQTT協(xié)議。
如同其他涉及云端和設備端的系統(tǒng)，車聯(lián)網(wǎng)云管端架構面臨的信息安全威脅主要包括：云端的被篡改、通信鏈路的監(jiān)聽、車端密鑰的泄露、本地網(wǎng)絡的通信安全等。
云端威脅策略分析
一、服務器安全
汽車領域的云服務平臺與傳統(tǒng)互聯(lián)網(wǎng)領域云平臺類似，容易遭受服務器被入侵的風險，導致敏感數(shù)據(jù)泄露、關鍵指令被篡改，從而損害車主的權益。比如攻擊者通過入侵服務器來篡改車輛遠程控制報文，輕則導致車輛操作異常，重則影響車輛正常行駛，危及用戶的生命安全。
各主機廠一般采用將敏感數(shù)據(jù)和重要服務“關在家中”的手段來保證信息安全。通過專線網(wǎng)絡、身份認證、設置獨立機房專業(yè)運維等措施，阻止非法用戶的訪問。二、服務接口安全
由于微服務架構具有部署靈活，彈性擴容等優(yōu)點，最新搭建的云服務平臺普遍采用以SpringCloud為代表的框架作為開發(fā)的基礎。主機廠部分車聯(lián)網(wǎng)業(yè)務需要獲取用戶、車輛、零件的相關數(shù)據(jù)，并將這些數(shù)據(jù)作為業(yè)務流轉(zhuǎn)的基礎?？缙脚_和跨系統(tǒng)間的數(shù)據(jù)共享和數(shù)據(jù)通信一般通過微服務的Web Service接口方式來實現(xiàn)。
為了驗證發(fā)送方身份，并保證數(shù)據(jù)的完整性，數(shù)據(jù)傳輸接口一般使用HTTPS協(xié)議，來保證發(fā)送方身份的真實性。同時通過定期更換對稱密鑰，對報文加密或增加MAC驗證字段等手段，來驗證數(shù)據(jù)的完整性。主機廠還可以在報文中添加新鮮度字段（如時間戳）等手段，對新鮮度進行管理，以防攻擊者使用相同的數(shù)據(jù)進行重放攻擊。
通信鏈路威脅分析和策略
車聯(lián)網(wǎng)公網(wǎng)域主要承載車端的非敏感文件或日志的上傳/下載、云存儲等業(yè)務，采用HTTPS協(xié)議便能滿足信息安全的需求。然而對于部署敏感數(shù)據(jù)交互和車控功能等業(yè)務的私網(wǎng)域，通信端需要能夠應對更高等級的信息安全威脅。這些威脅包括車載終端被偽造，非法連接云服務平臺；云服務平臺被釣魚；指令或業(yè)務數(shù)據(jù)明文傳輸被截獲，敏感信息泄露；指令或業(yè)務數(shù)據(jù)被截獲篡改，執(zhí)行錯誤請求，造成安全事故等。
在通信鏈路攻擊中，攻擊者可以通過偽基站、DNS劫持等手段劫持會話，竊取車輛的知識產(chǎn)權或敏感數(shù)據(jù)。如在FOTA業(yè)務中監(jiān)聽竊取車輛的升級包，以反向工程ECU固件。
攻擊者還可通過車輛物理接口，篡改云端通信路徑，使用偽造的服務器對車輛實施攻擊。例如執(zhí)行無休止的數(shù)據(jù)攻擊，從而使車端的控制器耗盡其存儲空間，無法進行正常的業(yè)務操作?；蚴强截怲BOX軟件版本至其他設備，偽裝成合法車輛對云服務平臺非法訪問。
通過對上述風險的分析，結(jié)合車聯(lián)網(wǎng)業(yè)務流程涉及車云兩端的頻繁交互，迫切需要為參與車聯(lián)網(wǎng)業(yè)務的核心實體對象（云服務平臺、車載終端等）賦予高強度的身份標識，保證實體對象的唯一性，同時基于各實體對象的身份標識，實現(xiàn)車載終端接入車聯(lián)網(wǎng)服務平臺的雙向高強度身份校驗。
公鑰基礎設施（Public Key Infrastructure， PKI）通過采用非對稱密碼算法技術，提供信息安全服務，是一種通用并遵循標準的密鑰管理平臺。它能夠為所有網(wǎng)絡應用透明地提供采用加密和數(shù)字簽名等密碼服務所必需的密鑰和證書管理。在車聯(lián)網(wǎng)應用中，PKI可為各類實體對象提供身份的可信描述，為對象簽發(fā)統(tǒng)一的數(shù)字身份標識—數(shù)字證書，從而構建可信的網(wǎng)絡虛擬環(huán)境。為實現(xiàn)信息的保密性、完整性，不可抵賴性提供基礎支撐。
PKI子系統(tǒng)之間的邏輯關系如下圖所示。
云端的設備接入網(wǎng)關、車載終端均需由PKI簽發(fā)證書，對于TBOX、AVN等控制器的激活操作，即PKI中的證書簽發(fā)，步驟簡述如下：
步驟1：TBOX產(chǎn)生公私鑰對并構造P10申請（P10中包含證書主題、有效期、公鑰以及上述信息的簽名），將申請發(fā)送至云端；
步驟2：云端證書管理服務接收到請求后，對上傳的信息進行校驗，并將P10和車輛其他信息封裝成PKI識別的證書請求，PKI簽發(fā)證書；
步驟3：云端將簽發(fā)后的PKI證書返回至車端TBOX存儲。
在云端和設備端均激活（證書簽發(fā)）后，通信實體與云端便可基于數(shù)字證書進行通信。
車端威脅分析和策略
HSM（Hardware Security Module，硬件安全模塊）是車端安全方案的基礎支撐，后文將要介紹的兩種車端信息安全策略TrustZone/TEE執(zhí)行環(huán)境和SecOC協(xié)議，也均是基于HSM實現(xiàn)。HSM將算法、密鑰、加密方式等信息寫入無法篡改的硬件模塊中，并處理安全性相關任務包括安全的車載通信、運行時的操作檢測以及安全的啟動、刷新、日志記錄和調(diào)試等。以此來阻止攻擊者通過繞過與安全性相關的ECU接口，獲得對車載網(wǎng)絡的訪問權限。
一、Trustzone/TEE執(zhí)行環(huán)境
TrustZone是ARM A-profile架構中的安全架構。TrustZone將CPU的工作狀態(tài)分為兩種，NWS（Normal World Status，正常世界狀態(tài)）和SWS（Secure World Status，安全世界狀態(tài)）。支持TrustZone技術的芯片提供了對外圍硬件資源的硬件級別的保護和安全隔離。當CPU處于NWS時，任何應用都無法訪問安全硬件設備，也無法訪問屬于SWS的內(nèi)存、緩存以及其他外圍安全硬件設備。它們之間具有系統(tǒng)級別的硬件強制隔離。
一個完整的SoC由ARM內(nèi)核、系統(tǒng)總線、片上RAM、片上ROM以及其他外圍設備組件構成。對于ARM內(nèi)核的控制器，需要支持TrustZone，同時配合相應的組件，才能實現(xiàn)整個系統(tǒng)芯片達到硬件級別的保護和隔離措施。下圖是一個支持TrustZone的SoC的硬件框圖。
實現(xiàn)硬件層面的各種隔離，需要對整個系統(tǒng)的硬件和處理器核做出相應的擴展，包括將CPU內(nèi)核進行虛擬化，將CPU的運行狀態(tài)分為安全狀態(tài)和非安全狀態(tài)；在總線增加安全位讀寫信號線；增加內(nèi)存管理單元（Memory Management Unit，MMU）頁表的安全位；緩存增加安全位；其他外圍組件提供安全操作權限控制和安全操作信號等。
二、SecOC協(xié)議
最近幾年車內(nèi)總線的加密通信受到了越來越多的關注。為了響應汽車行業(yè)對數(shù)據(jù)加密和驗證的需求，AUTOSAR組織補充了SecOC（Secure Onboard Communication）組件，為車載通訊總線引入了一套通信加密和驗證的標準，是車載網(wǎng)絡上一種有效的信息安全方案。
SecOC是在AUTOSAR軟件包中添加的信息安全組件，該模塊增加了加解密運算、密鑰管理、新鮮值管理和分發(fā)等一系列的功能和新要求。SecOC模塊能夠給CAN/CANFD總線上的報文數(shù)據(jù)提供有效可行的身份驗證機制，與當前的AUTOSAR的ARA通信機制集成良好，對資源消耗小。該規(guī)范基于對稱算法的MAC認證。與非對稱算法相比，使用更短的密鑰實現(xiàn)了相同級別的安全性。若通信的控制器之間需要實現(xiàn)SecOC協(xié)議，則發(fā)送和接收控制器都必須集成SecOC模塊。原始報文稱為Authentic I-PDU，SecOC模塊基于原始數(shù)據(jù)和密鑰，使用約定的算法得到MAC值。報文頭、原始報文、新鮮度和MAC組裝后得到Secured I-PDU，結(jié)構如下圖所示。
其次，為了降低重復攻擊的風險，則需要在Secured I-PDU中加入新鮮度值，新鮮度值是一個根據(jù)一定邏輯不斷更新的數(shù)值， AUTOSAR推薦計數(shù)器或基于時間戳生成新鮮度值。OEM在實施 SecOC 方案時需要定義和做好兩個關鍵部分：新鮮度值管理和密鑰管理。下圖為基于SecOC的通訊加密和認證過程。
接收節(jié)點的SecOC模塊通過驗證MAC來判斷原始報文的來源和完整性。新鮮度值驗證該報文是否重復并合法。
總結(jié)
隨著車聯(lián)網(wǎng)技術的發(fā)展，汽車電子架構的革新，自動駕駛量產(chǎn)的推進，汽車在信息安全方面將面臨更多更嚴重的威脅。各主機廠和Tier1需要通過安全防護體系的建立以及持續(xù)性的風險分析和攻防策略優(yōu)化，提升各車聯(lián)網(wǎng)平臺的信息安全能力。
轉(zhuǎn)自十一號組織
