3. AP安全機(jī)制介紹
AP上的重要特征是軟件服務(wù)化，軟件服務(wù)化導(dǎo)致組件之間的通信是動(dòng)態(tài)的，組件可以根據(jù)需要?jiǎng)討B(tài)訂閱或者取消其他組件提供 服務(wù)。另外一個(gè)特征是較多的不同信任級(jí)別的服務(wù)運(yùn)行在相同的芯片里，這就要求芯片具有很強(qiáng)的隔離能力。AUTOSAR自適應(yīng)平臺(tái)使動(dòng)態(tài)適應(yīng)應(yīng)用軟件成為可能，并使用AUTOSAR Runtime for Adaptive Applications (ARA)接口與基于posix的操作系統(tǒng)(如Linux)建立連接(圖9)。為了確保來自不同廠商和不同ASIL類別的軟件在VC（vehicle computers）上安全運(yùn)行，管理程序用于預(yù)配置分區(qū)。
圖9:AUTOSAR Classic支持具有固定實(shí)時(shí)需求的系統(tǒng)，而AUTOSAR Adaptive將自己作為動(dòng)態(tài)應(yīng)用程序的標(biāo)準(zhǔn)
Source:https://www.etas.com/download-centerfiles/DLC_realtimes/RT_2021_EN_18.pdf
3.1 AP安全機(jī)制簡介
-
網(wǎng)絡(luò)安全管理
智能互聯(lián)汽車無法通過單獨(dú)的措施來確保安全，而只能通過基于整個(gè)車輛架構(gòu)風(fēng)險(xiǎn)分析的集成概念來實(shí)現(xiàn)。這些概念必須分解為各個(gè)組件、ECU 及其邏輯分區(qū)的安全要求。因此，AUTOSAR Adaptive 具有一組集成的基本安全功能，開發(fā)人員可以使用這些功能來滿足聯(lián)網(wǎng)自動(dòng)車輛系統(tǒng)不斷變化的定量和定性保護(hù)要求。鑒于分布式、基于軟件的 E/E 架構(gòu)會(huì)在實(shí)時(shí)條件下增加數(shù)據(jù)負(fù)載，因此必須設(shè)計(jì)安全措施以提高性能。這就是為什么將以下安全功能集成到 AUTOSAR Adaptive 中的原因（圖 10）
圖片來源：https://www.etas.com/download-centerfiles/DLC_realtimes/RT_2021_EN_18.pdf
AUTOSAR Adaptive 中的安全組件
-
用于管理密鑰材料和訪問加密原語的加密堆棧
-
通過 TLS 和 IPSec 進(jìn)行安全通信
-
敏感資源的訪問保護(hù)（例如，通過身份和訪問管理模塊的密鑰
-
從單個(gè)應(yīng)用程序到完整平臺(tái)的所有內(nèi)容的安全更新
-
由于繼續(xù)將安全啟動(dòng)信任鏈作為“可信平臺(tái)”的一部分而獲得正宗軟件
-
作為“關(guān)鍵組件”的密碼學(xué)套件
許多安全用例依賴于加密原語，例如，加密機(jī)密數(shù)據(jù)或驗(yàn)證軟件更新的簽名。為此所需的加密密鑰和證書必須安全存儲(chǔ)，并由授權(quán)的應(yīng)用程序管理，有時(shí)甚至在多個(gè)ecu之間進(jìn)行同步。在AUTOSAR Adaptive中，這些原語是通過加密功能集(也稱為加密API)提供的。它提供了所提供接口的抽象，從而提高了整體軟件的可移植性。為了確保安全的數(shù)據(jù)交換，AUTOSAR Adaptive遵循最新的標(biāo)準(zhǔn)，包括TCP/IP通信通過以太網(wǎng)。使用TLS和IPSec (IT世界中已建立的協(xié)議)，可以在車輛內(nèi)部和與外部實(shí)例建立不受操縱或竊聽影響的通信安全通道。AUTOSAR Adaptive管理對(duì)系統(tǒng)資源的訪問，如持久內(nèi)存、通信通道和加密密鑰。AUTOSAR身份和訪問管理模塊提供了一個(gè)看門人，只允許顯式授權(quán)的應(yīng)用程序訪問各自的資源。訪問權(quán)限可以根據(jù)需要進(jìn)行配置，并隨時(shí)更新。
-
安全更新和可信平臺(tái)
AUTOSAR Adaptive中的安全更新功能有助于修復(fù)檢測到的漏洞，例如IDS(入侵檢測系統(tǒng))發(fā)現(xiàn)的漏洞。它接收并處理單個(gè)應(yīng)用程序甚至整個(gè)平臺(tái)的安全更新。每個(gè)Update blob都由后端簽名，以便只執(zhí)行來自受信任源的更新。除了更新，ECU和VC（vehicle computer）應(yīng)用程序也必須定期進(jìn)行驗(yàn)證。這需要安全引導(dǎo)或AUTOSAR Adaptive中的可信平臺(tái)功能，作為一個(gè)信任錨，驗(yàn)證所有應(yīng)用程序以及平臺(tái)本身。通過維護(hù)從引導(dǎo)到平臺(tái)到應(yīng)用程序的信任鏈，只執(zhí)行受信任的軟件。
-
3.2 RTA-VRTE：AUTOSAR Adaptive的平臺(tái)軟件框架
對(duì)于AUTOSAR Adaptive的未來用戶來說，熟悉當(dāng)前的新架構(gòu)至關(guān)重要。車輛運(yùn)行時(shí)環(huán)境(RTA-VRTE)平臺(tái)軟件框架是集成和實(shí)現(xiàn)安全功能以及所有其他AUTOSAR自適應(yīng)兼容流程的理想基礎(chǔ)。RTA-VRTE包含了基于微處理器的車載計(jì)算機(jī)的所有重要中間件元素。該平臺(tái)的軟件框架使虛擬ecu的功能可以在傳統(tǒng)的桌面pc上進(jìn)行仿真，并通過以太網(wǎng)進(jìn)行聯(lián)網(wǎng)。RTA-VRTE創(chuàng)建一個(gè)由四層基本軟件架構(gòu)組成的虛擬機(jī)，第五層包含特定于車輛的平臺(tái)服務(wù)，見圖11。
圖11:RTA-VRTE五層模型支持VCs的重要軟件功能和需求
Source:https://www.etas.com/download-center-files/DLC_realtimes/RT_2021_EN_18.pdf
級(jí)別1和2包含用于硬件的基礎(chǔ)架構(gòu)軟件(例如，設(shè)備驅(qū)動(dòng)程序)和posix兼容的操作系統(tǒng)。第2級(jí)還提供了源自AUTOSAR自適應(yīng)規(guī)范的特定于平臺(tái)的元素——首先也是最重要的執(zhí)行管理。這將管理動(dòng)態(tài)分配的應(yīng)用程序，確保它們正確地啟動(dòng)和停止，并監(jiān)視對(duì)分配的資源和執(zhí)行限制的遵守情況。因此，執(zhí)行管理是IT安全的關(guān)鍵功能，提供可信平臺(tái)，并驗(yàn)證自適應(yīng)應(yīng)用程序的完整性和真實(shí)性。這樣，可能的操縱或損壞就可以提前檢測出來。
此外，三級(jí)通信中間件保證了動(dòng)態(tài)、靈活的自適應(yīng)應(yīng)用程序和其他軟件應(yīng)用程序可以集成到系統(tǒng)中。通信管理作為RTA-VRTE的核心組件，控制和規(guī)范各層之間的交互，保證ECU、車載平臺(tái)服務(wù)等封裝軟件在4、5層的正常運(yùn)行。在保護(hù)通過身份驗(yàn)證的應(yīng)用程序提供的服務(wù)之間的端到端通信方面，該功能也與網(wǎng)絡(luò)安全高度相關(guān)。
RTA-VRTE通信管理和特定ecu的服務(wù)在level 4上為應(yīng)用程序開發(fā)人員提供了一個(gè)通用的汽車應(yīng)用框架。為了提供安全性，該級(jí)別還提供了一個(gè)更新和配置管理器(UCM)，它支持單個(gè)應(yīng)用程序的經(jīng)過身份驗(yàn)證的更新，并在整個(gè)平臺(tái)上協(xié)調(diào)它們。在RTA-VRTE的第5級(jí)中，AUTOSAR++方面允許集成整個(gè)車輛甚至整個(gè)車隊(duì)的功能，為RTA-VRTE AUTOSAR自適應(yīng)應(yīng)用程序集提供強(qiáng)大的空中(OTA)更新。
3.3 展望
2020年，RTA-VRTE開始在世界各地的項(xiàng)目中使用，旨在將AUTOSAR自適應(yīng)車輛平臺(tái)投入生產(chǎn)。此外，ETAS和ESCRYPT還提供了一個(gè)早期訪問計(jì)劃(EAP)，使oem和供應(yīng)商能夠建立下一代混合E/E架構(gòu)的開發(fā)方法，同時(shí)實(shí)現(xiàn)AUTOSAR Adaptive已經(jīng)可用的安全組件。除了這些安全模塊，還需要真正全面的網(wǎng)絡(luò)安全概念，用于互聯(lián)的自動(dòng)化車輛。首先，硬件安全模塊(hms)作為信任錨，在VC微控制器或ecu中物理封裝加密密鑰材料。此外，它還可以擴(kuò)展到整個(gè)生命周期內(nèi)的車隊(duì)范圍內(nèi)的車輛保護(hù)，以及嵌入式車輛攻擊檢測、后端車輛安全操作中心(VSOC)和無線固件(FOTA)安全更新(圖12)。
圖12:集成汽車網(wǎng)絡(luò)安全與硬件安全模塊作為微控制器的信任錨，并在整個(gè)汽車生命周期內(nèi)監(jiān)控車輛安全
Source:https://www.etas.com/download-center-files/DLC_realtimes/RT_2021_EN_18.pdf
RTA-VRTE平臺(tái)軟件框架使開發(fā)者能夠?qū)⒒贏UTOSAR自適應(yīng)的E/E架構(gòu)應(yīng)用到虛擬環(huán)境中。這樣做，它擴(kuò)大了針對(duì)網(wǎng)絡(luò)攻擊的全面保護(hù)的基礎(chǔ)，在未來的車輛中，這將不得不從微控制器擴(kuò)展到車載網(wǎng)絡(luò)，并擴(kuò)展到終生的車隊(duì)監(jiān)控。
4. 其他安全機(jī)制
4.1 CFI(Control Flow Integrity)
CFI用來防止漏洞利用的技術(shù)，通過確保ECU的程序不違反預(yù)期的執(zhí)行流。該技術(shù)適合AP和CP。不少安全廠商已經(jīng)支持該功能。見圖13.
4.2 ECU Firewall
ECU級(jí)防火墻，通過深度報(bào)文解析（Deep Packet Inspection）用來防止ECU內(nèi)部通信的攻擊。該技術(shù)適合AP和CP。見圖13.
4.3 應(yīng)用程序控制
主要是防止ECU在啟動(dòng)和運(yùn)行時(shí)刻運(yùn)行非法軟件。通常適合AP架構(gòu)。見圖13.
4.4 入侵檢測系統(tǒng)
入侵檢測模塊不在本文贅述，可以參考青驥的AutoSAR IDS專題文章（青驥原創(chuàng) l AutoSAR IDS標(biāo)準(zhǔn)介紹）。見圖13.
圖13: Argus ECU安全機(jī)制示意圖
圖片來源：https://argus-sec.com/connected-ecu-protection/
4.5 軟件保護(hù)（白盒密碼技術(shù)）
當(dāng)設(shè)備部署到黑客手中時(shí)，保護(hù)設(shè)備的難度要大幾個(gè)數(shù)量級(jí)。對(duì)設(shè)備具有物理訪問權(quán)限的堅(jiān)定黑客可以做很多事情來獲得超級(jí)用戶訪問權(quán)限并危及系統(tǒng)安全：提取固件映像、逆向工程軟件、重新激活調(diào)試軟件等。歷史上充斥著成功入侵設(shè)備的例子——從網(wǎng)絡(luò)路由器到醫(yī)療設(shè)備，再到信用卡系統(tǒng)、遠(yuǎn)程信息處理單元和整車。普遍存在的軟件安全威脅包括逆向工程、軟件篡改、復(fù)制/克隆和自動(dòng)攻擊。針對(duì)這些威脅的成功安全策略是多維方法——數(shù)據(jù)安全、網(wǎng)絡(luò)/API 安全和軟件保護(hù)。
軟件保護(hù)往往成為最后也是最關(guān)鍵的防線。
軟件保護(hù)是一套先進(jìn)的網(wǎng)絡(luò)安全技術(shù)、庫和工具，使用戶能夠自定義對(duì)其關(guān)鍵數(shù)字資產(chǎn)（例如密鑰、代碼和數(shù)據(jù)）的保護(hù)。該產(chǎn)品對(duì)于需要最佳可更新軟件安全性的安全精明的組織特別有用。軟件保護(hù)的安全技術(shù)通過復(fù)雜的數(shù)據(jù)、功能和控制流轉(zhuǎn)換、反調(diào)試、白盒密碼術(shù)提供應(yīng)用程序保護(hù)，以及主動(dòng)完整性驗(yàn)證。軟件保護(hù)將這些安全技術(shù)直接集成到客戶的軟件構(gòu)建過程中，在源代碼級(jí)別工作，還具有互補(bǔ)的、特定于平臺(tái)的二進(jìn)制保護(hù)，以確保在不影響易用性的情況下實(shí)現(xiàn)最高級(jí)別的軟件保護(hù)和快速部署。關(guān)于白盒密碼的介紹請(qǐng)閱讀附件3.通常適合保護(hù)知識(shí)產(chǎn)權(quán)的場景。
4.6 基于硬件輔助的安全機(jī)制
基于硬件輔助的安全機(jī)制比較多，請(qǐng)參考青驥公眾號(hào)文章（談?wù)勂囆酒畔踩?
轉(zhuǎn)載汽車電子相關(guān)文章
轉(zhuǎn)自汽車電器與軟件
