引言：大家都很熟悉OWASP Top 10風(fēng)險(xiǎn)報(bào)告，這個(gè)報(bào)告不但總結(jié)了Web應(yīng)用程序最可能、最常見(jiàn)、最危險(xiǎn)的10大安全隱患，還包括了如何消除這些隱患的建議，這個(gè)"OWASP Top 10"差不多每隔三年更新一次。目前汽車(chē)網(wǎng)絡(luò)安全攻擊威脅隱患繁多，某知名電動(dòng)汽車(chē)廠商安全總監(jiān)結(jié)合實(shí)際經(jīng)驗(yàn)，在他的新書(shū)《智能汽車(chē)網(wǎng)絡(luò)安全權(quán)威指南》中歸納總結(jié)了智能汽車(chē)10大攻擊場(chǎng)景，以及每個(gè)場(chǎng)景的攻擊手段和防御方法。
在20世紀(jì)50年代，汽車(chē)電子成本僅占汽車(chē)總成本的1%。然而，隨著車(chē)聯(lián)網(wǎng)技術(shù)的進(jìn)步，目前汽車(chē)電子成本已經(jīng)增加到了35%。預(yù)計(jì)到2030年，這一數(shù)字還將繼續(xù)上升至50%。隨著軟件定義汽車(chē)時(shí)代的到來(lái)，汽車(chē)網(wǎng)絡(luò)安全攻擊面變得非常廣泛，主要分布在10個(gè)主要模塊，也被稱(chēng)為十大易受攻擊威脅模塊。這些模塊包括信息娛樂(lè)系統(tǒng)（IVI）、車(chē)載網(wǎng)聯(lián)通訊終端（T-BOX）、車(chē)載網(wǎng)關(guān)（Gateway）、統(tǒng)一診斷服務(wù)（Unified Diagnostic Services，UDS）、車(chē)載診斷（On-board diagnostics，OBD）、高級(jí)輔助駕駛系統(tǒng)（ADAS）、車(chē)載信息服務(wù)（TSP）、充電網(wǎng)絡(luò)系統(tǒng)（Charging System）、汽車(chē)遠(yuǎn)程升級(jí)（Over-The-Air，OTA）以及手機(jī)端車(chē)聯(lián)網(wǎng)應(yīng)用程序（App），如圖1所示。
圖1 車(chē)聯(lián)網(wǎng)重點(diǎn)模塊圖
場(chǎng)景1：車(chē)載信息娛樂(lè)系統(tǒng)
車(chē)載信息娛樂(lè)系統(tǒng)（In-Vehicle Infotainment，IVI）指的是結(jié)合了向用戶提供娛樂(lè)信息的車(chē)載系統(tǒng)。IVI系統(tǒng)使用音頻/視頻（A/V）接口、觸摸屏、鍵盤(pán)和其他類(lèi)型的設(shè)備來(lái)提供這些服務(wù)。車(chē)載信息娛樂(lè)系統(tǒng)通常具備一部分CAN總線操控能力，因此通過(guò)攻擊車(chē)載信息娛樂(lè)系統(tǒng)可能會(huì)導(dǎo)致遠(yuǎn)程控制車(chē)輛。2018年，Computest的研究人員Thijs Alkemade和Daan Keuper發(fā)現(xiàn)了某汽車(chē)品牌的IVI漏洞。在某些情況下，該漏洞可能允許黑客控制關(guān)鍵功能，這些功能包括打開(kāi)和關(guān)閉汽車(chē)的麥克風(fēng)，使用麥克風(fēng)來(lái)收聽(tīng)駕駛員的談話，以及獲得對(duì)談話歷史和汽車(chē)通訊錄的訪問(wèn)權(quán)限。最重要的是，研究人員表示，攻擊者還可以通過(guò)其導(dǎo)航系統(tǒng)跟蹤汽車(chē)。
IVI系統(tǒng)是最容易遭受到攻擊的模塊，一般IVI系統(tǒng)采用安卓系統(tǒng)，因此安卓系統(tǒng)的安全風(fēng)險(xiǎn)，在IVI上可能都會(huì)出現(xiàn)，如圖2所示，這是IVI主要攻擊面（非詳盡）。
圖2 IVI遭受的攻擊
場(chǎng)景2：車(chē)載網(wǎng)聯(lián)通訊終端
車(chē)載網(wǎng)聯(lián)通訊終端，即T-BOX，對(duì)內(nèi)與車(chē)載CAN總線相連，對(duì)外通過(guò)云平臺(tái)與手機(jī)端實(shí)現(xiàn)互聯(lián)，是車(chē)內(nèi)外信息交互的紐帶，實(shí)現(xiàn)指令和信息的傳遞。T-BOX的結(jié)構(gòu)簡(jiǎn)單示意如圖3所示。
圖3 T-BOX的結(jié)構(gòu)示意圖
圖4 T-box主/副駕駛座下方安裝位置
圖5 基于S32K148的T-BOX開(kāi)發(fā)板
場(chǎng)景3：車(chē)載網(wǎng)關(guān)
汽車(chē)網(wǎng)關(guān)是一個(gè)中央樞紐，可在車(chē)輛中的許多不同網(wǎng)絡(luò)之間安全可靠地互連和傳輸數(shù)據(jù)，汽車(chē)網(wǎng)關(guān)的核心功能是在車(chē)內(nèi)安全可靠地傳輸數(shù)據(jù)，車(chē)輛中可能存在多個(gè)網(wǎng)關(guān)，它們可以是集中式網(wǎng)關(guān)和多個(gè)域網(wǎng)關(guān)。集中式網(wǎng)關(guān)在遠(yuǎn)程信息處理控制單元（TCU）、動(dòng)力總成、車(chē)身、信息娛樂(lè)系統(tǒng)、智能座艙和高級(jí)輔助駕駛應(yīng)用程序等域之間安全可靠地傳輸數(shù)據(jù)。域網(wǎng)關(guān)（或域控制器）具有類(lèi)似的功能，實(shí)現(xiàn)各自域內(nèi)ECU的相互通信。與域網(wǎng)關(guān)相比，集中式網(wǎng)關(guān)通常需要更高的處理性能、接口和更高帶寬的網(wǎng)絡(luò)協(xié)議。圖6說(shuō)明了如何在車(chē)輛中實(shí)現(xiàn)這兩種類(lèi)型的網(wǎng)關(guān)。
圖6 車(chē)輛網(wǎng)關(guān)類(lèi)型
網(wǎng)關(guān)也是智能汽車(chē)最可能成為網(wǎng)絡(luò)攻擊的目標(biāo)，網(wǎng)關(guān)一般是RTOS系統(tǒng)，能夠弄清楚他的指令集是關(guān)鍵，網(wǎng)關(guān)的主要攻擊面（非詳盡），如表3所示。
場(chǎng)景4：汽車(chē)遠(yuǎn)程升級(jí)
汽車(chē)遠(yuǎn)程升級(jí)（Over the Air Technology，OTA）是指替代本地連接方式，通過(guò)無(wú)線傳輸方式進(jìn)行軟件下載和軟件更新的過(guò)程，更新的速度和安全性至關(guān)重要。OTA是實(shí)現(xiàn)軟件定義汽車(chē)的必備基礎(chǔ)，是智能網(wǎng)聯(lián)汽車(chē)系統(tǒng)及其應(yīng)用的唯一遠(yuǎn)程升級(jí)通道。作為安全的最后一道防線，OTA常見(jiàn)類(lèi)型包括SOTA、FOTA，實(shí)現(xiàn)對(duì)動(dòng)力域、底盤(pán)域、輔助駕駛域、信息娛樂(lè)域和車(chē)身域在內(nèi)的重大功能更新。- FOTA：Firmware OTA，固件升級(jí)，面向車(chē)端上的固件升級(jí)
- SOTA：Software OTA，應(yīng)用軟件升級(jí)，面向車(chē)載端上應(yīng)用軟件升級(jí)。
通過(guò)OTA能夠?yàn)檐?chē)端添加新功能、修復(fù)漏洞等，傳統(tǒng)更新汽車(chē)軟件的做法是到4S店通過(guò)UDS對(duì)相應(yīng)的ECU進(jìn)行軟件升級(jí)，通過(guò)USB等接口對(duì)信息娛樂(lè)系統(tǒng)進(jìn)行升級(jí)。伴隨著智能汽車(chē)的發(fā)展，本地升級(jí)已不再適應(yīng)高速變化的車(chē)載生態(tài)，OTA流程如圖7所示。
圖7 OTA流程圖
圖8 OTA攻擊面示意圖
場(chǎng)景5：車(chē)載信息服務(wù)
車(chē)載信息服務(wù)（TelematicsServiceProvider，TSP）在車(chē)聯(lián)網(wǎng)系統(tǒng)中以云的形式向用戶側(cè)與車(chē)輛側(cè)提供以下服務(wù)：用戶信息維護(hù)、車(chē)輛定位、狀態(tài)監(jiān)控等。TSP功能如圖9所示。
圖9 TSP功能示意圖
TSP是重要的車(chē)聯(lián)網(wǎng)云服務(wù)，一般云服務(wù)存在的安全風(fēng)險(xiǎn)，TSP同樣存在，可以參考OWASP Top 10。云端主要靠提供應(yīng)用程序編程接口（API）與其他端進(jìn)行通信，API位于應(yīng)用程序之間或者充當(dāng)處理系統(tǒng)之間數(shù)據(jù)傳輸?shù)闹虚g層，它提供了一個(gè)簡(jiǎn)單而高效的接口，用于擴(kuò)展功能和改善聯(lián)網(wǎng)汽車(chē)體驗(yàn)。API安全不是汽車(chē)網(wǎng)絡(luò)安全獨(dú)有的，更多API安全可以參考OWASP API安全十大漏洞，如表4所示。
場(chǎng)景6：車(chē)載診斷
圖10 車(chē)輛中的OBD-II端口
圖11 OBD-II診斷
圖12 手持式掃描工具
圖13 OBD-II攻擊路徑
場(chǎng)景7：統(tǒng)一診斷服務(wù)
圖14 基于UDS的ECU刷寫(xiě)執(zhí)行流程
場(chǎng)景8：高級(jí)輔助駕駛系統(tǒng)
圖15 ADAS的分層架構(gòu)
圖16 ADAS的攻擊面
場(chǎng)景9：充電網(wǎng)絡(luò)系統(tǒng)
圖17 充電生態(tài)系統(tǒng)
圖18 電動(dòng)汽車(chē)中電流轉(zhuǎn)換的簡(jiǎn)化框圖（圖片來(lái)源：Keysight E-Mobility Design and Test Technologies）
- 充電電流如何輸送到電動(dòng)汽車(chē)？
- 充電過(guò)程如何控制？
- 充電站如何通信及其通信協(xié)議？
- 如何進(jìn)行接線和安裝？
- 身份偽造
- 植入木馬
- 固件更新
- 固件劫持
- 重放攻擊
- 移動(dòng)應(yīng)用
- 物理接入
- 協(xié)議安全
場(chǎng)景10：手機(jī)端車(chē)聯(lián)網(wǎng)應(yīng)用程序
圖19 手機(jī)App使用場(chǎng)景
- 數(shù)據(jù)泄露
- 藍(lán)牙鑰匙
- 不安全的Wi-Fi
- 網(wǎng)絡(luò)釣魚(yú)攻擊
- 惡意軟件
- 逆向偽造應(yīng)用程序
- 會(huì)話處理不當(dāng)
從上述可以看到汽車(chē)網(wǎng)絡(luò)安全涉及Web安全、協(xié)議安全、無(wú)線安全、內(nèi)核安全、移動(dòng)端安全、固件安全、硬件安全等，任何一方都可能會(huì)是薄弱點(diǎn)，所以保護(hù)汽車(chē)網(wǎng)絡(luò)安全更重要的是將安全基礎(chǔ)打牢，避免出現(xiàn)安全短板。隨著汽車(chē)行業(yè)創(chuàng)新的加速，智能汽車(chē)正在轉(zhuǎn)向自動(dòng)駕駛，新技術(shù)正在為擴(kuò)大攻擊面鋪平道路，這是一個(gè)日益受到關(guān)注的問(wèn)題。朝著該目標(biāo)的每一次新進(jìn)展，都可能會(huì)引入一個(gè)新的攻擊面，需要持續(xù)的安全投入。
轉(zhuǎn)自汽車(chē)電子與軟件
