车联网安全认证协议与算法

第1章车联网安全与认证概述 1.1车联网的发展历程 车联网的构想于2009年12月在美国交通部发布的《智能交通系统战略研究计划：2010—2014》中被首次提出，随后，车联网逐渐成为各研究人员关注的重点，据市场研究公司调查预测，到2022年，全球车联网市场规模将突破1650亿美元。美国等对车联网技术的相关研究成果居于世界前列，而我国紧密跟进，国内强调传统产业与新一代信息技术的融合，大力发展车联网。2010年10月，关键词“车联网”在百度被**次搜索；2017年9月，国家制造强国建设领导小组车联网产业发展专项委员会**次会议在北京召开；2017年9月，中国信息通信研究院发布了《车联网白皮书（2017年）》；2018年1月，华为技术有限公司与中国移动通信集团重庆有限公司、重庆长安汽车股份有限公司、中移物联网有限公司在渝签署了5G车联网联合开发的相关合作协议，共同研究车联网相关技术与功能产品设计。如今，车联网的应用主要有碰撞检测、车路协同、电子路牌、智慧城市交通等，利用车联网合理规划车辆行驶，智能管理城市交通，提高人们生活的便捷性。 1.2车联网产业的安全现状 1.安全事件频发 车联网网络攻击风险加剧，人身安全受到威胁。目前，已出现针对车联网的网络攻击事件，部分案例中攻击者可控制汽车动力系统，使驾驶员的生命安全遭到威胁。2015年，克莱斯勒的Jeep车型发现安全漏洞，利用系统漏洞，远程控制汽车的多媒体系统，进而攻击V850控制器，并对其固件进行修改，获取远程向控制器局域网络（controller area network，CAN）总线发送指令的权限，达到远程控制动力系统和制动系统的目的，可在用户不知情的情况下降低汽车的行驶速度、关闭汽车引擎、突然制动或者让制动失灵。2016年，同款Jeep车型在被物理接触的情况下，攻击者通过接口注入指令，控制车辆的动力系统，可操控方向盘和制动系统，严重威胁驾驶员人身安全。 黑客破解车联网，可以远程控制车主账户，使车主财产安全受到威胁。2016年，来自挪威安全公司的专家入侵车主手机，获取特斯拉汽车账户用户名和密码，通过登录特斯拉车联网服务平台可以随时对车辆进行定位、追踪，并解锁、启动车辆，*终导致特斯拉汽车被盗，造成车主的财产损失。 2.安全问题复杂 车联网作为物联网在智能交通领域的典型应用，其产业链覆盖“两端一云”，主要围绕安全、智能出行和信息娱乐，涵盖元器件供应商、设备生产商、整车厂商、软硬件技术提供商、通信服务商、信息服务提供商等。由于车联网产业链较长，且网络安全防护对象数量很多，安全防护环节众多，不可避免地存在产业链的某些环节，如元器件供应商，无法在产品中实现足够的安全防护措施。同时，车联网还面临网络安全需求复杂，网络安全防护手段建设缺乏针对性和系统性等问题。 3.安全研发处于起步阶段 目前，国内以比亚迪股份有限公司、上海汽车集团股份有限公司等为代表的整车厂商已开始对车联网网络安全工作展开研究，并取得了一定进展。在网络安全技术研发方面，企业内部初步形成了跨部门的合作机制；以安全为基准的全新生产线逐步替代传统的生产线，不断加强车联网全生命周期各环节的网络安全管理。而以北京梆梆安全科技有限公司、北京奇虎科技有限公司等为代表的安全企业在安全防护技术研发和产品创新方面也取得初步成效，除了提供汽车卫士、汽车总线安全评估工具等软硬件产品，还提供渗透测试、安全评测服务；比亚迪股份有限公司、蔚来等整车厂商也探索使用腾讯安全科恩实验室提供的车联网安全解决方案。但整体来看，整车厂商和安全企业的合作以服务采购和黑盒测试为主，双方深度合作进行安全方案设计和安全方案评估的案例有限。 4.安全标准亟待制定 当前车联网产业发展迅速，车联网网络安全已得到相关管理部门和业界的普遍关注，相关安全政策、安全标准研究制定工作正在积极推进，车联网安全关键技术和产品创新得到鼓励与支持，伴随相关工作成果的逐步落地，车联网安全发展的局面将逐步形成。但现阶段车辆安全技术仍在过渡中，部分车联网安全技术研发和应用推广还需时日，生产线升级换代和安全产品部署应用需要一定周期，以ISO26262《道路车辆功能安全》、SAEJ3061《信息物理汽车系统安全指南》等为指导原则的开发流程落地实施还有一段距离。此外，存量汽车的淘汰周期较长，如何加强存量汽车的网络安全能力目前尚无成熟解决方案。 1.3车联网体系结构 车联网是指借助新一代的移动通信技术，实现车辆内部，车与人、车与车、车与路、车与服务平台的全方位网络连接，从而提升汽车智能化水平和自动驾驶能力，构建汽车和交通服务新业态，从而提高交通效率，改善汽车驾乘感受，为用户提供智能、舒适、安全、节能、高效的综合服务。车联网架构如图1.1所示。其中车联网架构主要包括车联网云服务平台、智能网联汽车及移动智能终端、路边基础设施等在内的车联网通信体系、智能网联汽车平台、智能网联汽车组件。其中各个部分通过形式多样的无线网络通信技术如Wi-Fi、蓝牙、3G/4G、专用短程通信技术（dedicated short range communications，DSRC）、LTE（long term evolution）-V、近场通信（near field communication，NFC）、制动防抱死系统（antilock brake system，ABS）、电子控制单元（electronic control unit，ECU）、车载信息娱乐（in-vehicle infortainment，IVI）系统及车内总线网络等，实现车-人通信、车-车通信、车-路通信、车-云通信和车内通信五种通信场景[3]。 图1.1车联网架构 1.3.1车联网通信分类 车辆与多终端的无线通信是车联网中非常重要的组成部分，其中主要包括车-车通信、车-路通信和车-人通信。车-车通信指智能网联汽车通过LTE-V2X（LTE-vehicle to everything）、DSRC与交通网络中的其他车辆进行信息传递，如车辆在行驶过程中报告当前位置的交通拥堵状况、交通事故等，以帮助其他车辆做好路线规划或者提醒其他车辆注意行车安全，从而改善整体的交通状况，降低事故发生率。车-路通信主要指智能网联汽车通过LTE-V2X、DSRC、射频通信等技术实现车辆与路基设施的协同以辅助建立高效安全的智能交通体系。车-人通信指用户通过Wi-Fi、蓝牙或蜂窝移动通信网络技术实现与智能网联汽车的信息传递，如车主通过手机对车辆进行控制，进行打开车门、音乐播放等操作。车联网云服务平台是提供智能网联汽车管理和交通、车辆信息内容服务的云端平台，其提供了导航、娱乐、资讯、安防、车辆及道路基础设施设备信息汇聚、计算和监控管理服务，并提供智能化交通管控、车辆远程诊断、交通救援等车辆服务，如车辆通过T-Box和云服务平台交互，实现远程控制功能、远程查询功能、安防服务功能。车辆通过车载信息娱乐系统从云服务平台获取娱乐信息服务，包括三维导航、实时路况、辅助驾驶、移动办公、无线通信、基于在线的娱乐功能等一系列应用。 1.3.2车内总线网络 车内总线网络架构通过总线通信协议将电子控制单元节点连接起来，从而构成车内总线网络，如图1.2所示。 图1.2车内总线网络架构 其中，ECU既是智能网联汽车的核心电子元件，也是车内基本通信单元。ECU节点根据传感器和总线上的报文信息，完成预定的控制功能和指令动作，如灯光的开闭、电机启停等。而不同ECU节点之间的通信是通过车内总线协议来实现的。其中，车内总线协议主要包括CAN、局域互联网络（local interconnect network，LIN）、FlexRay、面向媒体的系统传输（media oriented system transport，MOST）等。CAN总线是一种串行数据通信协议，负责车内各个子系统间通信。各个ECU节点竞争地向总线发送数据，根据报文标识符确定各节点的总线访问控制优先权，优先级高的ECU节点可以向总线发送数据，其余节点等待总线空闲时再次竞争。这种逐位仲裁、明文广播的方式，提高了数据通信的实时性，故CAN总线是目前*广泛应用的车内总线协议。LIN总线即低速串行总线，也称低速CAN总线，采用单线传输，传输速率为10～125kbit/s，大多应用在车门、空调等车身子系统。FlexRay总线基于时间触发机制，具有带宽高、容错性能好等特点，*大数据传输率达到10Mbit/s，目前主要应用于与安全相关的线控系统和动力系统中。MOST总线采用环形结构，在环形总线内只能朝着一个方向传输数据，是一种专门应用于车内多媒体应用的数据总线技术。在众多总线协议中，CAN总线作为目前*广泛使用的车内总线系统，是学术界和工业界研究的重点。智能网联汽车的车内传感器网络由众多的传感器、执行器和控制器构成。在车辆运行过程中，不同的传感器节点感知行车相关信息，如车内机油温度传感器采集机油温度，转速传感器采集转速信息等，并将光、电、温度、压力等信息转换成电信号，传送给控制器节点。控制器节点对信息进行分析处理后向执行器节点发送控制指令，由执行器节点完成指令动作。众多节点构成车内传感器网络，根据通信协议，协同工作。例如，车内的超声波传感器节点发射超声波信号，遇到障碍物后返回，控制器节点根据发射信号和接收信号的时间差可以推算出发射位置与障碍物之间的距离，若小于安全距离，将相关制动指令发送给执行器节点。这一场景被广泛地应用于自动驾驶或辅助驾驶。 1.4车联网安全威胁分析 车联网网络安全威胁包括智能网联汽车、车载智能终端、车联网服务平台、车联网通信、车联网数据安全和隐私泄露五方面安全威胁[4]。 1.4.1智能网联汽车安全威胁分析 1. T-BOX安全威胁 T-BOX（telematics-BOX）是车载智能终端，主要用于车与车联网服务平台之间的通信。一方面，T-BOX可与CAN总线通信，实现指令和信息的传递；另一方面，其内置调制解调器，可通过数据网络、语音、短信等与车联网服务平台交互，是车内外信息交互的纽带。T-BOX主要面临几方面的安全威胁：一是固件逆向，攻击者通过逆向分析T-BOX固件，获取加密算法和密钥，解密通信协议，用于窃听或伪造指令；二是信息窃取，攻击者通过T-BOX预留调试接口读取内部数据，用于攻击分析，或者通过对通信端口的数据抓包，获取用户通信数据。 2.CAN总线安全威胁 CAN总线由德国博世公司研发，遵循ISO11898及ISO11519标准，其已成为汽车控制系统标准总线。CAN总线相当于汽车的神经网络，连接车内各控制系统，其通信采用广播机制，各连接部件均可收发控制消息，通信效率高，可确保通信实时性。CAN总线安全风险在于：一是通信缺乏加密和访问控制机制，可被攻击者逆向解析总线通信协议，分析出汽车控制指令，用于伪造攻击指令；二是通信缺乏认证及消息校验机制，不能对攻击者伪造、篡改的异常消息进行识别和预警。鉴于CAN总线的特性，攻击者可通过物理侵入或远程侵入的方式实施消息伪造、拒绝服务、重放等攻击，需要通过安全隔离来确保智能网联汽车内部CAN总线不被非法入侵。 3.OBD接口安全威胁 车载诊断（on board diagnostic，OBD）系统接口是智能网联汽车外部设备接入CAN总线的重要接口，可下发诊断指令与总线进行交互，进行车辆故障诊断、控制指令收发。目前OBD和CAN存在三种安全级别的交互模式：一是OBD接口设备对CAN总线数据可读可写，此类安全风险*大；二是OBD接口设备对CAN总线可读不可写；三是OBD接口设备对CAN总线可读，但读取时需遵循特定协议规范且无法修改ECU数据，如商用车遵循CAN总线SAEJ1939协议，后两种交互模式安全风险较小。<