車聯(lián)網(wǎng)時(shí)代，汽車網(wǎng)絡(luò)安全架構(gòu)如何不“失身”

申請(qǐng)免費(fèi)試用、咨詢電話：400-8352-114

　　汽車單純地作為通勤工具，能夠聽(tīng)聽(tīng)廣播、放放CD就以為是多么了不起的“多媒體”時(shí)代一去不復(fù)返了?，F(xiàn)如今，汽車可謂是內(nèi)外連通：不僅能與車內(nèi)設(shè)備連接，同時(shí)還可以方便快捷地接入Internet服務(wù)。它們通常裝有50-70個(gè)電控單元(ECU)來(lái)實(shí)現(xiàn)移動(dòng)互聯(lián)的不同功能，車內(nèi)乘客不僅可以隨時(shí)從互聯(lián)網(wǎng)下載流媒體內(nèi)容，還可以與朋友們時(shí)刻保持聯(lián)系，甚至網(wǎng)上購(gòu)物也不在話下。

　　左：傳統(tǒng)的架構(gòu)方案-分離式聯(lián)網(wǎng)設(shè)計(jì) 右：以“控制中心”為主的架構(gòu)方案-集中式的聯(lián)網(wǎng)設(shè)計(jì)

　　當(dāng)然，凡事都具有兩面性。先進(jìn)的車載聯(lián)網(wǎng)技術(shù)的確可以給用戶帶來(lái)便捷的體驗(yàn)，但不可否認(rèn)大批的“臭蟲(chóng)”未來(lái)也會(huì)順著互聯(lián)網(wǎng)這根線索爬進(jìn)車?yán)?。一輛以直接或者間接方式連接了因特網(wǎng)的汽車很可能暴露于惡意軟件的代碼和數(shù)據(jù)攻擊之下，使車輛受控行駛，急踩剎車，未經(jīng)允許自動(dòng)開(kāi)關(guān)車門(mén)，甚至?xí)斐深愃芐RS等重要安全系統(tǒng)的失靈。

　　當(dāng)然，汽車制造商們也十分“捉急”，而目前看來(lái)行之有效的就是建立一套有效的安全系統(tǒng)架構(gòu)和方法論。

　　以“控制中心”為首的汽車網(wǎng)絡(luò)安全架構(gòu)

　　傳統(tǒng)的汽車網(wǎng)絡(luò)受限于車內(nèi)的電控單元，而這些電控單元是與諸如控制器局域網(wǎng)(CAN)、車載網(wǎng)絡(luò)標(biāo)準(zhǔn)(FlexRay)及內(nèi)部互聯(lián)網(wǎng)(LIN)等汽車網(wǎng)絡(luò)相連接的。然而，如今車聯(lián)網(wǎng)技術(shù)使汽車可實(shí)現(xiàn)與提供自動(dòng)緊急呼叫(e-all)、遠(yuǎn)程診斷和數(shù)據(jù)交換等功能的車內(nèi)電子設(shè)備和汽車制造商端口進(jìn)行連接。而在不遠(yuǎn)的將來(lái)，車與車之間同樣可以自由“交流”，進(jìn)行操作系統(tǒng)生態(tài)數(shù)據(jù)的無(wú)縫交換。

　　隨著信息娛樂(lè)系統(tǒng)和連通性技術(shù)的不斷改進(jìn)，車載數(shù)據(jù)的密度在本質(zhì)、數(shù)量和方向上發(fā)生了很大改變。這些數(shù)據(jù)可以做如下分類：

　　1. 1.接收的數(shù)據(jù)：汽車通過(guò)傳感器或互聯(lián)網(wǎng)從外部環(huán)境中獲得的數(shù)據(jù)。

　　傳統(tǒng)的車載軟件僅需要處理ECU通過(guò)傳感器或其他電控單元接收的數(shù)據(jù)即可。然而，ECU設(shè)計(jì)之初并不具備檢測(cè)每一個(gè)CAN上傳數(shù)據(jù)包的功能。而由于接收的數(shù)據(jù)一方面包含了從云端下載的內(nèi)容，另一方面那些網(wǎng)絡(luò)連接端口處惡意軟件植入汽車網(wǎng)絡(luò)的數(shù)據(jù)同樣可能包含其中，因此大大增加了汽車網(wǎng)絡(luò)被“黑”的風(fēng)險(xiǎn)。

　　2. 2.處理的數(shù)據(jù)：經(jīng)ECU不同部分計(jì)算處理過(guò)的數(shù)據(jù)或流經(jīng)車載娛樂(lè)系統(tǒng)ECU的用戶數(shù)據(jù)群。

　　由于接收到的數(shù)據(jù)可能并不安全，這可能導(dǎo)致數(shù)據(jù)處理發(fā)生錯(cuò)誤。同時(shí)汽車的聯(lián)網(wǎng)和信息娛樂(lè)系統(tǒng)在受到代碼篡改以及用戶數(shù)據(jù)人為操控等作用時(shí)很容易出現(xiàn)崩潰。

　　3. 3.發(fā)出的數(shù)據(jù)：汽車及用戶數(shù)據(jù)可能需要在云端處理，以便提供包括個(gè)性化投保方案、定制資訊內(nèi)容以及廣告等眾多服務(wù)。

　　隨著汽車與外部設(shè)備和外部環(huán)境的聯(lián)系愈加緊密，安全風(fēng)險(xiǎn)的本質(zhì)和以及可能造成的威脅也正逐漸發(fā)生著變化。比如，汽車通過(guò)傳感器和制動(dòng)器與環(huán)境進(jìn)行交互。因此，汽車網(wǎng)絡(luò)的安全就需要同時(shí)考慮數(shù)據(jù)和環(huán)境安全這兩方面因素。而且，對(duì)于安全威脅的預(yù)防和實(shí)時(shí)監(jiān)測(cè)同樣需要引起更多的重視。

　　這些潛在風(fēng)險(xiǎn)可分為以下幾種：

　　1. 1. 安全類：安全漏洞將削弱關(guān)鍵系統(tǒng)的安全性，將乘車人、外部行人和周邊環(huán)境置于危險(xiǎn)當(dāng)中;

　　2. 2. 妨害類：非關(guān)鍵安全系統(tǒng)受影響將導(dǎo)致汽車拒絕服務(wù)或進(jìn)行不必要的操作。

　　3. 3. 隱私類：安全漏洞可能導(dǎo)致個(gè)人信息泄露，并被濫用或篡改。

　　4. 4. 經(jīng)濟(jì)類：經(jīng)濟(jì)損失可能是篡改授權(quán)或敲詐勒索等形式。

　　安全漏洞隨著允許汽車與外部設(shè)備或網(wǎng)絡(luò)連接接口數(shù)量的增加而逐漸增多。而第一種關(guān)鍵的架構(gòu)方式是：減少接口的數(shù)量，并將剩余的接口整合成一個(gè)“控制中心”，而該“控制中心”將作為連通汽車內(nèi)部網(wǎng)絡(luò)和外部設(shè)備/網(wǎng)絡(luò)之間安全、智能的大門(mén)。采用這種方式可以更好地保護(hù)汽車不受惡意軟件的攻擊，同時(shí)也阻止了敏感信息的內(nèi)輸和外露。

　　當(dāng)然建立以“控制中心”為首的汽車網(wǎng)絡(luò)安全架構(gòu)，在應(yīng)對(duì)安全風(fēng)險(xiǎn)時(shí)可采取多種策略。如通過(guò)設(shè)立防火墻的方式來(lái)提供對(duì)其余網(wǎng)絡(luò)的安全訪問(wèn)。

　　“控制中心”網(wǎng)絡(luò)安全架構(gòu)有幾個(gè)關(guān)鍵要素：

　　1. 受保護(hù)的關(guān)鍵入口：基于有線或無(wú)線接口的連接;

　　2. “封閉系統(tǒng)”：提供受限訪問(wèn)的預(yù)配置好的防火墻;

　　3. 縝密的用戶訪問(wèn)控制：不允許任何非授權(quán)用戶訪問(wèn)隱私數(shù)據(jù)。

　　汽車網(wǎng)絡(luò)安全設(shè)計(jì)方法論

　　除了靠譜的網(wǎng)絡(luò)安全系統(tǒng)架構(gòu)之外，有效的工程解決方案對(duì)于在系統(tǒng)設(shè)計(jì)的各個(gè)步驟中降低安全風(fēng)險(xiǎn)也是十分關(guān)鍵的。汽車制造商及其工程師需要考慮如下的工程方案和設(shè)計(jì)步驟來(lái)確保汽車網(wǎng)絡(luò)連接的安全性：

　　1. 接口風(fēng)險(xiǎn)分析(Interface risk analysis)

　　接口風(fēng)險(xiǎn)分析過(guò)程包括檢查所有與汽車連接的云端或設(shè)備相關(guān)的系統(tǒng)接口。第一步是識(shí)別所有的接口終端，包括網(wǎng)絡(luò)終端、設(shè)備和無(wú)線接口及總線連接器;第二、三步則分別是識(shí)別攻擊以及攻擊中包含的潛在安全問(wèn)題。一旦接口分析完畢，合適的系統(tǒng)設(shè)計(jì)方式就可以直接上馬了。

　　2. 功能安全分析(Functional safety analysis)

　　車輛功能安全標(biāo)準(zhǔn)ISO 26262提供了系統(tǒng)或子系統(tǒng)內(nèi)安全要求的方法。其具體描述了諸如危害分析和風(fēng)險(xiǎn)評(píng)估、失效模式與影響分析(FMEA)、故障樹(shù)分析法以及危害度分析等安全分析的方法。

　　汽車業(yè)應(yīng)采取功能安全概念來(lái)評(píng)估安全分析。當(dāng)安全保障實(shí)施完成后，就應(yīng)該建立含有“證據(jù)”的安全狀況報(bào)告，囊括安全行為的證據(jù);風(fēng)險(xiǎn)、威脅和漏洞的識(shí)別與分析;以及可服從的安全標(biāo)準(zhǔn)。

　　3. 防御性編程(Defensive programming)

　　防御性編程是繼嵌入式安全系統(tǒng)發(fā)生關(guān)鍵作用之外的推手。它保障了軟件功能即使被用于未預(yù)見(jiàn)到的用途時(shí)也能正常運(yùn)行。在安全環(huán)境中，這類未預(yù)見(jiàn)到的用途可能來(lái)源于從傳感器或汽車網(wǎng)絡(luò)中接收到的被篡改的數(shù)據(jù)。防御性編程有這么幾個(gè)特定的操作原則，如“除非能夠證明數(shù)據(jù)的安全性，那么所有數(shù)據(jù)都可能具有傳染性”，即使在惡意輸入的情況下也能防止軟件發(fā)生安全故障，屬于強(qiáng)有力的保護(hù)措施。

　　小結(jié)：

　　隨著車聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，未來(lái)汽車的聯(lián)網(wǎng)程度和內(nèi)外數(shù)據(jù)交換的容量都將日益增多。不過(guò)要使汽車面對(duì)網(wǎng)絡(luò)惡意攻擊時(shí)能夠“刀槍不入”，必須加強(qiáng)汽車安全系統(tǒng)的架構(gòu)。因此，以“控制中心”為首的汽車安全解決方案以及強(qiáng)悍的工程方法論，都能夠充分保證汽車在聯(lián)網(wǎng)時(shí)不致于“失身”。