下一代汽車電子安全設(shè)計考量

1、下一代汽車電子安全設(shè)計考量下一代汽車電子安全設(shè)計考量2010年，美國汽車製造商推出了一項新穎的功能，可以讓車主在地球任何一個角落透過智慧手機控制車鎖并啟動發(fā)動機。這種連接功能需要依賴于汽車上的遠端資訊通訊系統(tǒng)，而這種系統(tǒng)目前已經(jīng)是許多型號汽車的標準配置。在這種智慧手機推出之前，有個大學(xué)研究小組發(fā)佈了一份研究報告，報告中指出，透過利用汽車嵌入式系統(tǒng)中的缺陷，汽車的關(guān)鍵系統(tǒng)（例如，剎車、發(fā)動機節(jié)氣閥等）很容易被惡意操控。這些研究人員研究了如

2、何使用‘模煳’技術(shù)，從低安全性網(wǎng)路侵入到關(guān)鍵系統(tǒng)。在汽車行駛過程中，出現(xiàn)了剎車失靈和發(fā)動機失控，這顯示攻擊確實能將乘客置于危險境地。將汽車連接到廣域網(wǎng)路是導(dǎo)入老練攻擊者的元兇。一個缺陷就可能讓遠端攻擊者威脅到一長串挨著行駛的車隊。研究人員并沒有告訴我們能為目前的嵌入式汽車安全做些什么。但正如后面我們要討論到的那樣，我們必須對汽車技術(shù)做出實質(zhì)性的改革，以更好地隔離網(wǎng)路子系統(tǒng)和生死攸關(guān)的安全功能。目前的汽車電子下圖顯示了當(dāng)代汽車內(nèi)部的部份電

3、子系統(tǒng)。圖1：當(dāng)代汽車內(nèi)部的部份電子系統(tǒng)。高階豪華汽車在總計100個組件或電子控制單元（ECU）的相應(yīng)系統(tǒng)中包含多達200個微處理器。這些ECU由多種不同類型的網(wǎng)路連接，例如，控制器區(qū)域網(wǎng)（CAN）、FlexRay、局域互連網(wǎng)路（LIN）和針對媒體的系統(tǒng)傳送（MOST）。汽車OEM廠商需要對來自數(shù)十家一級和二級供應(yīng)商的ECU組件和軟汽車演算法、多媒體內(nèi)容和保密資料都可能需要數(shù)據(jù)保護。私鑰儲存必須能夠抵擋住凌厲的入侵和非入侵式實體性攻擊，

4、因為即使僅丟失一‘把’密鑰也可能讓攻擊者設(shè)立起到遠端基礎(chǔ)設(shè)備的連接，繼而在那裡造成廣泛破壞。OEM廠商必須能夠在從──密匙產(chǎn)生和將其嵌入到ECU、到ECU交貨并裝配進汽車、再到汽車最后在大街上到處跑──這一整個生命期內(nèi)確保密鑰的安全。GreenHillsSoftware、Mocana和Certicom等專業(yè)嵌入式加密公司可以透過在這個領(lǐng)域中的指導(dǎo)和監(jiān)督向OEM廠商及其供應(yīng)商提供幫助。遠端威脅以下是典型的攻擊方式：駭客透過偵測汽車的長距離

5、無線介面尋找網(wǎng)路安全協(xié)議、網(wǎng)路服務(wù)和應(yīng)用程式中的軟肋，以找到進入內(nèi)部各電子系統(tǒng)的方式。與數(shù)據(jù)中心不同，汽車一般不可能擁有完整的IDS、IPS、防火墻和UTM。而近來產(chǎn)生的入侵新力、花旗集團、亞馬遜、谷歌和RSA的事件充分顯示，在老練的攻擊者面前，這些防衛(wèi)機制形同虛設(shè)。2010年，當(dāng)Stux（超級工廠病毒）肆虐時，美國國防部所屬的美國網(wǎng)戰(zhàn)司令部（CYBERCOM）司令KeithAlexer將軍建議對美國的重要基礎(chǔ)設(shè)備建構(gòu)自身的隔離安全網(wǎng)路

6、，與網(wǎng)際網(wǎng)路分開來。雖然這種做法似乎過于苛刻，但實際就是我們需要的思路。為了駕駛安全，汽車的關(guān)鍵系統(tǒng)必須與非關(guān)鍵的ECU和網(wǎng)路完全隔離開來。內(nèi)部電子威脅雖然實體網(wǎng)路隔離是理想方案，但接觸點不可避免。例如，在某些市場，在汽車行駛中，汽車導(dǎo)航系統(tǒng)必須關(guān)掉，這意味著在安全標準有很大不同的系統(tǒng)間的通訊很感應(yīng)。另外，業(yè)界出現(xiàn)了強烈的設(shè)計整合趨勢──使用更強大的多核心微處理器來實現(xiàn)各不同的系統(tǒng)，因而將許多ECU變成虛擬ECU──這將增加源于軟體的威

7、脅風(fēng)險，如由作業(yè)系統(tǒng)缺陷、對密碼系統(tǒng)的旁路攻擊以及拒絕服務(wù)等導(dǎo)致的權(quán)限擴大（privilegeescalation）。因此，為了安全，汽車的內(nèi)部電子架構(gòu)必須重新設(shè)計。關(guān)鍵和非關(guān)鍵的系統(tǒng)與網(wǎng)路之間的介面必須在最高管理層面進行論證和窮盡分析，并按諸如ISO15408評估安保等級（EAL）6等最高等級的安保標準進行驗證，以確認沒有缺陷。高可靠性軟體安全工程實施塬則（PHASE）協(xié)議支援大幅地簡化復(fù)雜性、軟體組件架構(gòu)、最低權(quán)限塬則、安全軟體和系