2010年，美國(guó)汽車(chē)制造商推出了一項(xiàng)新穎的功能，可以讓車(chē)主在地球任何一個(gè)角落通過(guò)智能手機(jī)控制車(chē)鎖并啟動(dòng)發(fā)動(dòng)機(jī)。這種連接功能需要依賴(lài)于汽車(chē)上的遠(yuǎn)程信息通信系統(tǒng)，而這種系統(tǒng)目前已經(jīng)是許多型號(hào)汽車(chē)的標(biāo)準(zhǔn)配置。

在這種智能手機(jī)推出之前，有個(gè)大學(xué)研究小組發(fā)布了一份研究報(bào)告，報(bào)告中指出，通過(guò)利用汽車(chē)嵌入式系統(tǒng)中的缺陷，汽車(chē)的關(guān)鍵系統(tǒng)(例如，剎車(chē)、發(fā)動(dòng)機(jī)節(jié)氣閥等)很容易被惡意操控。

這些研究人員研究了如何使用“模糊”技術(shù)，從低安全性網(wǎng)絡(luò)侵入到關(guān)鍵系統(tǒng)。在汽車(chē)行駛過(guò)程中，出現(xiàn)了剎車(chē)失靈和發(fā)動(dòng)機(jī)失控，這表明攻擊確實(shí)能將乘客置于危險(xiǎn)境地。

將汽車(chē)連接到廣域網(wǎng)是引入老練攻擊者的元兇。一個(gè)缺陷就可能讓遠(yuǎn)程攻擊者威脅到一長(zhǎng)串挨著行駛的車(chē)隊(duì)。

研究人員并沒(méi)有告訴我們能為當(dāng)今的嵌入式汽車(chē)安全做些什么。但正如后面我們要討論到的那樣，我們必須對(duì)汽車(chē)技術(shù)做出實(shí)質(zhì)性的改革，以更好地隔離網(wǎng)絡(luò)子系統(tǒng)和生死攸關(guān)的安全功能。

當(dāng)今的汽車(chē)電子

圖1顯示了當(dāng)代汽車(chē)內(nèi)部的部分電子系統(tǒng)。

圖1：當(dāng)代汽車(chē)內(nèi)部的部分電子系統(tǒng)。

高端豪華汽車(chē)在總計(jì)100個(gè)組件或電子控制單元(ECU)的相應(yīng)系統(tǒng)中包含多達(dá)200個(gè)微處理器。這些ECU由多種不同類(lèi)型的網(wǎng)絡(luò)連接，例如，控制器局域網(wǎng)(CAN)、FlexRay、局域互連網(wǎng)絡(luò)(LIN)和面向媒體的系統(tǒng)傳送(MOST)。汽車(chē)OEM廠(chǎng)商需要對(duì)來(lái)自數(shù)十家一級(jí)和二級(jí)供應(yīng)商的ECU組件和軟件進(jìn)行集成。但OEM廠(chǎng)商不會(huì)去嚴(yán)格控制其供應(yīng)商的開(kāi)發(fā)過(guò)程。

因此人們對(duì)這種情形不能維持下去就不會(huì)感到驚訝了。OEM廠(chǎng)商將承受“木桶理論”的惡果：只要一塊有嚴(yán)重可靠性問(wèn)題的ECU，就可能造成交貨延遲或車(chē)輛故障，從而使信譽(yù)受損。

安全威脅及減輕措施

對(duì)車(chē)輛造成的安全威脅可以分成三大類(lèi)：局部物理;遠(yuǎn)程;內(nèi)部電子。當(dāng)這些威脅疊加在一起時(shí)，常常會(huì)造成車(chē)輛損壞。

局部物理性威脅

通過(guò)物理性地接入傳動(dòng)系CAN網(wǎng)絡(luò)并破壞通信就是局部物理性威脅的一個(gè)例子。這種入侵式攻擊很容易破壞汽車(chē)的關(guān)鍵功能。然而，像心存不滿(mǎn)的技修工等局部攻擊者只可能損害一輛車(chē)，因此不足以引起設(shè)計(jì)安全團(tuán)隊(duì)的注意。另外，汽車(chē)的復(fù)雜電子系統(tǒng)很難真正防范物理攻擊。因此我們對(duì)這類(lèi)威脅通常只能祈禱了。

然而，這里有個(gè)例外：在一個(gè)或多個(gè)ECU內(nèi)部的某處地方存儲(chǔ)著私有密鑰，用于創(chuàng)建受保護(hù)的通信通道，并提供局部數(shù)據(jù)保護(hù)服務(wù)。圖2顯示了下一代汽車(chē)中使用的長(zhǎng)距離無(wú)線(xiàn)連接的一些例子。

圖2：下一代汽車(chē)中使用的長(zhǎng)距離無(wú)線(xiàn)連接 。

汽車(chē)算法、多媒體內(nèi)容和保密資料都可能需要數(shù)據(jù)保護(hù)。私鑰存儲(chǔ)必須能夠抵擋住凌厲的入侵和非入侵式物理性攻擊，因?yàn)榧词箖H丟失一“把”密鑰也可能讓攻擊者建立起到遠(yuǎn)程基礎(chǔ)設(shè)施的連接，繼而在那里造成廣泛破壞。

OEM廠(chǎng)商必須能夠在從——密匙生成和將其嵌入到ECU、到ECU交貨并裝配進(jìn)汽車(chē)、再到汽車(chē)最后在大街上到處跑——這一整個(gè)生命期內(nèi)確保密鑰的安全。Green Hills Software、Mocana和Certicom 等專(zhuān)業(yè)嵌入式加密公司可以通過(guò)在這個(gè)領(lǐng)域中的指導(dǎo)和監(jiān)督向OEM廠(chǎng)商及其供應(yīng)商提供幫助。

遠(yuǎn)程威脅

以下是典型的攻擊方式：黑客通過(guò)偵測(cè)汽車(chē)的長(zhǎng)距離無(wú)線(xiàn)接口尋找網(wǎng)絡(luò)安全協(xié)議、網(wǎng)絡(luò)服務(wù)和應(yīng)用程序中的軟肋，以找到進(jìn)入內(nèi)部各電子系統(tǒng)的方式。與數(shù)據(jù)中心不同，汽車(chē)一般不可能擁有完整的IDS、IPS、防火墻和UTM。而近來(lái)發(fā)生的入侵索尼、花旗集團(tuán)、亞馬遜、谷歌和RSA的事件充分表明，在老練的攻擊者面前，這些防衛(wèi)機(jī)制形同虛設(shè)。

2010年，當(dāng)Stuxnet(超級(jí)工廠(chǎng)病毒)肆虐時(shí)，美國(guó)國(guó)防部下屬的美國(guó)網(wǎng)戰(zhàn)司令部(CYBERCOM)司令Keith Alexander將軍建議對(duì)美國(guó)的重要基礎(chǔ)設(shè)施構(gòu)建自身的隔離安全網(wǎng)絡(luò)，與互聯(lián)網(wǎng)分開(kāi)來(lái)。雖然這種做法似乎過(guò)于苛刻，但實(shí)際就是我們需要的思路。為了駕駛安全，汽車(chē)的關(guān)鍵系統(tǒng)必須與非關(guān)鍵的ECU和網(wǎng)絡(luò)完全隔離開(kāi)來(lái)。

內(nèi)部電子威脅

雖然物理網(wǎng)絡(luò)隔離是理想方案，但接觸點(diǎn)不可避免。例如，在某些市場(chǎng)，在汽車(chē)行駛中，汽車(chē)導(dǎo)航系統(tǒng)必須關(guān)掉，這意味著在安全標(biāo)準(zhǔn)有很大不同的系統(tǒng)間的通信很敏感。另外，業(yè)界出現(xiàn)了強(qiáng)烈的設(shè)計(jì)整合趨勢(shì)——使用更強(qiáng)大的多內(nèi)核微處理器來(lái)實(shí)現(xiàn)各不同的系統(tǒng)，從而將許多ECU變成虛擬ECU——這將增加源于軟件的威脅風(fēng)險(xiǎn)，如由操作系統(tǒng)缺陷、對(duì)密碼系統(tǒng)的旁路攻擊以及拒絕服務(wù)等導(dǎo)致的權(quán)限擴(kuò)大(privilege escalation)。

因此，為了安全，汽車(chē)的內(nèi)部電子架構(gòu)必須重新設(shè)計(jì)。關(guān)鍵和非關(guān)鍵的系統(tǒng)與網(wǎng)絡(luò)之間的接口必須在最高管理層面進(jìn)行論證和窮盡分析，并按諸如ISO 15408評(píng)估安保等級(jí)(EAL) 6+等最高等級(jí)的安保標(biāo)準(zhǔn)進(jìn)行驗(yàn)證，以確認(rèn)沒(méi)有缺陷。

高可靠性軟件/安全工程實(shí)施原則(PHASE)協(xié)議支持最大限度地簡(jiǎn)化復(fù)雜性、軟件組件架構(gòu)、最低權(quán)限原則、安全軟件和系統(tǒng)開(kāi)發(fā)過(guò)程，OEM廠(chǎng)商必須學(xué)習(xí)和采用獨(dú)立的專(zhuān)家安全驗(yàn)證，并在其整個(gè)供應(yīng)鏈中貫徹執(zhí)行。

本文小結(jié)

汽車(chē)制造商和一級(jí)供應(yīng)商在設(shè)計(jì)目前上路的汽車(chē)時(shí)可能還沒(méi)有下大力氣考慮安全性要求，但很明顯情況在發(fā)生變化。制造商在車(chē)載電子設(shè)備與網(wǎng)絡(luò)的設(shè)計(jì)與架構(gòu)階段應(yīng)盡早與嵌入式安全專(zhuān)業(yè)公司開(kāi)展緊密合作，并且必須提高以安全為導(dǎo)向的工程技術(shù)與軟件安全保障水平。最后，汽車(chē)工業(yè)迫切需要一個(gè)獨(dú)立的標(biāo)準(zhǔn)組織來(lái)為車(chē)載電子設(shè)備定義和執(zhí)行系統(tǒng)級(jí)的安全認(rèn)證計(jì)劃。