車聯(lián)網(wǎng)時代 汽車網(wǎng)絡(luò)安全架構(gòu)如何不失身

　　汽車單純地作為通勤工具，能夠聽聽廣播、放放CD就以為是多么了不起的“多媒體”時代一去不復(fù)返了?，F(xiàn)如今，汽車可謂是內(nèi)外連通：不僅能與車內(nèi)設(shè)備連接，同時還可以方便快捷地接入Internet服務(wù)。它們通常裝有50-70個電控單元(ECU)來實現(xiàn)移動互聯(lián)的不同功能，車內(nèi)乘客不僅可以隨時從互聯(lián)網(wǎng)下載流媒體內(nèi)容，還可以與朋友們時刻保持聯(lián)系，甚至網(wǎng)上購物也不在話下。

　　當(dāng)然，凡事都具有兩面性。先進(jìn)的車載聯(lián)網(wǎng)技術(shù)的確可以給用戶帶來便捷的體驗，但不可否認(rèn)大批的“臭蟲”未來也會順著互聯(lián)網(wǎng)這根線索爬進(jìn)車?yán)?。一輛以直接或者間接方式連接了因特網(wǎng)的汽車很可能暴露于惡意軟件的代碼和數(shù)據(jù)攻擊之下，使車輛受控行駛，急踩剎車，未經(jīng)允許自動開關(guān)車門，甚至?xí)斐深愃芐RS等重要安全系統(tǒng)的失靈。

　　當(dāng)然，汽車制造商們也十分“捉急”，而目前看來行之有效的就是建立一套有效的安全系統(tǒng)架構(gòu)和方法論。

　　以“控制中心”為首的汽車網(wǎng)絡(luò)安全架構(gòu)

　　傳統(tǒng)的汽車網(wǎng)絡(luò)受限于車內(nèi)的電控單元，而這些電控單元是與諸如控制器局域網(wǎng)(CAN)、車載網(wǎng)絡(luò)標(biāo)準(zhǔn)(FlexRay)及內(nèi)部互聯(lián)網(wǎng)(LIN)等汽車網(wǎng)絡(luò)相連接的。然而，如今車聯(lián)網(wǎng)技術(shù)使汽車可實現(xiàn)與提供自動緊急呼叫(e-all)、遠(yuǎn)程診斷和數(shù)據(jù)交換等功能的車內(nèi)電子設(shè)備和汽車制造商端口進(jìn)行連接。而在不遠(yuǎn)的將來，車與車之間同樣可以自由“交流”，進(jìn)行操作系統(tǒng)生態(tài)數(shù)據(jù)的無縫交換。

　　隨著信息娛樂系統(tǒng)和連通性技術(shù)的不斷改進(jìn)，車載數(shù)據(jù)的密度在本質(zhì)、數(shù)量和方向上發(fā)生了很大改變。這些數(shù)據(jù)可以做如下分類：

　　1.接收的數(shù)據(jù)：汽車通過傳感器或互聯(lián)網(wǎng)從外部環(huán)境中獲得的數(shù)據(jù)。

　　傳統(tǒng)的車載軟件僅需要處理ECU通過傳感器或其他電控單元接收的數(shù)據(jù)即可。然而，ECU設(shè)計之初并不具備檢測每一個CAN上傳數(shù)據(jù)包的功能。而由于接收的數(shù)據(jù)一方面包含了從云端下載的內(nèi)容，另一方面那些網(wǎng)絡(luò)連接端口處惡意軟件植入汽車網(wǎng)絡(luò)的數(shù)據(jù)同樣可能包含其中，因此大大增加了汽車網(wǎng)絡(luò)被“黑”的風(fēng)險。

　　2.處理的數(shù)據(jù)：經(jīng)ECU不同部分計算處理過的數(shù)據(jù)或流經(jīng)車載娛樂系統(tǒng)ECU的用戶數(shù)據(jù)群。

　　由于接收到的數(shù)據(jù)可能并不安全，這可能導(dǎo)致數(shù)據(jù)處理發(fā)生錯誤。同時汽車的聯(lián)網(wǎng)和信息娛樂系統(tǒng)在受到代碼篡改以及用戶數(shù)據(jù)人為操控等作用時很容易出現(xiàn)崩潰。

　　3.發(fā)出的數(shù)據(jù)：汽車及用戶數(shù)據(jù)可能需要在云端處理，以便提供包括個性化投保方案、定制資訊內(nèi)容以及廣告等眾多服務(wù)。

　　隨著汽車與外部設(shè)備和外部環(huán)境的聯(lián)系愈加緊密，安全風(fēng)險的本質(zhì)和以及可能造成的威脅也正逐漸發(fā)生著變化。比如，汽車通過傳感器和制動器與環(huán)境進(jìn)行交互。因此，汽車網(wǎng)絡(luò)的安全就需要同時考慮數(shù)據(jù)和環(huán)境安全這兩方面因素。而且，對于安全威脅的預(yù)防和實時監(jiān)測同樣需要引起更多的重視。

　　這些潛在風(fēng)險可分為以下幾種：

　　1. 安全類：安全漏洞將削弱關(guān)鍵系統(tǒng)的安全性，將乘車人、外部行人和周邊環(huán)境置于危險當(dāng)中;

　　2. 妨害類：非關(guān)鍵安全系統(tǒng)受影響將導(dǎo)致汽車拒絕服務(wù)或進(jìn)行不必要的操作。

　　3. 隱私類：安全漏洞可能導(dǎo)致個人信息泄露，并被濫用或篡改。

　　4. 經(jīng)濟類：經(jīng)濟損失可能是篡改授權(quán)或敲詐勒索等形式。

　　安全漏洞隨著允許汽車與外部設(shè)備或網(wǎng)絡(luò)連接接口數(shù)量的增加而逐漸增多。而第一種關(guān)鍵的架構(gòu)方式是：減少接口的數(shù)量，并將剩余的接口整合成一個“控制中心”，而該“控制中心”將作為連通汽車內(nèi)部網(wǎng)絡(luò)和外部設(shè)備/網(wǎng)絡(luò)之間安全、智能的大門。采用這種方式可以更好地保護(hù)汽車不受惡意軟件的攻擊，同時也阻止了敏感信息的內(nèi)輸和外露。

　　當(dāng)然建立以“控制中心”為首的汽車網(wǎng)絡(luò)安全架構(gòu)，在應(yīng)對安全風(fēng)險時可采取多種策略。如通過設(shè)立防火墻的方式來提供對其余網(wǎng)絡(luò)的安全訪問。

　　“控制中心”網(wǎng)絡(luò)安全架構(gòu)有幾個關(guān)鍵要素：

　　1. 受保護(hù)的關(guān)鍵入口：基于有線或無線接口的連接;

　　2. “封閉系統(tǒng)”：提供受限訪問的預(yù)配置好的防火墻;

　　3. 縝密的用戶訪問控制：不允許任何非授權(quán)用戶訪問隱私數(shù)據(jù)。

　　汽車網(wǎng)絡(luò)安全設(shè)計方法論

　　除了靠譜的網(wǎng)絡(luò)安全系統(tǒng)架構(gòu)之外，有效的工程解決方案對于在系統(tǒng)設(shè)計的各個步驟中降低安全風(fēng)險也是十分關(guān)鍵的。汽車制造商及其工程師需要考慮如下的工程方案和設(shè)計步驟來確保汽車網(wǎng)絡(luò)連接的安全性：

　　1. 接口風(fēng)險分析(Interface risk analysis)

　　接口風(fēng)險分析過程包括檢查所有與汽車連接的云端或設(shè)備相關(guān)的系統(tǒng)接口。第一步是識別所有的接口終端，包括網(wǎng)絡(luò)終端、設(shè)備和無線接口及總線連接器;第二、三步則分別是識別攻擊以及攻擊中包含的潛在安全問題。一旦接口分析完畢，合適的系統(tǒng)設(shè)計方式就可以直接上馬了。

　　2. 功能安全分析(Functional safety analysis)

　　車輛功能安全標(biāo)準(zhǔn)ISO 26262提供了系統(tǒng)或子系統(tǒng)內(nèi)安全要求的方法。其具體描述了諸如危害分析和風(fēng)險評估、失效模式與影響分析(FMEA)、故障樹分析法以及危害度分析等安全分析的方法。

　　汽車業(yè)應(yīng)采取功能安全概念來評估安全分析。當(dāng)安全保障實施完成后，就應(yīng)該建立含有“證據(jù)”的安全狀況報告，囊括安全行為的證據(jù);風(fēng)險、威脅和漏洞的識別與分析;以及可服從的安全標(biāo)準(zhǔn)。

　　3. 防御性編程(Defensive programming)

　　防御性編程是繼嵌入式安全系統(tǒng)發(fā)生關(guān)鍵作用之外的推手。它保障了軟件功能即使被用于未預(yù)見到的用途時也能正常運行。在安全環(huán)境中，這類未預(yù)見到的用途可能來源于從傳感器或汽車網(wǎng)絡(luò)中接收到的被篡改的數(shù)據(jù)。防御性編程有這么幾個特定的操作原則，如“除非能夠證明數(shù)據(jù)的安全性，那么所有數(shù)據(jù)都可能具有傳染性”，即使在惡意輸入的情況下也能防止軟件發(fā)生安全故障，屬于強有力的保護(hù)措施。

　　隨著車聯(lián)網(wǎng)技術(shù)的不斷發(fā)展，未來汽車的聯(lián)網(wǎng)程度和內(nèi)外數(shù)據(jù)交換的容量都將日益增多。不過要使汽車面對網(wǎng)絡(luò)惡意攻擊時能夠“刀槍不入”，必須加強汽車安全系統(tǒng)的架構(gòu)。因此，以“控制中心”為首的汽車安全解決方案以及強悍的工程方法論，都能夠充分保證汽車在聯(lián)網(wǎng)時不致于“失身”。