【導讀】在汽車(chē)行駛過(guò)程中，出現了剎車(chē)失靈和發(fā)動(dòng)機失控，這顯示攻擊確實(shí)能將乘客置于危險境地。將汽車(chē)連接到廣域網(wǎng)是導入老練攻擊者的元兇。一個(gè)缺陷就可能讓遠程攻擊者威脅到一長(cháng)串挨著(zhù)行駛的車(chē)隊。
2010年，美國汽車(chē)制造商推出了一項新穎的功能，可以讓車(chē)主在地球任何一個(gè)角落通過(guò)智慧手機控制車(chē)鎖并啟動(dòng)發(fā)動(dòng)機。這種連接功能需要依賴(lài)于汽車(chē)上的遠程信息通訊系統，而這種系統目前已經(jīng)是許多型號汽車(chē)的標準配置。在這種智慧手機推出之前，有個(gè)大學(xué)研究小組發(fā)布了一份研究報告，報告中指出，通過(guò)利用汽車(chē)嵌入式系統中的缺陷，汽車(chē)的關(guān)鍵系統（例如，剎車(chē)、發(fā)動(dòng)機節氣閥等）很容易被惡意操控。
這些研究人員研究了如何使用‘模糊’技術(shù)，從低安全性網(wǎng)絡(luò )侵入到關(guān)鍵系統。在汽車(chē)行駛過(guò)程中，出現了剎車(chē)失靈和發(fā)動(dòng)機失控，這顯示攻擊確實(shí)能將乘客置于危險境地。將汽車(chē)連接到廣域網(wǎng)是導入老練攻擊者的元兇。一個(gè)缺陷就可能讓遠程攻擊者威脅到一長(cháng)串挨著(zhù)行駛的車(chē)隊。
研究人員并沒(méi)有告訴我們能為目前的嵌入式汽車(chē)安全做些什么。但正如后面我們要討論到的那樣，我們必須對汽車(chē)技術(shù)做出實(shí)質(zhì)性的改革，以更好地隔離網(wǎng)絡(luò )子系統和生死攸關(guān)的安全功能。
目前的汽車(chē)電子
下圖顯示了當代汽車(chē)內部的部份電子系統。
圖1：當代汽車(chē)內部的部份電子系統。
高階豪華汽車(chē)在總計100個(gè)組件或電子控制單元（ECU）的相應系統中包含多達200個(gè)微處理器。這些ECU由多種不同類(lèi)型的網(wǎng)絡(luò )連接，例如，控制器區域網(wǎng)（CAN）、FlexRay、局域互連網(wǎng)絡(luò )（LIN）和針對媒體的系統傳送（MOST）。汽車(chē)OEM廠(chǎng)商需要對來(lái)自數十家一級和二級供貨商的ECU組件和軟件進(jìn)行整合。但OEM廠(chǎng)商不會(huì )去嚴格控制其供貨商的開(kāi)發(fā)過(guò)程。
因此人們對這種情形不能維持下去就不會(huì )感到驚訝了。OEM廠(chǎng)商將承受‘木桶理論’的惡果：只要一塊有嚴重可靠性問(wèn)題的ECU，就可能造成交貨延遲或車(chē)輛故障，因而使信譽(yù)受損。
安全威脅及減輕措施
對車(chē)輛造成的安全威脅可以分成三大類(lèi)：局部實(shí)體；遠程；內部電子。當這些威脅迭加在一起時(shí)，常常會(huì )造成車(chē)輛損壞。、
局部實(shí)體性威脅
通過(guò)實(shí)體性地接取傳動(dòng)系統CAN網(wǎng)絡(luò )并破壞通訊就是局部實(shí)體性威脅的一個(gè)例子。這種入侵式攻擊很容易破壞汽車(chē)的關(guān)鍵功能。然而，像心存不滿(mǎn)的技修工等局部攻擊者只可能損害一輛車(chē)，因此不足以引起設計安全團隊的注意。另外，汽車(chē)的復雜電子系統很難真正防范實(shí)體攻擊。因此我們對這類(lèi)威脅通常只能祈禱了。
然而，這里有個(gè)例外：在一個(gè)或多個(gè)ECU內部的某處地方儲存著(zhù)私有密鑰，用于制作受保護的信道，并提供局部數據保護服務(wù)。下面這張圖顯示了下一代汽車(chē)中使用的長(cháng)距離無(wú)線(xiàn)連接的一些例子。
圖2：下一代汽車(chē)中使用的長(cháng)距離無(wú)線(xiàn)連接。
汽車(chē)算法、多媒體內容和保密數據都可能需要數據保護。私鑰儲存必須能夠抵擋住凌厲的入侵和非入侵式實(shí)體性攻擊，因為即使僅丟失一‘把’密鑰也可能讓攻擊者設立起到遠程基礎設備的連接，繼而在那里造成廣泛破壞。
OEM廠(chǎng)商必須能夠在從密鑰產(chǎn)生和將其嵌入到ECU、到ECU交貨并裝配進(jìn)汽車(chē)、再到汽車(chē)最后在大街上到處跑這一整個(gè)生命期內確保密鑰的安全。Green Hills Software、Mocana和Certicom等專(zhuān)業(yè)嵌入式加密公司可以通過(guò)在這個(gè)領(lǐng)域中的指導和監督向OEM廠(chǎng)商及其供貨商提供幫助。
遠程威脅
以下是典型的攻擊方式：黑客通過(guò)偵測汽車(chē)的長(cháng)距離無(wú)線(xiàn)接口尋找網(wǎng)絡(luò )安全協(xié)議、網(wǎng)絡(luò )服務(wù)和應用程序中的軟肋，以找到進(jìn)入內部各電子系統的方式。與數據中心不同，汽車(chē)一般不可能擁有完整的IDS、IPS、防火墻和UTM。而近來(lái)產(chǎn)生的入侵新力、花旗集團、亞馬遜、谷歌和RSA的事件充分顯示，在老練的攻擊者面前，這些防衛機制形同虛設。
2010年，當Stuxnet（超級工廠(chǎng)病毒）肆虐時(shí)，美國國防部所屬的美國網(wǎng)戰司令部（CYBERCOM）司令Keith Alexander將軍建議對美國的重要基礎設備建構自身的隔離安全網(wǎng)絡(luò )，與因特網(wǎng)分開(kāi)來(lái)。雖然這種做法似乎過(guò)于苛刻，但實(shí)際就是我們需要的思路。為了駕駛安全，汽車(chē)的關(guān)鍵系統必須與非關(guān)鍵的ECU和網(wǎng)絡(luò )完全隔離開(kāi)來(lái)。
內部電子威脅
雖然實(shí)體網(wǎng)絡(luò )隔離是理想方案，但接觸點(diǎn)不可避免。例如，在某些市場(chǎng)，在汽車(chē)行駛中，汽車(chē)導航系統必須關(guān)掉，這意味著(zhù)在安全標準有很大不同的系統間的通訊和感應。另外，業(yè)界出現了強烈的設計整合趨勢使用更強大的多核心微處理器來(lái)實(shí)現各不同的系統，因而將許多ECU變成虛擬ECU這將增加源于軟件的威脅風(fēng)險，如由操作系統缺陷、對密碼系統的旁路攻擊以及拒絕服務(wù)等導致的權限擴大（privilege escalation）。
因此，為了安全，汽車(chē)的內部電子架構必須重新設計。關(guān)鍵和非關(guān)鍵的系統與網(wǎng)絡(luò )之間的接口必須在最高管理層面進(jìn)行論證和窮盡分析，并按諸如ISO15408評估安保等級（EAL）6+等最高等級的安保標準進(jìn)行驗證，以確認沒(méi)有缺陷。高可靠性軟件/安全工程實(shí)施原則（PHASE）協(xié)議支持大幅地簡(jiǎn)化復雜性、軟件組件架構、最低權限原則、安全軟件和系統開(kāi)發(fā)過(guò)程，OEM廠(chǎng)商必須學(xué)習和采用獨立的專(zhuān)家安全驗證，并在其整個(gè)供應鏈中貫徹執行。
本文小結
汽車(chē)制造商和一級供貨商在設計目前上路的汽車(chē)時(shí)可能還沒(méi)有下大力氣考慮安全性要求，但很明顯情況在產(chǎn)生變化。制造商在車(chē)載電子設備與網(wǎng)絡(luò )的設計與架構階段應盡早與嵌入式安全專(zhuān)業(yè)公司展開(kāi)緊密合作，并且必須提高以安全為導向的工程技術(shù)與軟件安全保障水平。最后，汽車(chē)產(chǎn)業(yè)迫切需要一個(gè)獨立的標準組織來(lái)為車(chē)載電子設備定義和執行系統級的安全認證計劃。
