2010年，美國汽車制造商推出了一項新穎的功能，可以讓車主在地球任何一個角落通過智能手機控制車鎖并啟動發(fā)動機。這種連接功能需要依賴于汽車上的遠程信息通信系統(tǒng)，而這種系統(tǒng)目前已經是許多型號汽車的標準配置。

在這種智能手機推出之前，有個大學研究小組發(fā)布了一份研究報告，報告中指出，通過利用汽車嵌入式系統(tǒng)中的缺陷，汽車的關鍵系統(tǒng)(例如，剎車、發(fā)動機節(jié)氣閥等)很容易被惡意操控。

這些研究人員研究了如何使用“模糊”技術，從低安全性網絡侵入到關鍵系統(tǒng)。在汽車行駛過程中，出現(xiàn)了剎車失靈和發(fā)動機失控，這表明攻擊確實能將乘客置于危險境地。

將汽車連接到廣域網是引入老練攻擊者的元兇。一個缺陷就可能讓遠程攻擊者威脅到一長串挨著行駛的車隊。

研究人員并沒有告訴我們能為當今的嵌入式汽車安全做些什么。但正如后面我們要討論到的那樣，我們必須對汽車技術做出實質性的改革，以更好地隔離網絡子系統(tǒng)和生死攸關的安全功能。

當今的汽車電子

圖1顯示了當代汽車內部的部分電子系統(tǒng)。

圖1：當代汽車內部的部分電子系統(tǒng)。

高端豪華汽車在總計100個組件或電子控制單元(ECU)的相應系統(tǒng)中包含多達200個微處理器。這些ECU由多種不同類型的網絡連接，例如，控制器局域網(CAN)、FlexRay、局域互連網絡(LIN)和面向媒體的系統(tǒng)傳送(MOST)。汽車OEM廠商需要對來自數(shù)十家一級和二級供應商的ECU組件和軟件進行集成。但OEM廠商不會去嚴格控制其供應商的開發(fā)過程。

因此人們對這種情形不能維持下去就不會感到驚訝了。OEM廠商將承受“木桶理論”的惡果：只要一塊有嚴重可靠性問題的ECU，就可能造成交貨延遲或車輛故障，從而使信譽受損。

安全威脅及減輕措施

對車輛造成的安全威脅可以分成三大類：局部物理;遠程;內部電子。當這些威脅疊加在一起時，常常會造成車輛損壞。

局部物理性威脅

通過物理性地接入傳動系CAN網絡并破壞通信就是局部物理性威脅的一個例子。這種入侵式攻擊很容易破壞汽車的關鍵功能。然而，像心存不滿的技修工等局部攻擊者只可能損害一輛車，因此不足以引起設計安全團隊的注意。另外，汽車的復雜電子系統(tǒng)很難真正防范物理攻擊。因此我們對這類威脅通常只能祈禱了。

然而，這里有個例外：在一個或多個ECU內部的某處地方存儲著私有密鑰，用于創(chuàng)建受保護的通信通道，并提供局部數(shù)據(jù)保護服務。圖2顯示了下一代汽車中使用的長距離無線連接的一些例子。

圖2：下一代汽車中使用的長距離無線連接 。

汽車算法、多媒體內容和保密資料都可能需要數(shù)據(jù)保護。私鑰存儲必須能夠抵擋住凌厲的入侵和非入侵式物理性攻擊，因為即使僅丟失一“把”密鑰也可能讓攻擊者建立起到遠程基礎設施的連接，繼而在那里造成廣泛破壞。

OEM廠商必須能夠在從——密匙生成和將其嵌入到ECU、到ECU交貨并裝配進汽車、再到汽車最后在大街上到處跑——這一整個生命期內確保密鑰的安全。Green Hills Software、Mocana和Certicom 等專業(yè)嵌入式加密公司可以通過在這個領域中的指導和監(jiān)督向OEM廠商及其供應商提供幫助。

遠程威脅

以下是典型的攻擊方式：黑客通過偵測汽車的長距離無線接口尋找網絡安全協(xié)議、網絡服務和應用程序中的軟肋，以找到進入內部各電子系統(tǒng)的方式。與數(shù)據(jù)中心不同，汽車一般不可能擁有完整的IDS、IPS、防火墻和UTM。而近來發(fā)生的入侵索尼、花旗集團、亞馬遜、谷歌和RSA的事件充分表明，在老練的攻擊者面前，這些防衛(wèi)機制形同虛設。

2010年，當Stuxnet(超級工廠病毒)肆虐時，美國國防部下屬的美國網戰(zhàn)司令部(CYBERCOM)司令Keith Alexander將軍建議對美國的重要基礎設施構建自身的隔離安全網絡，與互聯(lián)網分開來。雖然這種做法似乎過于苛刻，但實際就是我們需要的思路。為了駕駛安全，汽車的關鍵系統(tǒng)必須與非關鍵的ECU和網絡完全隔離開來。

內部電子威脅

雖然物理網絡隔離是理想方案，但接觸點不可避免。例如，在某些市場，在汽車行駛中，汽車導航系統(tǒng)必須關掉，這意味著在安全標準有很大不同的系統(tǒng)間的通信很敏感。另外，業(yè)界出現(xiàn)了強烈的設計整合趨勢——使用更強大的多內核微處理器來實現(xiàn)各不同的系統(tǒng)，從而將許多ECU變成虛擬ECU——這將增加源于軟件的威脅風險，如由操作系統(tǒng)缺陷、對密碼系統(tǒng)的旁路攻擊以及拒絕服務等導致的權限擴大(privilege escalation)。

因此，為了安全，汽車的內部電子架構必須重新設計。關鍵和非關鍵的系統(tǒng)與網絡之間的接口必須在最高管理層面進行論證和窮盡分析，并按諸如ISO 15408評估安保等級(EAL) 6+等最高等級的安保標準進行驗證，以確認沒有缺陷。

高可靠性軟件/安全工程實施原則(PHASE)協(xié)議支持最大限度地簡化復雜性、軟件組件架構、最低權限原則、安全軟件和系統(tǒng)開發(fā)過程，OEM廠商必須學習和采用獨立的專家安全驗證，并在其整個供應鏈中貫徹執(zhí)行。

本文小結

汽車制造商和一級供應商在設計目前上路的汽車時可能還沒有下大力氣考慮安全性要求，但很明顯情況在發(fā)生變化。制造商在車載電子設備與網絡的設計與架構階段應盡早與嵌入式安全專業(yè)公司開展緊密合作，并且必須提高以安全為導向的工程技術與軟件安全保障水平。最后，汽車工業(yè)迫切需要一個獨立的標準組織來為車載電子設備定義和執(zhí)行系統(tǒng)級的安全認證計劃。