你的位置:首頁 > 電源管理 > 正文

如何使用“模糊”技術(shù)保障汽車系統(tǒng)安全

發(fā)布時間:2016-06-28 責(zé)任編輯:susan

【導(dǎo)讀】在汽車行駛過程中,出現(xiàn)了剎車失靈和發(fā)動機(jī)失控,這顯示攻擊確實能將乘客置于危險境地。將汽車連接到廣域網(wǎng)是導(dǎo)入老練攻擊者的元兇。一個缺陷就可能讓遠(yuǎn)程攻擊者威脅到一長串挨著行駛的車隊。
 
2010年,美國汽車制造商推出了一項新穎的功能,可以讓車主在地球任何一個角落通過智慧手機(jī)控制車鎖并啟動發(fā)動機(jī)。這種連接功能需要依賴于汽車上的遠(yuǎn)程信息通訊系統(tǒng),而這種系統(tǒng)目前已經(jīng)是許多型號汽車的標(biāo)準(zhǔn)配置。在這種智慧手機(jī)推出之前,有個大學(xué)研究小組發(fā)布了一份研究報告,報告中指出,通過利用汽車嵌入式系統(tǒng)中的缺陷,汽車的關(guān)鍵系統(tǒng)(例如,剎車、發(fā)動機(jī)節(jié)氣閥等)很容易被惡意操控。
  
這些研究人員研究了如何使用‘模糊’技術(shù),從低安全性網(wǎng)絡(luò)侵入到關(guān)鍵系統(tǒng)。在汽車行駛過程中,出現(xiàn)了剎車失靈和發(fā)動機(jī)失控,這顯示攻擊確實能將乘客置于危險境地。將汽車連接到廣域網(wǎng)是導(dǎo)入老練攻擊者的元兇。一個缺陷就可能讓遠(yuǎn)程攻擊者威脅到一長串挨著行駛的車隊。
  
研究人員并沒有告訴我們能為目前的嵌入式汽車安全做些什么。但正如后面我們要討論到的那樣,我們必須對汽車技術(shù)做出實質(zhì)性的改革,以更好地隔離網(wǎng)絡(luò)子系統(tǒng)和生死攸關(guān)的安全功能。
  
目前的汽車電子
  
下圖顯示了當(dāng)代汽車內(nèi)部的部份電子系統(tǒng)。
 
圖1:當(dāng)代汽車內(nèi)部的部份電子系統(tǒng)。
  
高階豪華汽車在總計100個組件或電子控制單元(ECU)的相應(yīng)系統(tǒng)中包含多達(dá)200個微處理器。這些ECU由多種不同類型的網(wǎng)絡(luò)連接,例如,控制器區(qū)域網(wǎng)(CAN)、FlexRay、局域互連網(wǎng)絡(luò)(LIN)和針對媒體的系統(tǒng)傳送(MOST)。汽車OEM廠商需要對來自數(shù)十家一級和二級供貨商的ECU組件和軟件進(jìn)行整合。但OEM廠商不會去嚴(yán)格控制其供貨商的開發(fā)過程。
  
因此人們對這種情形不能維持下去就不會感到驚訝了。OEM廠商將承受‘木桶理論’的惡果:只要一塊有嚴(yán)重可靠性問題的ECU,就可能造成交貨延遲或車輛故障,因而使信譽(yù)受損。
  
安全威脅及減輕措施
  
對車輛造成的安全威脅可以分成三大類:局部實體;遠(yuǎn)程;內(nèi)部電子。當(dāng)這些威脅迭加在一起時,常常會造成車輛損壞。、
 
局部實體性威脅
  
通過實體性地接取傳動系統(tǒng)CAN網(wǎng)絡(luò)并破壞通訊就是局部實體性威脅的一個例子。這種入侵式攻擊很容易破壞汽車的關(guān)鍵功能。然而,像心存不滿的技修工等局部攻擊者只可能損害一輛車,因此不足以引起設(shè)計安全團(tuán)隊的注意。另外,汽車的復(fù)雜電子系統(tǒng)很難真正防范實體攻擊。因此我們對這類威脅通常只能祈禱了。
  
然而,這里有個例外:在一個或多個ECU內(nèi)部的某處地方儲存著私有密鑰,用于制作受保護(hù)的信道,并提供局部數(shù)據(jù)保護(hù)服務(wù)。下面這張圖顯示了下一代汽車中使用的長距離無線連接的一些例子。
 
圖2:下一代汽車中使用的長距離無線連接。
  
汽車算法、多媒體內(nèi)容和保密數(shù)據(jù)都可能需要數(shù)據(jù)保護(hù)。私鑰儲存必須能夠抵擋住凌厲的入侵和非入侵式實體性攻擊,因為即使僅丟失一‘把’密鑰也可能讓攻擊者設(shè)立起到遠(yuǎn)程基礎(chǔ)設(shè)備的連接,繼而在那里造成廣泛破壞。
  
OEM廠商必須能夠在從密鑰產(chǎn)生和將其嵌入到ECU、到ECU交貨并裝配進(jìn)汽車、再到汽車最后在大街上到處跑這一整個生命期內(nèi)確保密鑰的安全。Green Hills Software、Mocana和Certicom等專業(yè)嵌入式加密公司可以通過在這個領(lǐng)域中的指導(dǎo)和監(jiān)督向OEM廠商及其供貨商提供幫助。
  
遠(yuǎn)程威脅
  
以下是典型的攻擊方式:黑客通過偵測汽車的長距離無線接口尋找網(wǎng)絡(luò)安全協(xié)議、網(wǎng)絡(luò)服務(wù)和應(yīng)用程序中的軟肋,以找到進(jìn)入內(nèi)部各電子系統(tǒng)的方式。與數(shù)據(jù)中心不同,汽車一般不可能擁有完整的IDS、IPS、防火墻和UTM。而近來產(chǎn)生的入侵新力、花旗集團(tuán)、亞馬遜、谷歌和RSA的事件充分顯示,在老練的攻擊者面前,這些防衛(wèi)機(jī)制形同虛設(shè)。
 
2010年,當(dāng)Stuxnet(超級工廠病毒)肆虐時,美國國防部所屬的美國網(wǎng)戰(zhàn)司令部(CYBERCOM)司令Keith Alexander將軍建議對美國的重要基礎(chǔ)設(shè)備建構(gòu)自身的隔離安全網(wǎng)絡(luò),與因特網(wǎng)分開來。雖然這種做法似乎過于苛刻,但實際就是我們需要的思路。為了駕駛安全,汽車的關(guān)鍵系統(tǒng)必須與非關(guān)鍵的ECU和網(wǎng)絡(luò)完全隔離開來。
  
內(nèi)部電子威脅
  
雖然實體網(wǎng)絡(luò)隔離是理想方案,但接觸點不可避免。例如,在某些市場,在汽車行駛中,汽車導(dǎo)航系統(tǒng)必須關(guān)掉,這意味著在安全標(biāo)準(zhǔn)有很大不同的系統(tǒng)間的通訊和感應(yīng)。另外,業(yè)界出現(xiàn)了強(qiáng)烈的設(shè)計整合趨勢使用更強(qiáng)大的多核心微處理器來實現(xiàn)各不同的系統(tǒng),因而將許多ECU變成虛擬ECU這將增加源于軟件的威脅風(fēng)險,如由操作系統(tǒng)缺陷、對密碼系統(tǒng)的旁路攻擊以及拒絕服務(wù)等導(dǎo)致的權(quán)限擴(kuò)大(privilege escalation)。
  
因此,為了安全,汽車的內(nèi)部電子架構(gòu)必須重新設(shè)計。關(guān)鍵和非關(guān)鍵的系統(tǒng)與網(wǎng)絡(luò)之間的接口必須在最高管理層面進(jìn)行論證和窮盡分析,并按諸如ISO15408評估安保等級(EAL)6+等最高等級的安保標(biāo)準(zhǔn)進(jìn)行驗證,以確認(rèn)沒有缺陷。高可靠性軟件/安全工程實施原則(PHASE)協(xié)議支持大幅地簡化復(fù)雜性、軟件組件架構(gòu)、最低權(quán)限原則、安全軟件和系統(tǒng)開發(fā)過程,OEM廠商必須學(xué)習(xí)和采用獨立的專家安全驗證,并在其整個供應(yīng)鏈中貫徹執(zhí)行。
  
本文小結(jié)
  
汽車制造商和一級供貨商在設(shè)計目前上路的汽車時可能還沒有下大力氣考慮安全性要求,但很明顯情況在產(chǎn)生變化。制造商在車載電子設(shè)備與網(wǎng)絡(luò)的設(shè)計與架構(gòu)階段應(yīng)盡早與嵌入式安全專業(yè)公司展開緊密合作,并且必須提高以安全為導(dǎo)向的工程技術(shù)與軟件安全保障水平。最后,汽車產(chǎn)業(yè)迫切需要一個獨立的標(biāo)準(zhǔn)組織來為車載電子設(shè)備定義和執(zhí)行系統(tǒng)級的安全認(rèn)證計劃。
要采購微處理器么,點這里了解一下價格!
特別推薦
技術(shù)文章更多>>
技術(shù)白皮書下載更多>>
熱門搜索
?

關(guān)閉

?

關(guān)閉