下一代汽車電子設(shè)計方面的安全考慮
加入技術(shù)交流群
局部物理性威脅
通過物理性地接入傳動系CAN網(wǎng)絡(luò)并破壞通信就是局部物理性威脅的一個例子。這種入侵式攻擊很容易破壞汽車的關(guān)鍵功能。然而，像心存不滿的技修工等局部攻擊者只可能損害一輛車，因此不足以引起設(shè)計安全團(tuán)隊的注意。另外，汽車的復(fù)雜電子系統(tǒng)很難真正防范物理攻擊。因此我們對這類威脅通常只能祈禱了。
然而，這里有個例外：在一個或多個ECU內(nèi)部的某處地方存儲著私有密鑰，用于創(chuàng)建受保護(hù)的通信通道，并提供局部數(shù)據(jù)保護(hù)服務(wù)。圖2顯示了下一代汽車中使用的長距離無線連接的一些例子。
圖2：下一代汽車中使用的長距離無線連接
OEM廠商必須能夠在從——密匙生成和將其嵌入到ECU、到ECU交貨并裝配進(jìn)汽車、再到汽車最后在大街上到處跑——這一整個生命期內(nèi)確保密鑰的安全。Green Hills Software、Mocana和Certicom 等專業(yè)嵌入式加密公司可以通過在這個領(lǐng)域中的指導(dǎo)和監(jiān)督向OEM廠商及其供應(yīng)商提供幫助。
遠(yuǎn)程威脅
以下是典型的攻擊方式：黑客通過偵測汽車的長距離無線接口尋找網(wǎng)絡(luò)安全協(xié)議、網(wǎng)絡(luò)服務(wù)和應(yīng)用程序中的軟肋，以找到進(jìn)入內(nèi)部各電子系統(tǒng)的方式。與數(shù)據(jù)中心不同，汽車一般不可能擁有完整的IDS、IPS、防火墻和UTM。而近來發(fā)生的入侵索尼、花旗集團(tuán)、亞馬遜、谷歌和RSA的事件充分表明，在老練的攻擊者面前，這些防衛(wèi)機(jī)制形同虛設(shè)。
2010年，當(dāng)Stuxnet(超級工廠病毒)肆虐時，美國國防部下屬的美國網(wǎng)戰(zhàn)司令部(CYBERCOM)司令Keith Alexander將軍建議對美國的重要基礎(chǔ)設(shè)施構(gòu)建自身的隔離安全網(wǎng)絡(luò)，與互聯(lián)網(wǎng)分開來。雖然這種做法似乎過于苛刻，但實際就是我們需要的思路。為了駕駛安全，汽車的關(guān)鍵系統(tǒng)必須與非關(guān)鍵的ECU和網(wǎng)絡(luò)完全隔離開來。
內(nèi)部電子威脅
雖然物理網(wǎng)絡(luò)隔離是理想方案，但接觸點不可避免。例如，在某些市場，在汽車行駛中，汽車導(dǎo)航系統(tǒng)必須關(guān)掉，這意味著在安全標(biāo)準(zhǔn)有很大不同的系統(tǒng)間的通信很敏感。另外，業(yè)界出現(xiàn)了強(qiáng)烈的設(shè)計整合趨勢——使用更強(qiáng)大的多內(nèi)核微處理器來實現(xiàn)各不同的系統(tǒng)，從而將許多ECU變成虛擬ECU——這將增加源于軟件的威脅風(fēng)險，如由操作系統(tǒng)缺陷、對密碼系統(tǒng)的旁路攻擊以及拒絕服務(wù)等導(dǎo)致的權(quán)限擴(kuò)大(privilege escalation)。
因此，為了安全，汽車的內(nèi)部電子架構(gòu)必須重新設(shè)計。關(guān)鍵和非關(guān)鍵的系統(tǒng)與網(wǎng)絡(luò)之間的接口必須在最高管理層面進(jìn)行論證和窮盡分析，并按諸如ISO 15408評估安保等級(EAL) 6+等最高等級的安保標(biāo)準(zhǔn)進(jìn)行驗證，以確認(rèn)沒有缺陷。
高可靠性軟件/安全工程實施原則(PHASE)協(xié)議支持最大限度地簡化復(fù)雜性、軟件組件架構(gòu)、最低權(quán)限原則、安全軟件和系統(tǒng)開發(fā)過程，OEM廠商必須學(xué)習(xí)和采用獨立的專家安全驗證，并在其整個供應(yīng)鏈中貫徹執(zhí)行。
本文小結(jié)
汽車制造商和一級供應(yīng)商在設(shè)計目前上路的汽車時可能還沒有下大力氣考慮安全性要求，但很明顯情況在發(fā)生變化。制造商在車載電子設(shè)備與網(wǎng)絡(luò)的設(shè)計與架構(gòu)階段應(yīng)盡早與嵌入式安全專業(yè)公司開展緊密合作，并且必須提高以安全為導(dǎo)向的工程技術(shù)與軟件安全保障水平。最后，汽車工業(yè)迫切需要一個獨立的標(biāo)準(zhǔn)組織來為車載電子設(shè)備定義和執(zhí)行系統(tǒng)級的安全認(rèn)證計劃。(end)
評論