安全威脅及減輕措施

　　對(duì)車輛造成的安全威脅可以分成叁大類：局部實(shí)體；遠(yuǎn)端；內(nèi)部電子。當(dāng)這些威脅疊加在一起時(shí)，常常會(huì)造成車輛損壞。

　　局部實(shí)體性威脅

　　透過實(shí)體性地接取傳動(dòng)系統(tǒng)CAN網(wǎng)路并破壞通訊就是局部實(shí)體性威脅的一個(gè)例子。這種入侵式攻擊很容易破壞汽車的關(guān)鍵功能。然而，像心存不滿的技修工等局部攻擊者只可能損害一輛車，因此不足以引起設(shè)計(jì)安全團(tuán)隊(duì)的注意。另外，汽車的復(fù)雜電子系統(tǒng)很難真正防範(fàn)實(shí)體攻擊。因此我們對(duì)這類威脅通常只能祈禱了。

　　然而，這裡有個(gè)例外：在一個(gè)或多個(gè)ECU內(nèi)部的某處地方儲(chǔ)存著私有密鑰，用于製作受保護(hù)的通訊通道，并提供局部數(shù)據(jù)保護(hù)服務(wù)。下面這張圖顯示了下一代汽車中使用的長(zhǎng)距離無線連接的一些例子。

　　圖2：下一代汽車中使用的長(zhǎng)距離無線連接 。

　　汽車演算法、多媒體內(nèi)容和保密資料都可能需要數(shù)據(jù)保護(hù)。私鑰儲(chǔ)存必須能夠抵擋住凌厲的入侵和非入侵式實(shí)體性攻擊，因?yàn)榧词箖H丟失一‘把’密鑰也可能讓攻擊者設(shè)立起到遠(yuǎn)端基礎(chǔ)設(shè)備的連接，繼而在那裡造成廣泛破壞。

　　OEM廠商必須能夠在從──密匙產(chǎn)生和將其嵌入到ECU、到ECU交貨并裝配進(jìn)汽車、再到汽車最后在大街上到處跑──這一整個(gè)生命期內(nèi)確保密鑰的安全。Green Hills Software、Mocana和Certicom 等專業(yè)嵌入式加密公司可以透過在這個(gè)領(lǐng)域中的指導(dǎo)和監(jiān)督向OEM廠商及其供應(yīng)商提供幫助。

　　遠(yuǎn)端威脅

　　以下是典型的攻擊方式：駭客透過偵測(cè)汽車的長(zhǎng)距離無線介面尋找網(wǎng)路安全協(xié)議、網(wǎng)路服務(wù)和應(yīng)用程式中的軟肋，以找到進(jìn)入內(nèi)部各電子系統(tǒng)的方式。與數(shù)據(jù)中心不同，汽車一般不可能擁有完整的IDS、IPS、防火墻和UTM。而近來產(chǎn)生的入侵新力、花旗集團(tuán)、亞馬遜、谷歌和RSA的事件充分顯示，在老練的攻擊者面前，這些防衛(wèi)機(jī)制形同虛設(shè)。

　　2010年，當(dāng)Stuxnet（超級(jí)工廠病毒）肆虐時(shí)，美國(guó)國(guó)防部所屬的美國(guó)網(wǎng)戰(zhàn)司令部（CYBERCOM）司令Keith Alexander將軍建議對(duì)美國(guó)的重要基礎(chǔ)設(shè)備建構(gòu)自身的隔離安全網(wǎng)路，與網(wǎng)際網(wǎng)路分開來。雖然這種做法似乎過于苛刻，但實(shí)際就是我們需要的思路。為了駕駛安全，汽車的關(guān)鍵系統(tǒng)必須與非關(guān)鍵的ECU和網(wǎng)路完全隔離開來。

　　內(nèi)部電子威脅

　　雖然實(shí)體網(wǎng)路隔離是理想方案，但接觸點(diǎn)不可避免。例如，在某些市場(chǎng)，在汽車行駛中，汽車導(dǎo)航系統(tǒng)必須關(guān)掉，這意味著在安全標(biāo)準(zhǔn)有很大不同的系統(tǒng)間的通訊很感應(yīng)。另外，業(yè)界出現(xiàn)了強(qiáng)烈的設(shè)計(jì)整合趨勢(shì)──使用更強(qiáng)大的多核心微處理器來實(shí)現(xiàn)各不同的系統(tǒng)，因而將許多ECU變成虛擬ECU──這將增加源于軟體的威脅風(fēng)險(xiǎn)，如由作業(yè)系統(tǒng)缺陷、對(duì)密碼系統(tǒng)的旁路攻擊以及拒絕服務(wù)等導(dǎo)致的權(quán)限擴(kuò)大（privilege escalation）。

　　因此，為了安全，汽車的內(nèi)部電子架構(gòu)必須重新設(shè)計(jì)。關(guān)鍵和非關(guān)鍵的系統(tǒng)與網(wǎng)路之間的介面必須在最高管理層面進(jìn)行論證和窮盡分析，并按諸如ISO 15408評(píng)估安保等級(jí)（EAL） 6+等最高等級(jí)的安保標(biāo)準(zhǔn)進(jìn)行驗(yàn)證，以確認(rèn)沒有缺陷。

　　高可靠性軟體/安全工程實(shí)施塬則（PHASE）協(xié)議支援大幅地簡(jiǎn)化復(fù)雜性、軟體組件架構(gòu)、最低權(quán)限塬則、安全軟體和系統(tǒng)開發(fā)過程，OEM廠商必須學(xué)習(xí)和採(cǎi)用獨(dú)立的專家安全驗(yàn)證，并在其整個(gè)供應(yīng)鏈中貫徹執(zhí)行。

　　本文小結(jié)

　　汽車製造商和一級(jí)供應(yīng)商在設(shè)計(jì)目前上路的汽車時(shí)可能還沒有下大力氣考慮安全性要求，但很明顯情況在產(chǎn)生變化。製造商在車載電子設(shè)備與網(wǎng)路的設(shè)計(jì)與架構(gòu)階段應(yīng)盡早與嵌入式安全專業(yè)公司展開緊密合作，并且必須提高以安全為導(dǎo)向的工程技術(shù)與軟體安全保障水準(zhǔn)。最后，汽車產(chǎn)業(yè)迫切需要一個(gè)獨(dú)立的標(biāo)準(zhǔn)組織來為車載電子設(shè)備定義和執(zhí)行系統(tǒng)級(jí)的安全認(rèn)證計(jì)劃。