下一代汽车电子安全设计考量.docVIP

下一代汽车电子安全设计考量 　　2010年，美国汽车製造商推出了一项新颖的功能，可以让车主在地球任何一个角落透过智慧手机控制车锁并启动发动机。这种连接功能需要依赖于汽车上的远端资讯通讯系统，而这种系统目前已经是许多型号汽车的标準配置。 　　在这种智慧手机推出之前，有个大学研究小组发佈了一份研究报告，报告中指出，透过利用汽车嵌入式系统中的缺陷，汽车的关键系统（例如，剎车、发动机节气阀等）很容易被恶意操控。 　　这些研究人员研究了如何使用‘模煳’技术，从低安全性网路侵入到关键系统。在汽车行驶过程中，出现了剎车失灵和发动机失控，这显示攻击确实能将乘客置于危险境地。 　　将汽车连接到广域网路是导入老练攻击者的元凶。一个缺陷就可能让远端攻击者威胁到一长串挨着行驶的车队。 　　研究人员并没有告诉我们能为目前的嵌入式汽车安全做些什么。但正如后面我们要讨论到的那样，我们必须对汽车技术做出实质性的改革，以更好地隔离网路子系统和生死攸关的安全功能。 　　目前的汽车电子 　　下图显示了当代汽车内部的部份电子系统。 　　 　　图1：当代汽车内部的部份电子系统。 　　高阶豪华汽车在总计100个组件或电子控制单元（ECU）的相应系统中包含多达200个微处理器。这些ECU由多种不同类型的网路连接，例如，控制器区域网（CAN）、FlexRay、局域互连网路（LIN）和针对媒体的系统传送（MOST）。汽车OEM厂商需要对来自数十家一级和二级供应商的ECU组件和软体进行整合。但OEM厂商不会去严格控制其供应商的开发过程。 　　因此人们对这种情形不能维持下去就不会感到惊讶了。OEM厂商将承受‘木桶理论’的恶果：只要一块有严重可靠性问题的ECU，就可能造成交货延迟或车辆故障，因而使信誉受损。 安全威胁及减轻措施 　　对车辆造成的安全威胁可以分成叁大类：局部实体；远端；内部电子。当这些威胁叠加在一起时，常常会造成车辆损坏。 　　局部实体性威胁 　　透过实体性地接取传动系统CAN网路并破坏通讯就是局部实体性威胁的一个例子。这种入侵式攻击很容易破坏汽车的关键功能。然而，像心存不满的技修工等局部攻击者只可能损害一辆车，因此不足以引起设计安全团队的注意。另外，汽车的复杂电子系统很难真正防範实体攻击。因此我们对这类威胁通常只能祈祷了。 　　然而，这裡有个例外：在一个或多个ECU内部的某处地方储存着私有密钥，用于製作受保护的通讯通道，并提供局部数据保护服务。下面这张图显示了下一代汽车中使用的长距离无线连接的一些例子。 　　 　　图2：下一代汽车中使用的长距离无线连接 。 　　汽车演算法、多媒体内容和保密资料都可能需要数据保护。私钥储存必须能够抵挡住凌厉的入侵和非入侵式实体性攻击，因为即使仅丢失一‘把’密钥也可能让攻击者设立起到远端基础设备的连接，继而在那裡造成广泛破坏。 　　OEM厂商必须能够在从──密匙产生和将其嵌入到ECU、到ECU交货并装配进汽车、再到汽车最后在大街上到处跑──这一整个生命期内确保密钥的安全。Green Hills Software、Mocana和Certicom 等专业嵌入式加密公司可以透过在这个领域中的指导和监督向OEM厂商及其供应商提供帮助。 　　远端威胁 　　以下是典型的攻击方式：骇客透过侦测汽车的长距离无线介面寻找网路安全协议、网路服务和应用程式中的软肋，以找到进入内部各电子系统的方式。与数据中心不同，汽车一般不可能拥有完整的IDS、IPS、防火墙和UTM。而近来产生的入侵新力、花旗集团、亚马逊、谷歌和RSA的事件充分显示，在老练的攻击者面前，这些防卫机制形同虚设。 　　2010年，当Stuxnet（超级工厂病毒）肆虐时，美国国防部所属的美国网战司令部（CYBERCOM）司令Keith Alexander将军建议对美国的重要基础设备建构自身的隔离安全网路，与网际网路分开来。虽然这种做法似乎过于苛刻，但实际就是我们需要的思路。为了驾驶安全，汽车的关键系统必须与非关键的ECU和网路完全隔离开来。 　　内部电子威胁 　　虽然实体网路隔离是理想方案，但接触点不可避免。例如，在某些市场，在汽车行驶中，汽车导航系统必须关掉，这意味着在安全标準有很大不同的系统间的通讯很感应。另外，业界出现了强烈的设计整合趋势──使用更强大的多核心微处理器来实现各不同的系统，因而将许多ECU变成虚拟ECU──这将增加源于软体的威胁风险，如由作业系统缺陷、对密码系统的旁路攻击以及拒绝服务等导致的权限扩大（privilege escalation）。 　　因此，为了安全，汽车的内部电子架构必须重新设计。关键和非关键的系统与网路之间的介面必须在最高管理层面进行论证和穷尽分析，并按诸如ISO 15408评估安保等级（EAL） 6+等最高等级的安保标準进行验证，以确认没有缺陷。 　　高可