分析汽车网关的特征与可被利用的功能点与防护思路

描述

背景介绍
       网关作为控制整车通信的关键 ECU, 往往是 hacker 或渗透测试人员重点关注的核心部件。网关的安全风险可能直接威胁到行驶安全甚至人身安全。网关在车辆的纵深防御体系中处在极为重要的位置,本文将简单分析当前典型网关的特征、网关可被利用的功能点与防护思路。

典型网关特征与攻击面分析
       随着 EEA 发展网关的特征也衍变出了多种类型,由最初的集成网关,到现在的独立网关、域集中式中央网关、混合式网关、到前沿的中央集中式控制器。网关承担的功能也由最初的车内 CAN/CANFD/FR/LIN 总线路由,到现在车载 Ethernet 路由、关键车控逻辑的处置、车内 OTA 处置的主控单元等敏感功能的执行。

我们从信息安全的角度看,网关特征的衍变也使可能被利用的功能点发生了新的变化。典型可被利用功能有以下几方面。

利用 CAN、Ethernet 总线路由功能,向车内其他控制器发送非法报文、消息;常见攻击方式如通信链路洪泛攻击、ID/IP 欺骗、数据重放、通信协议逆向破解等。

利用 UDS 协议功能,向车内 ECU 进行配置变更、写入恶意代码、读取敏感信息;常见攻击方式如安全认证服务破解、会话模式异常、中断车内总线通信、篡改 ECU 存储信息及固件、读取敏感信息等。

利用 OTA 主控节点功能,非法篡改车内 ECU 固件、获取 OEM IP、OTA 功能异常;常见的攻击方式如篡改 OTA 组件控制 OTA 功能、绕过 OTA 安全验证功能,向车内注入恶意镜像、恶意访问 TSP,获取 OEM 升级镜像。

利用关键敏感的车控功能,对车控业务进行恶意决策控制;常见的攻击方式如非法篡改网关车控软件功能组件,对核心车控功能操控。

网关的安全防护
       面向网关的防护技术,我们一般关注两个维度,一个是网关作为核心单元的业务流的安全,一个是网关本身的安全:
       业务流的安全防护一般包括,安全 CAN 通信技术、安全车内 Ethernet 通信技术、安全刷写技术、OTA 安全和车内诊断服务的安全等。因为传输协议是标准固化的,我们无法修改,所以一般会对上层协议增加安全防护措施,例如车内总线,我们会对报文消息加密、增加消息鉴别代码字段、增加新鲜度值字段、增加签名字段等方式。由于车内总线对时间敏感且带宽有限,且总线面对的 ECU 本身算力不尽相同,我们在制定安全方案时,要先对通信消息和业务模型进行风险分析,对敏感消息进行分组后,再采用与 ECU 算力相匹配的密码学算法对消息报文进行安全封装。对于如 OTA 等业务中的关键步骤,除了增加校验机制和校验密码学强度外,还应做好秘钥、证书的分发、管理、撤销工作。同时还应考虑各业务场景对秘钥、证书、密码学算法的特殊需求,如维修更换、数据埋点采集等。
       网关本身的安全防护一般会从硬件、系统、数据存储、代码、安全记录等几个方面去做最佳实践。例如为了解决系统被篡改的风险,应支持安全启动,从 ROT 代码开始对加载的镜像迭代校验。为了解决敏感信息的安全存储,应支持安全芯片或 TEE 的技术路线,对公私钥、证书、敏感信息进行安全存储与可控调用,其中常见的 TEE 一般有基于 ARM的 trustzone、基于 Intel 的 SGX,这个我们后面可以开展一个专题讨论;为了解决代码安全,应进行代码加固,在开发阶段进行代码审计、代码漏洞扫描、多余端口扫描以及通过编译工具连提供优化、为了对非法行为的检测与审计,应对支持日志记录功能,对端口的非法访问、密码操作的异常等进行记录。
编辑:lyn

打开APP阅读更多精彩内容
声明:本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人,不代表电子发烧友网立场。文章及其配图仅供工程师学习之用,如有内容侵权或者其他违规问题,请联系本站处理。 举报投诉

全部0条评论

快来发表一下你的评论吧 !

×
20
完善资料,
赚取积分