多傳感器融合定位是否足夠安全(三)

對(duì)于自動(dòng)駕駛汽車(chē)（AV），定位的安全性至關(guān)重要，它的直接威脅是GPS欺騙。幸運(yùn)的是，當(dāng)今的自動(dòng)駕駛系統(tǒng)主要使用多傳感器融合（MSF）算法，通常認(rèn)為該算法有可能解決GPS欺騙問(wèn)題。但是，沒(méi)有任何研究表明當(dāng)下的MSF算法在GPS欺騙的情況下是否足夠安全。本文專(zhuān)注于生產(chǎn)級(jí)別的MSF，并確定了兩個(gè)針對(duì)AV的攻擊目標(biāo)，即偏離攻擊和逆向攻擊。為了系統(tǒng)地了解安全性，我們首先分析了上限攻擊的有效性，并發(fā)現(xiàn)了可以從根本上破壞MSF算法的接管效果。我們進(jìn)行了原因分析，發(fā)現(xiàn)該漏洞是動(dòng)態(tài)且隨機(jī)地出現(xiàn)。利用這個(gè)漏洞，我們?cè)O(shè)計(jì)了FusionRipper，這是一種新穎的通用攻擊，可以抓住機(jī)會(huì)并利用接管漏洞。我們對(duì)6條真實(shí)的傳感器跡線(xiàn)進(jìn)行了評(píng)估，結(jié)果發(fā)現(xiàn)，對(duì)于偏離和逆向攻擊，F(xiàn)usionRipper在所有跡線(xiàn)上的成功率分別至少達(dá)到97％和91.3％。我們還發(fā)現(xiàn)，它對(duì)欺騙不準(zhǔn)確等實(shí)際因素具有高度的魯棒性。為了提高實(shí)用性，我們進(jìn)一步設(shè)計(jì)了一種精巧的方法，該方法可以有效地識(shí)別出攻擊參數(shù)，兩個(gè)攻擊目標(biāo)的平均成功率均超過(guò)80％。我們還將討論可行的的防御方法。

攻擊工具：FusionRipper

盡管我們?cè)谇拔模ǘ┲械姆治霰砻?，在現(xiàn)實(shí)中確實(shí)存在MSF的接管漏洞，但此類(lèi)漏洞僅出現(xiàn)在由不確定性因素（例如算法不準(zhǔn)確和傳感器噪聲）造成的不確定時(shí)期內(nèi)，而這種不確定性是無(wú)法通過(guò)觀(guān)測(cè)得到的。因此，攻擊者必須在實(shí)際的攻擊中抓住和利用這種脆弱時(shí)期。利用這個(gè)知識(shí)，我們提出了一組新穎的攻擊方法來(lái)攻破MSF，稱(chēng)其為：FusionRipper。

階段一：漏洞分析

在此階段，攻擊者執(zhí)行分析性的GPS欺騙，并觀(guān)察受騙汽車(chē)對(duì)欺騙的反應(yīng)以分析何時(shí)出現(xiàn)脆弱時(shí)期。在我們的設(shè)計(jì)中，盡可能減少攻擊參數(shù)，盡可能地簡(jiǎn)化實(shí)現(xiàn)難度和增強(qiáng)魯棒性，因此在此階段我們使用恒定參數(shù)進(jìn)行欺騙，即始終將δk^a設(shè)置為常量d。盡管這種分析方法很簡(jiǎn)單，但是我們稍后的評(píng)估結(jié)果表明，它能夠?qū)崿F(xiàn)很高的攻擊成功率，非常接近理論上限。

在不斷欺騙的同時(shí)，攻擊者實(shí)時(shí)跟蹤受騙汽車(chē)的位置，并測(cè)量他們相對(duì)于車(chē)道中心的偏離。如果這種偏差大到導(dǎo)致受騙汽車(chē)表現(xiàn)出不安全的駕駛行為，例如即將發(fā)生非必要的跨越車(chē)道行為，則將受害汽車(chē)視為處于脆弱時(shí)期。我們認(rèn)為觸碰當(dāng)前車(chē)道的左車(chē)道線(xiàn)或右車(chē)道線(xiàn)（0.295米）的偏差作為確定脆弱時(shí)期的閾值。我們?nèi)菀渍J(rèn)為，經(jīng)過(guò)設(shè)計(jì)和測(cè)試的自動(dòng)駕駛系統(tǒng)很少會(huì)出現(xiàn)較大的位置偏差，因?yàn)槠淇紤]到了常規(guī)情況下的傳感器噪聲問(wèn)題。例如，百度Apollo在真實(shí)道路上評(píng)估的BA-MSF誤差在0.054米以?xún)?nèi)，遠(yuǎn)遠(yuǎn)小于0.295米。因此，當(dāng)出現(xiàn)這種罕見(jiàn)的偏差時(shí)，很可能是由于持續(xù)不斷的欺騙造成的，MSF算法需要從GPS信號(hào)中獲取數(shù)據(jù)更新，從而很可能導(dǎo)致其進(jìn)入一個(gè)不確定的時(shí)期。

階段二：攻擊性欺騙

在確定了脆弱時(shí)期后，攻擊者可以執(zhí)行攻擊性的欺騙來(lái)觸發(fā)接管效應(yīng)，從而迅速引起較大的偏差。如前文有效性分析所示，在接管效應(yīng)期間，偏差呈指數(shù)增長(zhǎng)。因此，我們?cè)诠粜云垓_階段選擇指數(shù)增長(zhǎng)的欺騙。如上圖所示，一旦攻擊者確定了一個(gè)脆弱時(shí)期，它便切換為使用

，基數(shù)在每個(gè)具體的欺騙點(diǎn)上設(shè)置的欺騙距離，i為遞增冪次數(shù)。

普適性

由于FusionRipper旨在利用任何基于卡爾曼濾波器（KF）的MSF普遍存在的接管漏洞，因此其設(shè)計(jì)基本上適用于任何基于KF的MSF算法。

測(cè)試結(jié)果

我們使用真實(shí)世界的傳感器軌跡評(píng)估FusionRipper，具體來(lái)說(shuō)使用KAIST Complex Urban （評(píng)估自駕系統(tǒng)的數(shù)據(jù)集）。KAIST數(shù)據(jù)集包括18條普通軌跡和2條高速公路軌跡，都與BA-MSF兼容。我們選擇3條本地軌跡和2條高速公路軌跡，將它們截短至最初的5分鐘，以使評(píng)估易于管理。在選擇局部軌跡時(shí)，我們選擇平均MSF狀態(tài)不確定性最?。醋羁煽浚┑能壽E。

攻擊成功率

上圖顯示了對(duì)于這兩個(gè)攻擊目標(biāo)，d和f的所有組合中FusionRipper的最佳成功率。它既顯示單個(gè)軌跡的結(jié)果，又顯示所有軌跡的平均值（粉紅色的粗線(xiàn)）。如圖所示，對(duì)于所有軌跡，即使最小攻擊持續(xù)時(shí)間低至30秒，兩個(gè)攻擊目標(biāo)的平均成功率也始終超過(guò)75％。當(dāng)最小攻擊持續(xù)時(shí)間增加時(shí)，所有跟蹤的成功率會(huì)相應(yīng)增加。這是顯而易見(jiàn)的，因?yàn)楣粽哂懈叩臋C(jī)會(huì)捕獲易受攻擊的時(shí)期。特別是，攻擊持續(xù)2分鐘時(shí)，至少存在d和f的一種組合，可以實(shí)現(xiàn)偏離攻擊的成功率超過(guò)97％（平均98.6％），實(shí)現(xiàn)逆向攻擊的成功率超過(guò)91％（平均95.9％）。在實(shí)際中，攻擊者很有可能找到這種2分鐘的拖延機(jī)會(huì)來(lái)發(fā)動(dòng)FusionRipper攻擊。

攻擊參數(shù)選擇

上表列出了每個(gè)軌跡的攻擊成功率最高的3種參數(shù)組合。如表所示，F(xiàn)usionRipper的攻擊效果對(duì)d和f的組合很敏感。這促使我們?cè)O(shè)計(jì)一種精確的方法來(lái)識(shí)別有效的d和f組合以提高攻擊的實(shí)用性，這將在后面的中進(jìn)行詳細(xì)介紹。

攻擊兩階段的必要性

高攻擊效率是兩個(gè)攻擊階段相結(jié)合的結(jié)果。為了具體解釋這一點(diǎn)，我們對(duì)其進(jìn)行了消融研究，在該研究中我們分別刪除了實(shí)驗(yàn)的兩個(gè)階段之一。僅對(duì)于漏洞分析階段，我們應(yīng)用距每個(gè)起點(diǎn)的恒定溢出距離d。僅對(duì)于攻擊性欺騙階段，我們使用從起點(diǎn)開(kāi)始直接枚舉d和f的不同組合作為攻擊參數(shù)。我們以ba-local的軌跡作為測(cè)試軌跡。

上表顯示了該研究的實(shí)驗(yàn)結(jié)果。如表所示，兩種單一攻擊配置對(duì)于這兩個(gè)攻擊目標(biāo)最多只能達(dá)到14％和7％，遠(yuǎn)低于FusionRipper的98％和97％。這意味著仍然有一些非常不確定的時(shí)期，使得只有階段1或只有階段2的攻擊可以成功。但是，在沒(méi)有彼此幫助的情況下，成功率非常有限。這具體表明了FusionRipper兩階段設(shè)計(jì)的必要性。請(qǐng)注意，由于花費(fèi)在漏洞分析階段上的時(shí)間，F(xiàn)usionRipper的攻擊成功時(shí)間比僅階段2攻擊的攻擊成功時(shí)間要長(zhǎng)。但是，實(shí)際上平均約30秒的攻擊時(shí)間對(duì)于攻擊者來(lái)說(shuō)已經(jīng)是可以接受的。因此，這種時(shí)間優(yōu)勢(shì)遠(yuǎn)不如提高FusionRipper的成功率。

攻擊參數(shù)分析

到目前為止，我們的結(jié)果表明對(duì)于每條軌跡，始終存在一個(gè)攻擊參數(shù)組合d和f，可以實(shí)現(xiàn)高成功率，并且對(duì)實(shí)際因素具有很高的魯棒性。但是，我們還觀(guān)察到攻擊成功率對(duì)攻擊參數(shù)的選擇很敏感。因此，我們需要一種可以在實(shí)際攻擊之前有效識(shí)別出高成功率攻擊參數(shù)的具體方法。因此，在本節(jié)中，我們探討設(shè)計(jì)這種方法以進(jìn)一步提高FusionRipper的實(shí)用性。

算法設(shè)計(jì)

我們的分析方法是按照一種簡(jiǎn)單的策略設(shè)計(jì)的：使用d和f的不同組合進(jìn)行攻擊試驗(yàn)，直到找到具有足夠高成功率的組合。更具體地說(shuō)，試驗(yàn)進(jìn)行了許多次分析。在每一循環(huán)中，攻擊者都選擇d和f的一個(gè)組合并嘗試多次。選擇組合時(shí)，攻擊者會(huì)按照參數(shù)空間中從小到大的順序進(jìn)行排序，因?yàn)檩^大的組合會(huì)更容易地被發(fā)現(xiàn)輸入有異常，從而直接導(dǎo)致攻擊失敗。該方法的偽代碼下述所示。

算法測(cè)試

我們使用前文中使用的5條KAIST軌跡（KAIST軌跡是使用同一車(chē)輛在不同道路上收集的）。我們將5條軌跡分為兩組，其中4條為分析軌跡，即代表離線(xiàn)的攻擊試驗(yàn)；1條為評(píng)估軌跡，用于評(píng)估分析軌跡中所選的d和f，即代表實(shí)際攻擊，最后使用它們的平均成功率來(lái)衡量最終的剖析效果。

上圖顯示了算法分析輸出的d和f作為攻擊參數(shù)的平均成功率（柱狀圖），以及不同的攻擊參數(shù)分析試驗(yàn)（一次實(shí)驗(yàn)為90秒）次數(shù)（條形圖）。如圖所示，平均成功率隨著攻擊者在每個(gè)分析回合中進(jìn)行更多的攻擊試驗(yàn)而增加，因?yàn)殡S著更多的攻擊試驗(yàn)，d和f組合的配置成功率在統(tǒng)計(jì)上更接近真實(shí)值。尤其是，當(dāng)每個(gè)分析回合的試驗(yàn)次數(shù)為40次時(shí)，我們的分析算法可以找到d和f組合，其中偏離和逆向攻擊的平均成功率均超過(guò)80％（分別為84.2％和80.7％）。在這種情況下，平均分析成本僅為42個(gè)時(shí)間為90秒的攻擊試驗(yàn)，即約為1小時(shí)。

防御措施討論

GPS反欺騙

我們的攻擊基于GPS欺騙，因此一個(gè)直接的防御方向是利用現(xiàn)有的GPS欺騙檢測(cè)或防御技術(shù)。但是，如今GPS欺騙檢測(cè)和預(yù)防都不能完全解決問(wèn)題。在檢測(cè)方面，已經(jīng)提出了許多技術(shù)，它們利用信號(hào)功率監(jiān)視，基于多天線(xiàn)的信號(hào)到達(dá)角檢測(cè)或基于眾包的交叉驗(yàn)證。但是，它們要么被更先進(jìn)的欺騙器所規(guī)避，要么僅適用于有限的領(lǐng)域，例如機(jī)載GPS接收器。在預(yù)防方面，基于密碼認(rèn)證的民用GPS基礎(chǔ)架構(gòu)可以從根本上防止直接制造欺騙GPS信號(hào)；但是，它需要對(duì)現(xiàn)有的衛(wèi)星基礎(chǔ)設(shè)施和GPS接收器進(jìn)行重大修改，并且仍然容易受到重放攻擊的影響。

MSF和LiDAR

另一個(gè)防御方向是改良MSF算法和LiDAR定位，這是影響現(xiàn)實(shí)中接管漏洞的兩個(gè)最重要因素。從根本上說(shuō)，實(shí)際中的這種MSF算法中的不確定狀態(tài)是由于LiDAR定位算法的不準(zhǔn)確和傳感器噪聲引起的。并且正如我們的分析所示，即使對(duì)于當(dāng)今自動(dòng)駕駛汽車(chē)中使用的高端傳感器和生產(chǎn)級(jí)LiDAR，這些誤差和噪聲也足夠大且頻繁，足以使FusionRipper得以利用。為了對(duì)此進(jìn)行改進(jìn)，需要在傳感器和基于LiDAR的定位方面取得技術(shù)突破。

利用獨(dú)立的定位源（例如基于攝像機(jī)的車(chē)道檢測(cè)）作為不安全狀態(tài)下的定位。

對(duì)于能夠短期內(nèi)實(shí)現(xiàn)的方案來(lái)說(shuō)，一個(gè)有希望的方向是利用獨(dú)立的定位源來(lái)交叉檢查定位結(jié)果，從而充當(dāng)不安全狀態(tài)下的定位源。例如，由于偏離和逆向攻擊都將導(dǎo)致受騙汽車(chē)偏離當(dāng)前車(chē)道，因此應(yīng)該可以通過(guò)基于攝像頭的車(chē)道檢測(cè)來(lái)檢測(cè)故障，這是當(dāng)今許多車(chē)輛模型中可用的成熟技術(shù)。但是，我們發(fā)現(xiàn)在當(dāng)今的自駕系統(tǒng)設(shè)計(jì)中，并未普遍考慮使用這種技術(shù)。例如，百度Apollo（5.5版）僅將其用于相機(jī)校準(zhǔn)，而Autoware則根本不使用它。這可能是因?yàn)檐?chē)道檢測(cè)輸出是當(dāng)前車(chē)道邊界內(nèi)的局部定位，因此無(wú)法直接用于與MSF的全局定位進(jìn)行比較。但是，本文中發(fā)現(xiàn)的漏洞表明應(yīng)考慮在將來(lái)的本地自駕系統(tǒng)中至少添加一種故障期的安全功能（至少用于異常檢測(cè)）。當(dāng)然，我們需要進(jìn)行更多調(diào)查才能了解這種故障期的安全功能在防御中的有效性和可靠性。例如，當(dāng)將基于攝像機(jī)的車(chē)道檢測(cè)應(yīng)用于異常檢測(cè)時(shí)，由于需要仔細(xì)考慮由于變道需要而偏離當(dāng)前車(chē)道的汽車(chē)。此外，還應(yīng)當(dāng)考慮車(chē)道線(xiàn)有可能不明顯或不完整。此外，基于攝像機(jī)的車(chē)道檢測(cè)本身很容易受到攻擊。

請(qǐng)注意，即使此類(lèi)故障期的安全功能可以執(zhí)行完美的攻擊檢測(cè)，我們的攻擊仍會(huì)導(dǎo)致受騙汽車(chē)的全局定位功能遭到拒絕服務(wù)。這可能使受騙汽車(chē)處于不安全的情況下，例如在高速公路車(chē)道中間停車(chē)，因?yàn)槭茯_汽車(chē)既無(wú)法正確到達(dá)目的地，也無(wú)法安全地找到路肩以停下來(lái)。因此，更有用的防御方向是糾正被攻擊的定位結(jié)果。如何在攻擊下利用其他獨(dú)立的定位源來(lái)有效地進(jìn)行這種校正仍然是一個(gè)挑戰(zhàn)，這有可能是未來(lái)有價(jià)值的工作方向。

fqj