車載總線滲透測(cè)試分析，構(gòu)建網(wǎng)絡(luò)安全防護(hù)體系

背景

隨著智能網(wǎng)聯(lián)汽車的發(fā)展，車輛的互聯(lián)性大幅提高，與之相伴的則是大大上升的汽車網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。根據(jù)工信部車聯(lián)網(wǎng)動(dòng)態(tài)監(jiān)測(cè)情況顯示，2020年以來(lái)發(fā)現(xiàn)整車企業(yè)車聯(lián)網(wǎng)信息服務(wù)服務(wù)提供商等相關(guān)企業(yè)和平臺(tái)的惡意攻擊達(dá)到280余萬(wàn)次，平臺(tái)的漏洞、通信的劫持、隱私泄露等風(fēng)險(xiǎn)十分嚴(yán)重，造成的危害更加嚴(yán)峻。威脅由車外進(jìn)入車內(nèi)、影響程度加大、網(wǎng)絡(luò)安全與功能安全要求矛盾等問(wèn)題層出不窮。[1]

智能網(wǎng)聯(lián)汽車信息安全事件統(tǒng)計(jì)(來(lái)源：Upstream Security，2020年)

為保障智能網(wǎng)聯(lián)汽車的網(wǎng)絡(luò)安全，需要充分了解智能網(wǎng)絡(luò)汽車的典型攻擊場(chǎng)景，其可大體分為遠(yuǎn)程入侵、短距離攻擊、接觸史攻擊三大類。遠(yuǎn)程入侵場(chǎng)景中，攻擊者可通過(guò)直連車輛或經(jīng)過(guò)云端轉(zhuǎn)發(fā)等方式惡意刷寫車輛關(guān)鍵固件、發(fā)送控車指令、竊取個(gè)人敏感信息；近距離攻擊場(chǎng)景中，攻擊者可通過(guò)WiFi、藍(lán)牙、NFC等通信方式，通過(guò)控車指令重放方式威脅用戶車輛財(cái)產(chǎn)安全、使用未授權(quán)設(shè)備與車輛建立連接影響車內(nèi)用戶正常使用通信設(shè)備；接觸式攻擊場(chǎng)景中，攻擊者通過(guò)攻入IVI工程模式，竊取車輛數(shù)據(jù)、分析車輛電子電氣拓?fù)浣Y(jié)構(gòu)、捕獲控車報(bào)文、解析車輛DBC文件等。

智能網(wǎng)絡(luò)汽車典型攻擊場(chǎng)景（來(lái)源：《智能網(wǎng)聯(lián)汽車安全滲透白皮書(2020)》）

面對(duì)日益嚴(yán)峻的智能網(wǎng)聯(lián)汽車網(wǎng)絡(luò)安全問(wèn)題，整車企業(yè)的安全意識(shí)逐步提升。而限于成本、技術(shù)成熟度等因素，整車企業(yè)在網(wǎng)絡(luò)安全測(cè)評(píng)環(huán)節(jié)基礎(chǔ)薄弱，對(duì)于車內(nèi)部件、整車等方面的測(cè)試驗(yàn)證能力不足，整車滲透目前還主要依賴于人工測(cè)試，滲透深度和水平缺乏可量化評(píng)估標(biāo)準(zhǔn)。

為整車企業(yè)更好地進(jìn)行滲透測(cè)試，中國(guó)軟件評(píng)測(cè)中心智能網(wǎng)聯(lián)汽車測(cè)評(píng)工程技術(shù)中心在《智能網(wǎng)聯(lián)汽車安全滲透白皮書(2020)》中提出：在不損壞車輛、不拆解車輛、黑盒測(cè)試的前提下，給出用戶側(cè)安全滲透測(cè)試指標(biāo)，主要包括車載信息交互安全、車內(nèi)外通信安全、接口安全、APP安全等方面。

滲透測(cè)試指標(biāo)（來(lái)源：《智能網(wǎng)聯(lián)汽車安全滲透白皮書(2020)》）

針對(duì)車內(nèi)外通信安全，CAN/CAN FD總線作為當(dāng)前汽車的主要車載通信總線，是攻擊者實(shí)施網(wǎng)絡(luò)攻擊的目標(biāo)之一。因此，在系統(tǒng)設(shè)計(jì)時(shí)，應(yīng)采取相應(yīng)的防護(hù)措施，以降低車載CAN/CAN FD網(wǎng)絡(luò)被攻擊的風(fēng)險(xiǎn)。

對(duì)車載CAN/CAN FD網(wǎng)絡(luò)系統(tǒng)實(shí)施滲透測(cè)試，是一個(gè)常用的用于評(píng)價(jià)目標(biāo)系統(tǒng)安全性的一種方法，可以從攻擊角度了解車輛是否存在隱性漏洞和安全風(fēng)險(xiǎn)，并可基于測(cè)試結(jié)果，進(jìn)一步采取防護(hù)措施，以進(jìn)一步提高系統(tǒng)的安全性能。對(duì)車載CAN/CAN FD總線實(shí)施滲透測(cè)試的工作內(nèi)容可大致分為四類，其分別為：模糊攻擊測(cè)試、重放攻擊測(cè)試、DoS（Denial-of-Service）攻擊測(cè)試及UDS（Unified Diagnostic Services）診斷協(xié)議棧探測(cè)。以下將詳細(xì)介紹上述四類滲透測(cè)試工作。

滲透測(cè)試工作

【模糊攻擊測(cè)試】

對(duì)總線實(shí)施模糊攻擊是指通過(guò)軟件自動(dòng)地生成一系列的無(wú)效、非預(yù)期或隨機(jī)的報(bào)文后，將所生成的報(bào)文注入到目標(biāo)總線上，以使總線出現(xiàn)非預(yù)期行為的一種攻擊。模糊攻擊測(cè)試可在不同層面上實(shí)施。一是可對(duì)CAN/CAN FD原始報(bào)文進(jìn)行模糊。在該層測(cè)試上，測(cè)試者可配置需要模糊的域，例如，CAN報(bào)文的仲裁域、控制域及數(shù)據(jù)域。二是可在系統(tǒng)網(wǎng)絡(luò)的信號(hào)層進(jìn)行模糊。基于目標(biāo)網(wǎng)絡(luò)的DBC文件（一種描述CAN網(wǎng)絡(luò)中通信數(shù)據(jù)信息的文件）可解析CAN報(bào)文中搭載的信號(hào)，從而實(shí)現(xiàn)在信號(hào)層面實(shí)施模糊。三是可在特定協(xié)議層面上實(shí)施模糊。例如，在車載CAN網(wǎng)絡(luò)中，常用UDS協(xié)議棧來(lái)實(shí)現(xiàn)車輛的診斷。因此，可以對(duì)UDS應(yīng)用層協(xié)議（ISO14229-1）中的各項(xiàng)服務(wù)請(qǐng)求實(shí)施模糊。在上述三種模糊測(cè)試的層面上，均可按需選用不同的模糊策略，如隨機(jī)模糊、遍歷模糊、邊界值模糊等。通過(guò)模糊攻擊測(cè)試，可檢測(cè)目標(biāo)系統(tǒng)在有無(wú)效的、非預(yù)期的或隨機(jī)的輸入時(shí)，系統(tǒng)是否會(huì)發(fā)生不可逆的損害，或是否會(huì)有不可接受的行為等情況。

【重放攻擊】

指惡意地將有效數(shù)據(jù)在目標(biāo)網(wǎng)絡(luò)中進(jìn)行重復(fù)地或延遲地播放，從而達(dá)到惡意目的的一種攻擊。重放時(shí)可按需采用1:1重放的方法，即每一個(gè)報(bào)文發(fā)送的時(shí)間間隔按照真實(shí)采集到的時(shí)間間隔發(fā)送。亦可采用快速重放方法，即以最快速率將輸入文件中的報(bào)文快速發(fā)送至總線上。通過(guò)該測(cè)試，可檢測(cè)系統(tǒng)是否有抵御重放攻擊的能力。另外，還可利用重放的手段對(duì)部分網(wǎng)絡(luò)信號(hào)實(shí)施逆向分析，從而找到目標(biāo)信號(hào)。例如，測(cè)試者想要在網(wǎng)絡(luò)報(bào)文中找到某個(gè)用于控制某扇車窗的信號(hào)，則測(cè)試者可通過(guò)不斷地重放一段包含有控制車窗下降的報(bào)文記錄，并逐漸縮小重放的范圍，以最終找到搭載有控制該車窗升降信號(hào)的報(bào)文。

【DoS攻擊】

在計(jì)算機(jī)領(lǐng)域中，DoS攻擊（即拒絕服務(wù)攻擊）指通過(guò)臨時(shí)或無(wú)限期地干擾連接于網(wǎng)絡(luò)的服務(wù)，以達(dá)到使設(shè)備或網(wǎng)絡(luò)資源不可獲得的一種攻擊。在CAN/CAN FD網(wǎng)絡(luò)中，可利用CAN協(xié)議的仲裁機(jī)制，通過(guò)頻繁發(fā)送高優(yōu)先級(jí)的報(bào)文來(lái)占滿總線資源，以達(dá)到使正常報(bào)文不可傳輸?shù)哪康摹Ｍㄟ^(guò)該測(cè)試，可檢測(cè)系統(tǒng)是否有抵御DoS攻擊的能力。

【UDS協(xié)議棧探測(cè)】

指通過(guò)一系列的診斷請(qǐng)求及收到的響應(yīng)報(bào)文，以探測(cè)目標(biāo)網(wǎng)絡(luò)或節(jié)點(diǎn)的UDS協(xié)議棧配置情況。該探測(cè)并不是一種攻擊，而是一種在實(shí)施攻擊前的信息收集手段。例如，可探測(cè)目標(biāo)網(wǎng)絡(luò)中所包含的診斷標(biāo)識(shí)符，探測(cè)某一個(gè)目標(biāo)節(jié)點(diǎn)所支持的服務(wù)及子服務(wù)，探測(cè)執(zhí)行某個(gè)特定服務(wù)的前提條件等。然后，可利用所獲得的信息，如目標(biāo)節(jié)點(diǎn)診斷ID，內(nèi)部數(shù)據(jù)ID，服務(wù)進(jìn)入條件等，實(shí)施進(jìn)一步的攻擊。

以上四類滲透測(cè)試工作均在CAN/CAN FD總線的報(bào)文通信層面實(shí)施，即通過(guò)向目標(biāo)總線上注入測(cè)試報(bào)文，來(lái)實(shí)現(xiàn)上述的攻擊測(cè)試或探測(cè)。
?

為實(shí)現(xiàn)上述測(cè)試工作，可使用任意的車載CAN/CAN FD總線仿真測(cè)試工具，配以相關(guān)的測(cè)試腳本實(shí)現(xiàn)。上?？匕册槍?duì)上述測(cè)試需求，開發(fā)了用于實(shí)現(xiàn)上述功能的滲透測(cè)試工具，以幫助整車企業(yè)快速實(shí)施所需的滲透測(cè)試，發(fā)現(xiàn)目標(biāo)系統(tǒng)潛在的相關(guān)安全漏洞，從而為后續(xù)的網(wǎng)絡(luò)系統(tǒng)安全設(shè)計(jì)及改進(jìn)提供依據(jù)，最終保障目標(biāo)系統(tǒng)的網(wǎng)絡(luò)安全。

滲透測(cè)試工具界面

編輯：fqj