車(chē)輛網(wǎng)絡(luò)安全功能的設(shè)計(jì)實(shí)施

摘要 ? ?

在汽車(chē)行業(yè)，網(wǎng)絡(luò)安全的實(shí)施程度很低。一輛汽車(chē)有多個(gè)電子控制單元（ECU），每個(gè)ECU通過(guò)控制區(qū)網(wǎng)絡(luò)（CAN）與另一個(gè)ECU進(jìn)行大量的信息交流。如果黑客入侵系統(tǒng)，那么它就像一個(gè)開(kāi)放的資源來(lái)源，任何有價(jià)值的信息都可以被操縱。這可能會(huì)導(dǎo)致巨大的損失。這是一個(gè)驗(yàn)證各種現(xiàn)有網(wǎng)絡(luò)安全功能的動(dòng)機(jī)，了解系統(tǒng)，然后實(shí)施網(wǎng)絡(luò)安全功能。

本文討論了密鑰槽驗(yàn)證設(shè)計(jì)、最大權(quán)威計(jì)數(shù)器驗(yàn)證設(shè)計(jì)和用戶模式實(shí)現(xiàn)。汽車(chē)工業(yè)的發(fā)展采用了汽車(chē)開(kāi)放系統(tǒng)架構(gòu)（AUTOSAR）平臺(tái)。

I.簡(jiǎn)介

近年來(lái)，正如人們所看到的，機(jī)械系統(tǒng)正在被電子元件所取代。現(xiàn)在，汽車(chē)不再是一個(gè)機(jī)械裝置和一個(gè)電子設(shè)備，連接性使它成為一個(gè)物聯(lián)網(wǎng)（IOT）設(shè)備。在汽車(chē)行業(yè)，一輛汽車(chē)有許多電子控制單元（ECU）。這些ECU已被編程以執(zhí)行許多功能。

早期的網(wǎng)絡(luò)安全問(wèn)題只是用計(jì)算機(jī)進(jìn)行各種攻擊的黑客。如今，有許多網(wǎng)絡(luò)安全功能在非計(jì)算機(jī)上實(shí)現(xiàn)，例如，家用電器、交通、公用事業(yè)以及各行業(yè)。隨著每個(gè)設(shè)備都在向自動(dòng)化和物聯(lián)網(wǎng)方向發(fā)展，許多工廠和行業(yè)都在發(fā)展。隨著連接性的增加，物聯(lián)網(wǎng)概念在汽車(chē)行業(yè)得到了廣泛的應(yīng)用。

這種連接性的增加也增加了網(wǎng)絡(luò)風(fēng)險(xiǎn)，這是一個(gè)嚴(yán)重的問(wèn)題，也是一個(gè)社會(huì)問(wèn)題。ECU被編程了許多功能，這些功能被用于汽車(chē)中，如駕駛輔助、安全氣囊和許多其他應(yīng)用。這些ECU通過(guò)控制區(qū)網(wǎng)絡(luò)（CAN）相互連接，這是廣泛用于車(chē)輛的通信協(xié)議。在CAN總線上有許多信息傳輸，而某些信息與安全有非常重要的關(guān)系。如果這些安全信號(hào)在CAN總線上被操縱，對(duì)車(chē)輛的影響是危險(xiǎn)的，車(chē)輛沒(méi)有安全保障將導(dǎo)致巨大的風(fēng)險(xiǎn)。

II.理論和方法

A.安全通信

發(fā)射器ECU和接收器ECU通過(guò)CAN總線連接。發(fā)射器有硬件安全模塊（HSM），它能夠計(jì)算出信息驗(yàn)證碼（MAC）。HSM計(jì)算MAC的輸入是時(shí)間戳和信息或有效載荷。MAC被生成并與信息和時(shí)間戳一起發(fā)送給接收方ECU。接收器也與HSM相關(guān)聯(lián)，它有能力驗(yàn)證發(fā)射器通過(guò)CAN總線發(fā)送的MAC。一旦MAC被HSM驗(yàn)證，信息就被接收器接受。

在這種情況下，時(shí)間戳顯示為7'O clock，如圖1所示。有一個(gè)黑客ECU監(jiān)視著總線，并有意在總線上捕獲信息。當(dāng)黑客ECU捕獲信息時(shí)，很明顯，MAC和時(shí)間戳7'O時(shí)鐘也從總線上被捕獲?，F(xiàn)在，黑客ECU以不同的時(shí)間戳發(fā)送相同的信息。圖1中的不同時(shí)間戳是9'O時(shí)鐘。

在9點(diǎn)鐘，黑客ECU通過(guò)CAN總線向接收器發(fā)送相同的信息。當(dāng)接收方在驗(yàn)證MAC時(shí)，時(shí)間戳不匹配。接收者沒(méi)有關(guān)于不同時(shí)間戳的信息。因此，該信息被拒絕。



圖1. 信息認(rèn)證

現(xiàn)在，可能有這樣的情況：發(fā)射器和接收器之間有時(shí)間延遲，信息連同MAC和時(shí)間戳到達(dá)接收器時(shí)有一些延遲。這不會(huì)有任何問(wèn)題，因?yàn)闀r(shí)間戳只不過(guò)是一個(gè)計(jì)數(shù)器而已。計(jì)算MAC的計(jì)數(shù)值和接收方關(guān)于該計(jì)數(shù)值的信息將保持不變。接收方的計(jì)數(shù)器值不會(huì)遞增。因此，即使總線上有一定的延遲，MAC也會(huì)被接收器驗(yàn)證。

B.基于密碼的信息驗(yàn)證碼

基于密碼的信息驗(yàn)證碼（CMAC）是一種用于MAC生成和驗(yàn)證的算法。這種算法在ECU的硬件安全模塊（HSM）中進(jìn)行。如圖2所示，CMAC算法與發(fā)射器的對(duì)應(yīng)密鑰槽相耦合。有效載荷或信息和防重放計(jì)數(shù)器被作為輸入給CMAC算法以生成MAC。

這是與安全信息相關(guān)的計(jì)數(shù)器。因此，CMAC算法的輸入是有效載荷和防重放計(jì)數(shù)器。每一個(gè)安全發(fā)射器信息都與一個(gè)密鑰槽相關(guān)。



圖2. CMAC生成鑰匙槽也被稱為密鑰ID。密鑰ID是提供鑰匙的槽位。在提供的鑰匙槽中提供鑰匙，然后設(shè)置MAC標(biāo)志。有一些內(nèi)部值被設(shè)置為MAC Only ?ag。該標(biāo)志用于生成MAC。這些生成的密鑰與CMAC算法相連，該算法將生成以有效載荷和防重放計(jì)數(shù)器為輸入的MAC。

用于MAC驗(yàn)證的值是不同的，該標(biāo)志值只能驗(yàn)證MAC。與安全發(fā)射器信息相比，安全接收者信息被賦予不同的密鑰ID。“MAC驗(yàn)證”的值在提供密鑰后設(shè)置。MAC驗(yàn)證標(biāo)志有一個(gè)設(shè)置好的內(nèi)部值。這個(gè)過(guò)程將生成MAC驗(yàn)證的密鑰。因此，這些密鑰被耦合到CMAC層，用于MAC生成或MAC驗(yàn)證。

C.用戶模式和管理模式

兩種特權(quán)模式的操作是管理模式和用戶模式。監(jiān)督員模式將可以訪問(wèn)所有的資源控制操作。它就像一個(gè)管理員，擁有所有內(nèi)存位置的讀、寫(xiě)和可執(zhí)行權(quán)限。 所有的任務(wù)都在一個(gè)單一的平臺(tái)上運(yùn)行，除了管理員，沒(méi)有人可以改變?nèi)魏稳蝿?wù)、任何代碼或任何配置。這使得該系統(tǒng)非常僵硬。

在汽車(chē)工業(yè)中，汽車(chē)中的電子設(shè)備之一是ECU。這個(gè)ECU只在監(jiān)督員模式下運(yùn)行。寄存器和內(nèi)存位置只能在監(jiān)督員模式下訪問(wèn)。所有的應(yīng)用程序都在監(jiān)督員模式下運(yùn)行。 當(dāng)處理器在用戶模式下運(yùn)行時(shí)，它對(duì)系統(tǒng)的訪問(wèn)將受到限制。如果實(shí)施了用戶模式，那么在這種模式下，用戶將有對(duì)資源控制操作有限的訪問(wèn)權(quán)，某些內(nèi)存位置將有有限的權(quán)限。要了解從管理模式切換到用戶模式，并檢索到管理模式。

了解機(jī)器狀態(tài)寄存器（MSR）是很重要的。這個(gè)MSR決定了處理器的狀態(tài)。MSR是一個(gè)32位的寄存器。MSR中的問(wèn)題狀態(tài)寄存器（PR）位表示處理器是處于用戶模式還是監(jiān)督模式。如果PR位=0，處理器處于管理模式。如果PR位=1，處理器在用戶模式下運(yùn)行。

ECU在監(jiān)督員模式下運(yùn)行。其中一個(gè)功能將被定義為在用戶模式下運(yùn)行。因此，代碼是在該功能中開(kāi)發(fā)的，以便ECU在用戶模式下運(yùn)行該特定功能。當(dāng)代碼正在執(zhí)行時(shí)，MSR的PR位被設(shè)置為1，而不會(huì)干擾MSR中的任何其他位。將PR位改為1后，ECU現(xiàn)在在用戶模式下運(yùn)行。

如果ECU必須切換回管理模式，則必須執(zhí)行系統(tǒng)調(diào)用或中斷，以將MSR寄存器的PR位更改為零。



圖3. 用戶模式概念

MSR將其值存儲(chǔ)在特殊用途寄存器（SPR）中，同時(shí)執(zhí)行系統(tǒng)調(diào)用。SPR的作用是將MSR值的PR位位置改為1。當(dāng)MSR從SPR中檢索到它的值時(shí)。對(duì)它的指示，是保持在管理模式，因?yàn)镸SR的PR位將是1。這個(gè)概念證明了可以從管理模式切換到用戶模式，反之亦然。通過(guò)使用這個(gè)概念，用戶和管理模式可以在ECU中成功實(shí)現(xiàn)。

III.設(shè)計(jì)

本節(jié)將解釋網(wǎng)絡(luò)安全三個(gè)功能的設(shè)計(jì)，前兩個(gè)設(shè)計(jì)將證明現(xiàn)有的代碼運(yùn)行良好。第三個(gè)設(shè)計(jì)是ECU中用戶模式的實(shí)現(xiàn)。

A.鑰匙槽驗(yàn)證

驗(yàn)證任何一個(gè)ECU都不得使用安全外圍設(shè)備內(nèi)的同一密鑰槽來(lái)生成和驗(yàn)證MAC。ECU已被校準(zhǔn)以生成有效的非零MAC。已使用不同的密鑰來(lái)生成和驗(yàn)證MAC。

行動(dòng)

觸發(fā)ECU發(fā)送安全信息。選擇由ECU在總線上發(fā)送的安全發(fā)射器信息，并形成必要的數(shù)據(jù)發(fā)送到MAC生成接口操縱應(yīng)用程序代碼，將密鑰槽號(hào)為4的數(shù)據(jù)發(fā)送至MAC 生成與接收方信息密鑰槽號(hào)相對(duì)應(yīng)的密鑰槽接口。密鑰槽驗(yàn)證的設(shè)計(jì)如圖4所示。



圖4. 密鑰槽驗(yàn)證設(shè)計(jì)

設(shè)計(jì)顯示，密鑰槽號(hào)11、12、13、14、15是接收信息的密鑰槽號(hào)，這些密鑰槽被強(qiáng)制放在密鑰槽號(hào)4上，一次一個(gè)。MAC生成的密鑰閃光，這些密鑰與密鑰槽11、12、13、14、15相關(guān)。這些鑰匙應(yīng)該被生成。這個(gè)動(dòng)作將觸發(fā)錯(cuò)誤。這個(gè)錯(cuò)誤就是無(wú)效的鑰匙。

所有的鑰匙槽都經(jīng)過(guò)驗(yàn)證，每次使用不同的接收器鑰匙槽時(shí)，應(yīng)用程序代碼都會(huì)提供相同的錯(cuò)誤。

B.最具權(quán)威性的反核查

確保ECU在權(quán)威性計(jì)數(shù)器達(dá)到最大值時(shí)設(shè)置一個(gè)DTC，并發(fā)送零MAC。

行動(dòng)

觸發(fā)ECU來(lái)發(fā)送安全信息。驗(yàn)證ECU正在發(fā)送它所支持的所有發(fā)送器信息。選擇一個(gè)安全的發(fā)送器信息，并操作應(yīng)用程序代碼，將相應(yīng)的權(quán)威計(jì)數(shù)器設(shè)置為其最大值。



圖5. 最具權(quán)威性計(jì)數(shù)器驗(yàn)證設(shè)計(jì)圖

權(quán)威的計(jì)數(shù)器是與安全發(fā)射器信息相關(guān)的內(nèi)部計(jì)數(shù)器。如果該計(jì)數(shù)器達(dá)到其最大值，那么應(yīng)用代碼應(yīng)該設(shè)置診斷故障代碼（DTC）。還可以觀察到，選定的安全發(fā)射器信息中的MAC值應(yīng)該是零。

當(dāng)代碼中出現(xiàn)錯(cuò)誤時(shí)，DTC就是設(shè)定的。DTC可以被設(shè)置為各種錯(cuò)誤，通過(guò)這個(gè)應(yīng)用層提示某些內(nèi)容沒(méi)有按照預(yù)期工作。

IV.用戶模式驗(yàn)證

最初，ECU將在管理模式下執(zhí)行功能。在管理模式的功能結(jié)束時(shí)，會(huì)引入一個(gè)鏈?zhǔn)饺蝿?wù)，并將一個(gè)用戶模式定義的功能作為參數(shù)給出。這些函數(shù)不能在用戶模式下訪問(wèn)寄存器，因?yàn)樗鼈兪遣槐恍湃蔚暮瘮?shù)，所以引入了包裝器，如圖6所示，它顯示了用戶模式的實(shí)現(xiàn)設(shè)計(jì)。

這些是映射到可信函數(shù)的不信任函數(shù)，以調(diào)用原始函數(shù)，在用戶模式下執(zhí)行。當(dāng)包裝器在函數(shù)中被調(diào)用時(shí)。它應(yīng)該在實(shí)時(shí)操作系統(tǒng)（RTOS）中進(jìn)行配置，這些函數(shù)被配置為可信函數(shù)。

這樣就可以訪問(wèn)寄存器和函數(shù)，在用戶模式下執(zhí)行?，F(xiàn)在，為了將運(yùn)行在用戶模式下的ECU切換到管理模式，在用戶模式函數(shù)的末端調(diào)用一個(gè)鏈?zhǔn)饺蝿?wù)，傳遞給它的參數(shù)是管理模式函數(shù)。



圖6. 用戶模式的實(shí)現(xiàn)設(shè)計(jì)

因此，ECU將以管理模式運(yùn)行。在函數(shù)執(zhí)行結(jié)束時(shí)，會(huì)調(diào)用一個(gè)終止鏈任務(wù)，該任務(wù)將終止該進(jìn)程。

V.結(jié)果

所有三種設(shè)計(jì)的結(jié)果都顯示在本節(jié)中。

A.密鑰槽位驗(yàn)證結(jié)果

CAN總線通常在傳輸所有的發(fā)射器和接收器信息，如ECU所規(guī)定的。這些信息將包含分配給每個(gè)信息的原始密鑰槽。選定的安全發(fā)射器信息包含密鑰槽ID為4，這是最初分配的密鑰ID。不會(huì)有任何錯(cuò)誤。該測(cè)試案例也沒(méi)有啟用。



圖7. 密鑰槽驗(yàn)證的結(jié)果 現(xiàn)在，測(cè)試案例被啟用，接收器的鑰匙槽ID，一次一個(gè)被強(qiáng)制送到特定選擇的發(fā)射器信息的應(yīng)用代碼中。

在圖7中，接收器的鑰匙槽號(hào)11、12、13、14、15是強(qiáng)制的。在提供鑰匙后，應(yīng)用程序代碼會(huì)出現(xiàn)錯(cuò)誤。出現(xiàn)的錯(cuò)誤是INVALID KEY。在這種情況下，發(fā)射器信息2被迫接受改變了的鑰匙槽11、12、13、14、15。所有的接收器鑰匙槽ID都給出了同樣的錯(cuò)誤，因此，這將證明，當(dāng)接收器鑰匙槽被強(qiáng)制取代發(fā)射器鑰匙槽時(shí)，沒(méi)有一個(gè)ECU能夠發(fā)揮作用。

B.最具權(quán)威性的計(jì)數(shù)器結(jié)果

發(fā)射器指數(shù)2的選擇是為了使權(quán)威的計(jì)數(shù)器達(dá)到最大。這將導(dǎo)致為安全發(fā)送器信息2設(shè)置DTC，并且傳輸?shù)腗AC值也為零。這在圖8中顯示。



圖8. 最大權(quán)威性計(jì)數(shù)器的驗(yàn)證結(jié)果 結(jié)果證明，測(cè)試案例是經(jīng)過(guò)驗(yàn)證成功的。DTC也被設(shè)置，并且該特定信息的MAC值為零。其他信息通常會(huì)執(zhí)行一個(gè)有效的MAC。

C.用戶模式的結(jié)果

圖9顯示了管理模式的結(jié)果。決定ECU狀態(tài)的寄存器是MSR。在圖9中，MSR的值是00009000。這表明第17位是0，也就是確定監(jiān)督員模式的PR位。



圖9. 管理模式的結(jié)果 如圖10所示，MSR寄存器的值是00029000。 這清楚地表明，MSR的PR位等于1，這代表處理器運(yùn)行在用戶模式下。?



圖10. 管理模式的結(jié)果

所有其他的位子都沒(méi)有受到影響，ECU有能力在用戶和監(jiān)管理模式下切換和執(zhí)行功能。它甚至能夠訪問(wèn)所需的特權(quán)寄存器和內(nèi)存位置。

VI.總結(jié)

由于攻擊率高，網(wǎng)絡(luò)安全只出現(xiàn)在計(jì)算機(jī)中?，F(xiàn)在，車(chē)輛通信中的網(wǎng)絡(luò)安全已經(jīng)成為汽車(chē)行業(yè)不可或缺的一部分。沒(méi)有鑰匙，就沒(méi)有安全。因此，鑰匙在有關(guān)安全的HSM中起著重要作用。

目前只討論、設(shè)計(jì)和實(shí)現(xiàn)了三個(gè)功能，但汽車(chē)行業(yè)的網(wǎng)絡(luò)安全是一項(xiàng)巨大的研究課題。實(shí)現(xiàn)了許多功能，每一個(gè)功能都需要對(duì)AUTOSAR、CAN通信和許多其他功能的平臺(tái)有深入的了解。一旦理解了這些特性，就可以設(shè)計(jì)和實(shí)現(xiàn)其他安全特性。

審核編輯：劉清