轩辕实验室丨欧盟EVITA项目预研 第一章（二）

最新推荐文章于 2024-08-22 16:29:25 发布
最新推荐文章于 2024-08-22 16:29:25 发布
阅读量1.1k 收藏 8
点赞数
分类专栏： 智能汽车 文章标签： 自动驾驶
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/TICPSH/article/details/118085841
版权

本文介绍了车载通信系统的安全要求，以及HSM硬件安全模块和软件安全结构的相关内容。

 

本文来自本实验室龚思陈的学习笔记。

 

     

车载通信系统的安全要求

 

  • 攻击的种类：

  1. 对安全的攻击

    (1)   未授权的突然刹车

    (2)   袭击主动制动功能

    (3)   篡改危险警告信息

  2. 对隐私的攻击

    （1） 反映错误的路况信息（如：模拟发生交通堵塞的通知信号）

    （2） 控制交通信号灯

    （3） 操控车速

    （4） 阻止用户通过收费站

    （5） 无法启动引擎

  3.  操纵交通流

  4. 增加/减少收费站的缴费

 

  • 以C2C系统发送轮胎打滑危险警告为例，在通讯过程中的基本表达式如下：

发送方：

-       sense(ESP（车身电子稳定系统）,SlipperyWheels)：通过车身电子稳定系统（传感器）感知车身情况

-       positioning(GPS,position)：通过GPS定位发送实时位置

-       send(CU,danger(position,type))：通过通信单元向接收方发送危险的信息，包括危险发生的位置和危险类型

接收方：

-       receive(CU,danger(position,type))：通过通信单元接受危险信息和发生危险的位置

-       positioning(GPS,position)：通过GPS定位发送实时位置

-       show(HMI,D,warn(relative-position))：通过人机交互界面显示相对位置

  • 两车之间通讯的演示图例：

 

图片

 

  • 扩展到多车的系统体系（SoS）：

图片

 

  • 在该通信过程中总结出的安全要求：

    ①发出信号车辆的位置信息需要准确；

    ②接收信号车辆的位置信息需要准确；

    ③发出信号车辆的传感器感知传达的信号必须准确

这些信息的正确与否直接决定着功能安全和信息安全。

 

硬件安全结构（HSM硬件安全模块）

  • 硬件安全的作用

  • 通过以下方法保护软件安全：

    -       为上层软件层提供可信的安全锚

    -       保护更新、存储和安全相关的材料

  • 通过以下方法防止对硬件的入侵攻击：

    -       应用入侵保护措施

  • 通过以下方法加速安全机制：

    -       使用密码加速器

  • 通过以下方法减少大体积的安全消费：

    -       使用高度最优化的特殊电路装置

 

  • 电子控制单元（ECU）的安全结构

图片

在电子控制单元（ECU）的系统安全结构中：

  • 硬件安全模块（HSM）是微控制器的扩展，为上层软件层提供安全基础；

  • 将在后续单片芯片设计上被深度集成在CPU上。

 

  • HSM（硬件安全模块）的安全结构：

 

 

  • 硬件安全构建块（SBB）

（1）ECC-256是一种高性能非对称加密引擎。每秒可以产生并验证250个签名。

（2）WHIRLPOOL是基于AES的哈希函数。它的吞吐量约为1 Gbit / s，同时需要大约3,000片FPGA硬件尺寸。

（3）AES-128是对称块加密/解密引擎。它不仅支持标准块加密操作模式（如ECB、CBC），还支持高级加密，例如，在经过验证的加密方案（如GCM或CCM）中使用。

（4）PRNG with TRNG seed是一个伪随机数生成器，它使用来自真实内部物理随机源的真随机种子。

（5）Internal clock：内部时钟，能与UTC时间（世界标准时间）同步的、起硬件保护作用的时间参数。

（6）Monotonic counters是一个64位单调计数器功能块，可作为简单的安全时钟替代方案。

  • SBB密码解密的具体过程

  • 初始化硬件的加密和解密区域

 

  • 调用示例

 

  • 信息块处理

图片

  • 最后一轮加密、解密

图片

  • 密钥导出

  • 将密钥导出以进行传输、交换、迁移

图片

  • 调用示例

图片

  • 导入密钥以进行传输、交换、迁移

图片

  • 调用示例

图片

  • HSM的三种部署结构：

  • 目的：在不同的使用场景，根据不同的耗费、不同的功能性和安全性要求选择HSM的安全结构，使得确保功能整体性的同时，达到高效节省。

  • 三者关系：light和medium是full的真子集

 

  • Full HSM：1-2片高性能通信模块ECU；采用高速非对称加密

    应用场景：

    -       V2X通信单元

    -       中央网关（可能）

图片

  • Medium HSM：2-4片中央多任务ECU，用于ECU之间；采用低速非对称加密、高速对称加密

    应用场景：（适用于动态通信）

    -       引擎控制

    -       前、后模块

    -       防盗控制系统

图片

  • 设计适合两者：严格的安全要求和多任务ECU的高费用压力

  • 看上去和full ECU很像，实则没有专用的ECC硬件和专用的哈希函数，（所包含的CPU性能要更低），但是仍然可以通过软件的方法执行一些性能要求不高的非对称密码操作

  • 能符合所有车载安全用例，但是不适合V2X通信

 

  • Light HSM：使用较少，但是安全关键；采用对称加密

    应用场景：（适用于静态通信）

    -       重要的传感器（车轮传感器、加速传感器、踏板传感器）、

    -       重要的制动器（停顿、门锁、转向灯）

    -       一些控制器（模块、车灯、时钟）。

图片

  • 集成并保护产生安全关键信息的小ECU、传感器、制动器（使得它们能够保证通信数据的真实性、完整性和机密性）

  • 缩减到只有一个消费友好型AES对称（更能满足传感器和制动器在成本和效率方面的严格需求

  • 不能提供任何硬件安全保障，但是能够确保传感器和制动器高效运行以及产生受保护的信息

 

  • HSM的真子集：安全硬件扩展（SHE）

  • 通过硬件提供基于AES-128的密码服务：

    -加/解密

    -消息认证码

    -引导加载程序的认证唯一的设备ID

    -应用不可直接访问的方式存储密钥。

 

  • 硬件安全接口

  • 主要特征：

  • HSM采用异步的硬件接口。

  • 大多数硬件安全模块（如AES,MAC,数字签名和哈希函数）通过会话标识符实现多会话（Multi-sessions）

  • EVITA密钥使用可以通过以下方式获得额外的个人授权：

    -       调用函数时对的密码（包括失败计数器）

    -       通过验证一个bootstrap引用来验证固有的bootstrap

    -       密码和bootstrap引用的结合

  • Evita能够了解所有HIS的安全硬件扩展的指令

  • 比如，一个HSM可以同时引用加密和产生随机数的功能，但是不能是两个同时在同一个硬件加密构建块上的加密技术。

 

  • 一般的约束条件

  • 一些单会话接口用于一些小的硬件安全构建块（如RNG）

  • HSM大部分是单线程的，但在多种硬件功能被同时访问的情况下能够实现多线程。（比如，PRNG和AES可以同时被调用）

  • EVITA命令在硬件级别上没有明确和单独的保护：

    -       也就是说，在硬件层面上，它们是公开的，并且没有任何重放和真实性保护

    -       如果这是必需的，我们提议一个类似TPM的方法（基于一个单一的用户管理）来建立会话密钥和“旋转随机数（rotate nonces）”

  • EVITA在硬件层面没有用户管理

 

  • 硬件安全逻辑和功能：内部密钥层次结构

图片

  • 主要密钥

    -       MVK：形成生产商信任域

    -       IDK：设备身份字——fixed & Signed by MVK.

    -       OVK：形成原始设备制造商的信任域——fixed

    -       CSK:时间同步密钥 与UTC（世界标准时间）同步——Signed by MVK.

    -       SRK：存储根密钥 实现内部产生的密钥与外部存储安全交换

    -       SxK:利益相关密钥：利用所有外部产生的SSK、SAK进行身份验证、安全功能激活或者内容保护——Signed by MVK.

  • 内部密钥

图片

  • 使用不对称的加密算法设置

  • 使用flags={ sign, verify,encrypt, decrypt, timestamp, secureboot, securestorage, dhke, utcsync,transport, … };每个flag都有单独的使用和转移的特权

  • 可以是有时限的

  • 可以由发行人认证

  • 通过密码，bootstrap或者两者的结合来颁布使用认证

  • 单个密钥数据结构（取决于算法标识符）

  • 以内部的密钥句柄为参考

 

  • 外部密钥

图片

  • 仅用于传输、迁移或安全存储交换

  • 密钥需要相应的传输权限和授权（如果设置了的话）

  • 算法、使用标识和有效间隔是完全可见的

  • 公共密钥的数据是完全可见的

  • 加密密钥blob=加密密钥内部，如密钥授权和私钥部分

  • 完全可见的验证码（MAC/Sig）用于密钥的完整性和真实性保护

 

  • 密钥证书

图片

  • 用于认证内部密钥（非对称和对称）的公钥信息

  • 认证签名是用个人设备身份密钥完成的（这转而由HSM制造商认证，即通过MVK）

  • 如果需要的话，（对称的）密钥可以通过Hash（密钥数据）被识别

 

  • ECU配置寄存器

图片

  • 类似于可信计算平台配置寄存器

  • 启用可信的度量链

  • 可与引用相连接，以启用secure boot

图片

 

软件安全结构

  • 安全要求：模块化、可扩展、可配置、灵活度高

    -灵活整合新机制

    -灵活部署根据系统环境和应用程序选择单一中心或多中心

    -静态和动态配置

    -同步与更新

    -提供安全的应用程序接口

  • 模块化的车载安全结构（安全抽象层）

图片

 

  • 嵌入式车载安全结构的模块：

图片

  • 多任务ECU的部署设想

图片

上海控安
关注
专栏目录
Evita项目-1-项目介绍
汽车电子开发
11-09 1285
（EVITA Deliverable D4.0.3: Security architecture implementation-Progress Report.）在原型设计方面，HSM是在FPGA上实现的，并通过标准化的芯片间通信接口与ECU进行连接，FPGA、连接板和ECU以紧凑的形式堆叠在一起。（EVITA Deliverable D4.4.2: Test results.）中描述，在原型中部署的软件安全框架是一个全面的、模块化的安全库，为安全功能提供了应用程序编程接口。
Evita项目-3-Evita 安全启动流程
汽车电子开发
05-19 895
通过上电和复位，引导加载程序的执行和验证，信任根的初始化，固件身份验证和验证，以及可信启动链的执行，系统可以建立起一条可信的启动路径，保证系统在启动过程中的安全性和完整性。可信启动链是安全启动过程中的一个重要概念，它由一系列被信任的软件和硬件组件组成，依次验证和启动系统中的各个组件。引导加载程序确保只有受信任的软件组件被加载和执行，信任根提供了系统的根信任基础，可信启动链确保系统在启动过程中的验证和启动顺序。通过可信启动链的执行，系统建立起一条可信的启动路径，确保系统在启动过程中的安全性和可信度。
轩辕实验室丨欧盟EVITA项目预研 第一章（四）
TICPSH的博客
07-05 614
本文主要介绍移动和嵌入式系统中的可信计算，包含TCG 与其标准和解决方案、可信平台模块、嵌入式系统安全与可信和硬件安全模块相关内容。 本文来自实验室孙伊凡的学习笔记 移动和嵌入式系统中的可信计算 1.1背景与现状 标准计算平台的安全性匮乏问题自70年代早期以来一直存在。 大多数发生的攻击围绕对完整性的篡改发起，而通用计算机具有的加密模块并不能满足对各类攻击的抵御，且始终缺乏基础安全机制。 因此，经济的硬件安全模块与计算平台所需的操作系统功能是不可或缺的部分，该部分至少需要满足以下...
网络安全：全流程开发
最新发布
Galaxy_0的博客
08-22 914
从一开始的话是由奥迪、宝马、大众，戴姆勒等公司，他们成立了一个联盟，推出了一个叫做SHE的这样一个标准。这个SHE它的全称叫做secure hardware extension，就是安全硬件扩展模块，它是最早的一种类型。SHE它相对而言是比较简单的一种硬件安全模块，它常规只能支持对称的AES-128的这种密码算法，而且最多只能支持到20把密钥。也就是在我们的这个芯片里面，SHE模块的话，它的性能是相对而言比较有限。
轩辕实验室丨欧盟EVITA项目预研 第一章（一）
TICPSH的博客
06-21 581
本文介绍了EVITA项目的基本内容以及已有的测试实践——simTD项目。 *本文来自本实验室龚思陈的学习笔记 EVITA工程的基本情况 EVITA的全称：E-safety Vehicle Intrusion Protected Applications EVITA工程的目的： 设计、证明、构建车载网络的原型构建块，保护安全相关的组成部分免受篡改、保护敏感数据免受损害。为安全部署基于车辆与车辆之间的通讯（V2V）以及车辆与基础设施之间的通讯（V2I）的汽车安全装置打下...
轩辕Linux开放实验室
weixin_33788244的博客
11-06 129
昆山轩辕Linux开放实验室简介 为方便广大Linux软件开发者，轩辕高端IT培训中心于2009年10月设立了Linux开放实验室，轩辕Linux开放实验室提供了完整的Linux 软件开发环境，包括：C/C++（GCC、GDB）、make、Java、Python、Perl、C++ Boost、C++ ACE、C++ OTL、Oracle、MySQL、Tomcat...
汽车网络安全 EVITA 项目概览
06-12
5. EVITA项目还包括了安全原型和演示（EVITA prototype and demonstrator），在实验室环境下的演示车辆中展示了这些安全构建块的实施和运行。 6. 法律和规范要求（Legal requirements on automotive on-board ...
Evita项目-2-Evita中规定的安全汽车车载电子网络架构
汽车电子开发
05-19 1256
本文介绍了用于安全汽车车载网络的硬件和软件组件，为保护外部车辆通信提供基础。基于欧洲研究项目EVITA（http://evita-project.org）的工作，提供了一个框架，涵盖跨层安全，针对平台完整性、通信通道、访问控制、入侵检测和管理进行安全保护。提出了一个模块化的硬件/软件协同设计：硬件安全模块（HSM）提供了保护平台完整性、确保关键材料的完整性和保密性，并增强了加密操作，从而保护了架构的关键资产。
Evita_Verilog.rar_Evita Verilog_Verilog EVITA_evita_evita ve
09-14
《Evita Verilog：探索 FPGA 学习与Verilog编程的高效途径》 在现代电子设计自动化（EDA）领域，Verilog 是一种广泛使用的硬件描述语言（HDL），用于描述数字系统的逻辑行为和结构。而Evita Verilog，正如其名，是...
轩辕实验室丨自动驾驶预期功能安全场景构建及风险评估技术
TICPSH的博客
07-14 1450
预期功能安全国际标准ISO/DIS 21448-2021相较于ISO/PAS 21448-2019对预期功能安全重新定义：不存在因车级的“预期功能”规范不足或系统中的E/E元件的实现上规范不足或性能限制而导致的风险。这一新的定义给出了关于预期功能安全在保证自动驾驶安全上更加详细的定位。 新的标准基于三圆行为模型和危险事件因果关系模型阐述了预期功能安全和功能安全相互作用。在新的标准中改变了上个版本认为V2X全部都是功能安全和信息安全的范畴，首次将C2X场景中的一些危害归入SOTIF的范畴，并在附录中给出了相
轩辕实验室 | 车载网络入侵检测DCNN算法设计
TICPSH的博客
08-27 289
本文来轩辕实验室张振超的研究成果和学习笔记
轩辕实验室丨C-V4X车联网安全：移动边缘计算GPS反欺骗问题
TICPSH的博客
07-14 381
政策背景： 工信部为了贯彻落实《新能源汽车产业发展规划（2021-2035 年）》《智能汽车创新发展战略》和车联网产业发展专委会的要求，我国工业和信息化部开展了车联网身份认证和安全信任试点工作。 车联网的试点方向为：车与云安全通信、车与车安全通信、车与路安全通信、车与设备安全通信。在通信方面，需要构建车联网身份认证和安全信任体系，推动商用密码应用，保障蜂窝车辆网（C-V2X）通信安全。 国内案例： 青岛查处全国首起欺骗式GPS干扰 2020年12月，青岛市工业
轩辕实验室 | 车载以太网CNN入侵检测算法
TICPSH的博客
08-30 715
本文来轩辕实验室张振超的研究成果和学习笔记
轩辕实验室 |自动驾驶系统安全隐患分析
TICPSH的博客
08-09 1100
A Comprehensive Study of Autonomous Vehicle Bugs 本文来自实验室金若辰、黄安妍、许伟豪、杨园的研究成果和学习笔记 自动驾驶汽车（AVs）正成为我们日常生活中不可或缺的一部分。大约50家公司正在积极开发自动驾驶汽车，包括谷歌、福特和英特尔等大公司。一些自动驾驶汽车已经在公共道路上运行，最近有记录显示至少有一人不幸死亡。因此，了解自动驾驶系统中的错误对于确保其安全性、安全性、健壮性和正确性至关重要。 此篇论文从Baidu Apollo, Autoware
轩辕实验室丨基于信息熵的车载网络流量异常检测防御方法
TICPSH的博客
08-02 670
本文来自轩辕实验室相关研究成果。 本发明通过设定一个检测阈值和固定大小的滑动窗口，计算滑动窗口中流量的信息熵，利用所计算的熵值和阈值对比进行异常判断，实现一种基于信息熵的车载网络流量异常检测防御方法。 本发明针对CAN总线和车载以太网的流量，取不同对象作为离散随机变量。在车载网络出现异常流量时，这些随机变量的取值分布会被改变，从而导致信息熵值发生剧烈下降。通过设定阈值，判断信息熵是否在合理界线内，从而实现网络流量的异常检测。 在传统的基于异常的入侵检测技术中有一类方案是基于统计形成，其中基于熵值理
轩辕实验室丨欧盟EVITA项目预研 第一章（三）
TICPSH的博客
06-21 470
本文主要介绍车载通信的安全协议、对结构和协议的验证方法和攻击分析，以及模型驱动的安全工程的相关内容。 本文来自本实验室龚思陈的读书笔记 车载信息安全协议 抽象网络结构如下： 在实体网联汽车上对应如下： -EBCM：Electronic Brake Control Module电子制动控制模块 外部通信 -目标车是一个黑盒 对新应用的新的安全要求： -采用虚拟化方法 -屏蔽执行环境 -允许第三方...
硬件可信方案-EVITA HSM
baron-周贺贺-代码改变世界ctw
07-03 1848
信息安全中的HSM 和 SHE 两个概念有什么区别和相同的地方？EVITA研究项目的目标是为汽车车载网络设计、验证一个体系架构，在这种体系架构中，与安全相关的组件受到保护、免受篡改，敏感数据受到保护、免受破坏。业界基于SHE（Secure Hardware Extension，安全硬件扩展）规范提出了HSM硬件规范，该规范也被广泛接受，很多应用于汽车的微处理器支持这个规范。SHE是一个针对汽车网络安全的硬件规范，最早由奥迪、宝马、大众等厂商联合制定。
欧洲EVITA项目：安全车载电子网络架构与硬件安全模块
它基于欧洲研究项目EVITA的工作，该项目专注于保护外部车辆通信的安全架构。论文提出了一个跨层安全框架，旨在确保平台完整性、保护通信信道、实施访问控制以及检测和管理入侵。" 在现代汽车中，车载电子网络系统变...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值