车载信息安全概念和测试需求

车载信息安全基础概念特性：

1. 机密性

机密性，指的是对信息开放范围的控制，确保信息没有非授权的泄漏，不被非授权的个人、组织和程序使用。需要保密的信息可以是车辆自身的密钥、证书、配置参数，也可以是车辆使用者的相关隐私，包括用户密码、定位轨迹、消费记录等，甚至包括车外行人车辆的音视频信息。保护机密性取决于信息定义和实施适当的访问级别，这种做法常常涉及将信息分为访问权限和机密等级分级。一些最常用的手段包括的文件权限设置、通信加密、访回控制列表以及文件数据加密等。

2.完整性

该属性的关键是保护数据不被未授权方修改或删除，防止由于如通信或者固件被篡改导致的黑客利用。具体需要重点防护的数据包括车辆控制器内关键的配置参数、固件、操作系统、个人资料、通信报文信息等。常用于完整性保护的技术手段包括消息校验码、数字签名、安全启动等。

  

3. 可用性

可用性是在某个考察时间，系统能够正常运行的概率或时间占有率期望值。为保证可用性，可以采用冗余的方式进行，包括报文信号的冗余、传感器 / 控制器 / 执行器的冗余、控制信号通道的冗余以及供电等基础设施的冗余等。

4. 不可抵赖性

不可抵赖性主要应用在电子商务领域，如移动支付等场景，保证用户对自己行为的不可抵赖及对行为发生时间的不可抵赖。通过进行身份认证和数字签名可以避免对交易行为的抵赖，通过数字时间戳可以避免对行为发生的抵赖。

汽车基础软件信息安全需求及测试点：

信息安全的实现并非是通过独立的安全机制可以实现的，需要进行信息安全纵深防御体系设计。从云端 - 车云通讯 - 车端控制器 - 应用软件 - 基础软件 - 硬件等多个维度进行层层防御，设计相应的安全措施提升安全性。基础软件的安全需求主要来自以下两个方面：

1. 实现更高一级来自于功能 / 控制器的信息安全需求。如特定控制器需实现加密通讯，基础软件需要保证安全通讯协议、密钥管理、加密认证、加密存储等功能。

2. 基础软件自身安全的要求。为保证上述功能的安全实现不被绕过，基础软件还需保证自身的安全，如不存在公开漏洞、安全启动等。

1 安全启动 

安全启动（SecureBoot）是 MCU 的基本功能，通过硬件加密模块来实现，该机制必须独立于用户程序运行，不能被破坏。作为整个安全启动信任链的基础，安全启动必须主要用于在 MCU 启动之后，用户程序执行之前，对用户定义的 Flash 中关键程序的数据完整性和真实性进行验证，确定是否被篡改。如果验证失败，说明 MCU 处于不可信的状态，部分功能甚至整个程序不能运行。

2 安全通信

在目前的车载网络中，大部分数据传输都是在没任何安全措施的情况下进行的。例如应用最广的CAN 通讯设计之初是没有考虑过信息安全问题的，其明文传输、报文广播传输、极少网络分段等特性，让进入整车网络的黑客如同进了游乐场，轻松便可以伪造报文对车辆进行控制。

SecOC 是在 AUTOSAR 软件包中添加的信息安全组件（组件位置及可应用的通讯方式如下图所示），该 Feature 增加了 CMAC 运算、秘钥管理、新鲜值管理和分发等一系列的功能和新要求。SecOC 模块在PDU 级别上为关键数据提供有效可行的身份验证机制，认证机制与当前的 AUTOSAR 通信系统无缝集成，同时对资源消耗的影响应尽可能小，以便为旧系统提供附加保护。

此外，车云通讯的安全性主要依靠 TLS/SSL 协议保证。TLS 协议采用主从式架构模型，用于在两个应用程序间透过网络创建起安全的连接，防止在交换数据时受到窃听及篡改。

3 安全诊断

一些用于将例程或数据下载 / 上传到服务器以及从服务器读取特定内存位置的诊断服务可能需要进行身份验证。不正确的程序或下载到服务器的数据可能会潜在地损害电子设备或其他车辆部件，或可能违背车辆的排放或安全等标准。另一方面，当从服务器检索数据时，可能会违反数据安全性。因此需在这些服务执行前，要求客户证明其身份，在合法身份确认之后，才允许其访问数据和诊断服务。

所以安全诊断是通过某种认证算法来确认客户端的身份，并决定客户端是否被允许访问。可以通过对随机数种子生成的非对称签名进行验证或者通过基于对称加密算法的消息校验码来验证其身份。

4 安全调试

现在基本控制器都配备了基于硬件的调试功能，用于片上调试过程。安全 JTAG 模式是指通过使用基于挑战 / 响应的身份验证机制来限制 JTAG 访问。检查对 JTAG 端口的任何访问，只有授权的调试设备（具有正确响应的设备）才能访问 JTAG 端口，未经授权的 JTAG 访问尝试将被拒绝。在生产或者下线阶段，必须要禁用或者锁定相关的调试诊断接口，禁用意味着无法与硬件调试接口建立连接，锁定意味着硬件调试接口受到保护，只能根据安全调试解锁来访问。

5 安全升级

随着越来越复杂的网络环境，在软件升级更新过程中，保证升级包的发布来源有效、不被篡改、数据不丢失以及升级内容不被恶意获取变得越来越重要。

传统升级过程升级包的数据基本上是以明文传输，数据校验方式也是安全性较低的散列算法。安全升级在传统升级基础上，一方面使用添加签名的固件和在固件验证过程中额外执行签名验证来增强固件完整性验证，保证数据来源可靠，数据完整没有被篡改；另一方面还增加了对通过服务器加密固件的解密功能，传输数据过程通过密文传输，有效的降低 OTA 无线更新时数据暴露的风险。

6 安全存储

一次性可编程存储器 OTP(On Chip One Time Programmable ROM, On-Chip OTP ROM)，也称为eFuse，是芯片中特殊存储模块，字段中的任何 eFuse 位都只能从 0 编程为 1（融合），只能被烧写一次，但是读取操作没有限制。安全存储还可以通过将 Flash 某些区域设置只读或者只写来实现，防止非法访问和篡改。Flash 保护区域的数量和大小会根据 Flash 的类型和该 Flash 块的大小而有所不同。

参考自中国汽车基础软件信息安全研究报告。