自动驾驶TPM技术杂谈 ———— 汽车信息安全通用技术要求

介绍

 随着智能化和网联化技术快速发展和应用，汽车从相对孤立的电子机械系统逐渐演变成能与外界进行信息交互的智能系统，汽车网联化衍生的信息安全问题随之而来。 与通信等行业的信息安全主要造成财产损失不同，作为高速行驶的载人和载物的交通工具，当发生汽车信息安全问题，不仅会造成财产损失，还将严重威胁人身和公共安全。标准框架如图所示，在规定原则性要求，系统性防御策略要求等基础技术要求的同时，从以下八个维度针对子保护对象制定具体技术要求
   1. 真实性:
   2. 保密性，
   3. 完整性，
   4. 可用性，
   5. 访问可控性
   6. 抗抵赖:
   7. 可核查性:
   8. 可预防性。

术语&缩略语

 1. 汽车信息安全
   汽车的电子电气系统、组件和功能被保护，使其资产不受威胁的状态。
 2 . 真实性
   一个实体是其所声称实体的特性。
 3 .保密性
   信息对授权的个人实体或过程不可用或不泄露的特性。
 4. 完整性
   准确和完备的特性。
 5. 可用性
   根据授权实体的要求可访问和可使用的特性。
 6. 访问可控性
   确保对资产的访问是基于业务和安全要求进行授权和限制的特性。
 7. 抗抵赖
   证明所声称事态或行为的发生及其源头的能力。
 8. 可核查性
   确保可从一个实体的行为唯一地追溯到该实体的特性。
 9. 可预防性
   对信息异常行为和攻击行为进行识别、侦测以及相应安全响应的能力。
 10. 拒绝服务
   因阻止对系统资源的授权访问或延迟系统运行和功能实现而导致授权用户的可用性受损。
 11. 分布式拒绝服务攻击
   通过损害或控制多个系统对攻击目标系统的带宽和资源进行泛洪攻击而实现拒绝服务。
 12. 后门
   能够绕过系统认证等安全机制的管控而进人信息系统的通道。
 13. 安全重要参数
   与安全相关的信息，包含秘密密钥和私钥、口令之类的鉴别数据或其他密码相关参数的信息。
 14. 访问控制
   确保对资产的访问是基于业务和安全要求进行授权和限制的手段。

缩略语
CAN	控制器局域网络	Controller Aera Network
DoS	拒绝服务	Denial of Service
DDos	分布式拒绝服务攻击	Distributed Denial of Service
FTP	文件传输协议	File Transfer Protocol
HSM	硬件安全模块	Hardware Secure Module
ICCID	集成电路卡识别码	Intergrate Circuit Card Identity
IMSI	国际移动用户识别码	International Mobile Subscriber Identity
JTAG	联合测试工作组	Joint Test Action Group
TCM	可行密码模块	Trusted Cryptography Module
TEE	可信执行环境	Trusted Execution Environment
TFTP	简单文件传输协议	Trivial File Transfer Protocol
TLS	传输层安全协议	Transport Layre Security
TPM	可信平台模块	Trusted Platform Module

保护对象

 按照保护对象范畴，汽车可划分为三类子保护对象：车内系统、车外通信和车外系统。如下图所示。

车内系统

 车内系统分为如下子保护对象:
   1. 软件系统:
   2. 电子电气硬件:
   3. 车内数据:
   4. 车内通信。
 车内通信即车内系统、组件之间的通信，例如CAN 通信、LIN通信、以太网通信等。

车外通信

 车外通信分为如下子保护对象:
   1. 车外远距离通信:
   2. 车外近距离通信。
 注
   1. 车外通信是指整车与车外终端的通信。
   2. 车外远距离通信是指蜂窝移动通信、卫星导航等。
   3. 车外近距离通信是指蓝牙、近场无线通信和Wi-Fi等。

技术要求

原期性要求

 1. 业务适用性原则
   产品的信息安全设计应结合业务或功能环境的实际需求，同时考虑对业务或功能的正常使用的影响。
 2. 软件无后门原则
   软件系统不应留有后门。
 3. 功能最小化原则
   无用的软件组件，协议端口和ECU硬件调试接口应禁用或移除；器件的管脚信息不宜暴露。
 4. 最小化授权原则
   产品的访问和信息处理活动应只授予必要的权限。
 5. 权限分离原则
   重要保护对象的信息处理活动应具备两个或两个以上的权限，且各权限应相互分离和单独授予。
 6. 默认设置原则
   产品应完成默认的信息安全设置，该设置对用户的信息安全设置诉求应做到最小化和最简单化。

系统性防御策略要求

总则

 产品可采用下列系统性防御策略的一种:
   1. 纵深防御:
   2. 主动防御；
   3. 韧性防御
 注
   系统性防御策略，是基于统的整体信息安全防护而采取的整体防御策略，以避免因各个信息安全防护措施相互孤立而造成整体防护能力不足的问题。

纵深防御要求

 纵深防御符合以下要求
   1. 根据保护对象所处的环境条件和信息安全管理的要求，应由外到里对保护对象实施层层设防的防护措施；
   2. 各层次的安全措施应相互依托，形成系统化的防护机制，从而提高系统的整体抗攻击能力。

主动防御要求

 主动防御应采用包括但不限于情报分享、入侵检测技术、信息安全策略动态调整和各信息安全模块之同协同等措施，以降低信息系统在遭受网络攻击时所面临的风险。

韧性防御要求

 信息安全设计应综合考虑可靠性、功能安全等多个方面的工程设计，以提高系统的生存能力和自愈能力。

保护维度要求

车内系统的保护要求

软件系统的保护要求

真实性

 软件系统应符合以下真实性要求：
   1. 当升级、加载和安装时，验证提供方的身份真实性和来源的合法性:
   2. 验证登录用户身份的真实性和合法性

保密性

 软件系统应支持防被逆向分析宜采用代码混淆或加壳等措施

完整性

 当软件系统在启动升级加载和安装时，应验证其完整性。

可用性

 当软件系统设计符合CB/T 34590.3-2017中 ASIL C和D级时，其应支持防DOS/DDoS攻击。

访问可控性

 软件系统应符合以下访问可控性要求：
   1. 具备访问权限控制的管理机制:
   2. 验证对各软件系统资源和数据资产的访同、操作和使用的权限
   3. 验证软件系统的升级、加载和安装的权限。

抗抵赖

 软件系统应具备在请求的情况下为数据原发者或接收者提供数据原发证据和数据接收证据的功能，例如采用数字签名技术等。

可核查性

 软件系统应符合以下可核查性要求:
   1. 记录重要信息安全事件，包括但不限于用户活动和操作指令:记录内容宜包含事件的时间、用户、事件类型、事件处置结果等信息:
   2. 保护审计日志不被非法篡改、删除和伪造。

可预防性

 软件系统应具备对自身受到信息安全攻击的感知能力，当检测到信息安全攻击时，宜进行日志记录、信息安全告警或攻击阻止的响应。

电子电气硬件保护要求

完整性

 对ECU的封装(外壳、封条等)应采用完整性保护。例如使用揭开时能留迹象的封条

访问可控性

 电子电气硬件应移除或者禁止不必要的调试接口。

车内数据保护要求

保密性

 安全重要参数应符合如下保密性要求:
   1. 不以明文方式传输；
   2. 存储在安全的环境中。
 例如存储在TPMTCM、AsM成TEE 等安全环境中。

完整性

 安全重要参数应支持完整性校验。

可用性

 安全重要参数应防止丢失和被误删除，宜采用备份或专用安全空问存储等措施。

车内通信的保护要求

真实性

 车内通信应验证通信双方身份的真实性。

保密性

 车内通信应进行加密保护机制。

完整性

 车内通信应采用完整性保护机制。

可用性

 车内通信应具备通信流量控制能力。例如当受到恶意软件感染或拒绝服务攻击而造成车内通信流量异常时，仍有能力提供可接受的通信。

访问可控性

 车内通信应符合如下访问可控性要求:
   1. 将车内网络划分为不同的信息安全区城，每个信息安全区敏之间宜进行网络隔离；
   2. 信息安全区城间采用边界访问经制机制对来访的报文进行控制。

可核查性

 车内通信应具备日志记录的能力

可预防性

 车内通信应对异常报文具有感知能力当感知到异常报文时，宜具有告警或其他安全响应的能力。例如，接收到高频率的重放报文或被篡改过的报文等异常现象，

车外通信的保护要求

车外远距离通信的保护要求

真实性

 车外远距离通信应符合如下真实性要求:
   1. 开启3G、4G、5G通信网络层的双同认证功能:
   2. 蜂窝移动通信网络层之上支持独立的双向认证机制

保密性

 车外远距离通信应符合如下保密性要求:
   1. 具备3G、4G、45C通信网络层的加密功能:
   2. 蜂窝移动通信网络层之上支持独立的加密机制，宜采用TLS1.2版本及以上的安全协议。

完整性

 车外远距离通信应符合如下完整性要求
   1. 具备3G、4G、5G通信网络层的完整性保护功能
   2. 蜂窝移动通信网络层之上支持独立的完路性机制，宜采用TLS1.2版本及以上安全协议

可用性

 与外部通信的部件应支持防DoS/DDoS攻击。

访问可控性

 车外远距离通信应具备对通信报文进行访问控制的能力。例如，白名单访问控制、，报文过滤、防通信流量过载机制等。

抗抵赖

 车外远距离通信应符合如下抗抵赖要求
   1. 确保蜂窝移动通信网络层通信ID（如，国际移动用户识别码IMSI集成电路卡识别码ICCID等）的唯一性；
   2. 蜂窝移动通信网络层之上支持独立的抗抵赖机制(如:使用证书机制等）。

可预防性

 车外远距离通信应具备对通信报文的安全监控能力和攻击行为的感知能力：当受到信息安全攻击时，宜进行报文清洗、流量控制或阻止攻击行为的响应。

车外近距离通信保护要求

真实性

 车外近距离通信应开启身份认证功能。

保密性

 车外近距离通信应开启加密功能。

完整性

 车外近距离通信应开启完整性保护功能。

可用性

 与外部通信的部件应支持防 DoS/DDoS 攻击。

可核查性

 车外近距离通信应具备记录近距离通信信息安全相关事件的能力；记录的内容宜包含来访用户ID 和通信时间。

附录

车内系统信息安全威胁

软件系统的信息安全威胁示例

软件系统的信息安全威胁
编号	威胁描述
1	用户通过越权方式访问软件系统，包含两个方面：   1. 普通用户通过非正常渠道篡改和提升其权限，从而访问权限外的数据和文件   2. 利用系统访问机制设置不恰当的漏洞(如没有对用户做最小权限设置)，访问不应访问的资源
2	用户利用用户身份认证不充分或默认账号密码未修改等问题非法访问车内软件系统
3	攻击者利用软件系统中存在不安全的远程访问或控制组件(如Telnet、FTP、TFTP以及其他不需要强认证和未加密传输的远程控制组件)远程非法访问车内系统
4	攻击者发现并利用软件系统中未移除或禁止功能业务中未用的组件和协议端口等隐藏的服务和端口攻击系统
5	攻击者通过操纵软件升级的确认机制，让软件系统拒绝正带的软件升级或让车辆在不恰当的时间和地点停车进行软件升级
6	攻击者通过重放合法的升级软件包让汽车反复升级软件以于扰车辆正常工作
7	车辆升级软件时没有进行来源合法性和软件包的完整性等信节的检查，导致非法软件安装到车辆中
8	车辆的软件系统没有足够完备的信息安全目志或其他事件记录系统，导致无法感知攻击和异常行为，给事后的信息安全事故调查、取证和追溯等带来困难
9	软件系统缺之可信的启动机制，导致系统运行被篡改过的或不完整的软件
10	软件系统的访问认证机制缺乏防暴力破解措施，使攻击者可利用暴力方式直接破解访问的账号和密码
11	软件系统尤其是数据库对接收到的输人命令不校验格式的合法性，导致出现注入攻击
12	攻击者通过“后门”（如，组合健，鼠标特殊敲击、连接特定接口，使用特定客广端、使用特殊URL、隐藏的访间账号、隐藏的远程访同通道等方式）非法进人车内软件系统
13	车辆软件系统缺乏预警与监控机制成预警监控机制不充，无法感知自身所面临的异常信息处理行为， 导致用户或后台服务器无法及时来取应对措施

硬件的信息安全威胁示例

电子电气硬件可能面临的信息安全威胁
编号	威胁描述
1	芯片缺乏独立的信息安全存储空间或可信计算空间去存储密钥、用户认证的生物特征信息等安全重要参数，从而导致泄密。例如，通过OS内存泄密，在各种应用执行认证时，可直接访同安全重要参数，从而导致泄密
2	攻击者针对芯片的信息安全存储进行攻击以窃取安全重要参数，例如，实施侧信道攻击，故障注入攻击等物理攻击以及穷举暴力攻击和信息安全协议攻击等逻辑攻击方式
3	攻击基于芯片的软件系统可信启动机制，破坏软件启动前的可信环境和可信证明过程，例如，修改预存储的软件完整性校验值或伪造软件的远程证明凭证等
4	攻击者直接接人硬件调试接口，如JTAG串口或能访问硬件的管脚PIN，对ECU和芯片进行非法调试
5	攻击者通过攻击物理设备或利用物理泄露进行攻击或对电子硬件实施物理注入攻击，包括人侵式攻击（如反向工程破解）、半人侵式注人攻击（如噪声注人、激光照射攻击等）和非人侵式的侧通道攻击（通过电磁波、 时序等分析密钥等)

车内数据的信息安全威胁示例

车内数据的信息安全威胁示例
编号	威胁描述
1	车内系统对安全重要参数的存储（如通信密钥、车辆数字证书私钥、车辆长期ID等）缺乏有效的保护措施，导致安全重要参数的信息泄露。例如，采用明文存储、未采用专门的隔商区进行存储、加密安全重要参数的密钥采用固定密钥或直接写死在代码中而导致加密密钥泄密问题
2	车内系统对存储的车内数据缺乏有效的访问权限控制，导致攻击者通过各类通信通道非法窃取和篡改数据
3	车内各类软件涉及安全重要参数因使用时保护不当而发生津露，例如，缓存中存在加密密钥和认证凭证， 信息安全日志或其他记录文件记录了密钥和长期ID等信息
4	车内系统的配置参数（如发动机配置参数、控制算法的建模参数和感知系统的配置参数等）缺乏有效的保护，导致攻击者通过修改这些配置参数操纵车辆
5	车辆共享同样的安全重要参数（如所有车辆使用同样的 root 口令或车辆软件对外部输入数据检查及保护不足）导致代码注入攻击

车内通信的信息安全威胁示例

车内通信的信息安全威胁示例
编号	威胁描述
1	由于车内网络未采用分区分域信息安全隔离方式，导致攻击者一旦攻破某个单元即可对整 单元即可对整个车内系统发起跨越式攻击
2	车内网络连接缺乏对消息来源的真实性和完整性校验机制，导致攻击者一旦人侵了某个车内信息单元，即可通过篡改消息和伪造消息操纵车辆
3	车内网络系统缺乏防DDoS或流控措施，发生某些信息单元被攻击者操纵或在功能故障后向车内总线发送大量的异常报文，导致车内通信系统拒绝服务
4	攻击者截取合法报文，导致不断地进行重复发送，进行重放攻击
5	通过OBD接口接人总线方式或植人恶意软件的方式，监车总线的控制消息，破解不同运行状态的控制消息内容

车外通信的信息安全威胁

车外远距离通信的信息安全威胁示例

车外远距离通信的信息安全威胁示例
编号	威胁描述
1	对汽车实现通信欺骗，例如，伪造基站或者路基通信设施身份、向车辆发送假冒的 V2X消息或者卫星导航信息；伪造车辆ID、采用女巫攻击、伪造众多虚假车辆，影响车辆的正常行驶；伪造后端服务器身份、向汽车推送各种交互指令和伪造的软件升级包
2	利用通信通道对车辆通信实施DoS/DDoS攻击，造成车辆的信息处理功能中断。例如，发送各种通信协议的畸形报文、重放合法报文、大流量报文攻出等
3	通过架设无线干扰器来干扰 V2X或卫星导航信号，造成车辆无法正常通信
4	车辆与车外系统之间的通信加密密钥被窃取或采用明文方式通信，导致通信内容存在泄漏的风险
5	车辆与车外系统之间通信通道的完整性保护密钥被窃取或未采用完整性保护措施，导致通信内容被非法基改
6	采用中间人攻击方式向车辆或车外系统发送伪造的服务拒绝响应消息，干扰正常通信
7	攻击者利用车的通信信道对车实施网络唤探。例如，IP端口扫描、ping扫描、TCP syn扫描等针对IP通信的嗅探
8	车辆和各类后端服务器之间的通信缺乏端到端的信息安全保护机制，使得攻击者利用中间薄弱环节实施攻击，包括窃听、伪造身份通信、签改通信内容等
9	针对车辆的证书发放系统的攻击。例如，恶意注入伪造的证书撤销列表CRL等

车外近距离通信的信息安全威胁示例

车外近距离通信的信息安全威胁示例
编号	威胁描述
1	利用门禁的无线通信信道进行伪造门禁控制命令，例如，采取无线中继放大器进行中间人攻击方式，分别向车钥匙和门禁系统发生伪造信号，骗取正确的应答信号，从而打开门禁甚至启动引擎
2	通过无线通信信道破解车钥匙。例如，通过暴力破解方式，反复向门禁系统发送控制信息，或通过监听通信信道进行前向预测攻击、重放攻击、字典式攻击
3	伪造近距离通信报文。例如，伪造胎压管理系统TPMS 的近距离通信消息，向相关ECU发送错误的胎压检测信息等
4	攻击者通过各类接触式的通信接口(如OBD接口、充电桩接口、USB接口等)入侵车内系统，包括植人恶意软件、修改车内的关键控制系统的参数配置、窃取车内数据、非法访问文件、注入非法数据等行为
5	针对车内的无线局域通信(如蓝牙和Wi-Fi)发起包括伪造AP和暴力破解方案的攻击，或利用无线局域网非法接入车载系统