IVI安全测试Checklist-第一部分（未完成）

前言

感谢各位对车联网安全的关注。我原本对写文章并无太多喜好，更喜欢在本地记录下自己的想法。然而，看到文章获得点赞和关注以及读者私信，我内心还是喜悦的。在此，我要向各位表示衷心的感谢。

至于为何将文章设置为粉丝可见而非公开，主要有两个原因。首先，我希望了解我的读者群体量。其次，我喜欢看到三连的鼓励，（关注、点赞和收藏><）。

我的主职工作是Web安全和App安全。尽管在工作中并未接触过IOT项目，我仍通过自行购买设备并研究相关内容来学习车联网安全。至今，我已投身于车联网安全领域摸了整整三年鱼了。期间，我有幸参加了一些与车联网相关的众测和ctf赛事。

但因为不方便透漏出测试中用的机型，有些截图会使用公开ppt的内容给大伙看，有些因为没有找到合适环境和截图所以大概率只能空着，如果有人想补充也可以私信我。

---

如下内容为国标车载信息交互系统信息安全技术要求及试验方法GBT40856-2021内容的转换

硬件安全

可启用调试接口

测试说明

检查是否有存在暴露在PCB板上的JTAG接口、USB接口、UART接口、SPI接口等调试接口，如存在则使用测试工具尝试获取调试权限；

常见调试接口如下：

USB

JTAG

UART

测试方法

1.USB接口

拆卸后的主板查看暴露的USB调试接口

进行电脑连接（这里需要确认工程模式-adb开关是否开启）

然后通过USB访问ADB服务，查看是否可以看到ADB登录终端或Adb Shell窗口,如下截图为存在密码风险是可以降低

处理方式

要求是关闭调试接口

未量产

1.移除板子上的jtag口

2.禁用adbd服务

已量产

1.固件禁用，在下次系统更新固件中将配置更新为默认情况下禁用或限制调试功能或通过OTA去远程更新

关键芯片管脚暴露

测试说明

关键芯片管脚暴露是车载信息交互系统安全的重要威胁之一，恶意攻击者可以通过暴露的管脚进行物理攻击，获取系统敏感信息或控制系统功能。

测试方法

开盒观察方法

1. 拆解车载信息交互系统，暴露关键芯片。（请根据个人能力选择合适工具，避免损坏芯片）
2. 使用放大镜或显微镜检查关键芯片管脚是否暴露。

处理方式：

1. 采用封装技术，将关键管脚封装在内。
2. 采用焊接技术，将关键管脚焊接在PCB板上。
3. 采用保护罩，将关键管脚包裹在保护罩中。

电路板及芯片存在可读丝印且含有敏感信息

测试说明

电路板及芯片存在可读丝印且含有敏感信息是车载信息交互系统安全的重要威胁之一，恶意攻击者可以通过可读丝印获取系统敏感信息，例如芯片型号、接口协议等，用于攻击系统或窃取数据。

测试方法

开盒观察方法

1. 拆解车载信息交互系统，暴露电路板及芯片。
2. 使用放大镜或显微镜检查电路板及芯片上的丝印是否可读。
3. 重点关注以下内容：
   • 芯片型号
   • 接口协议
   • 敏感信息，例如密码、加密算法等

处理方式：

1. 采用涂层技术，将丝印涂覆一层保护层。
2. 采用遮挡技术，将丝印遮挡起来。
3. 采用加密技术，将敏感信息进行加密。

通信协议安全

对外通信协议安全

通信连接安全

测试说明

查看有无身份认证

测试方法

…

通信传输安全（加密传输）

测试说明

查看有无身份认证

测试方法

…

通信连接终止安全

测试说明

查看有无身份认证

测试方法

…

远程通信协议安全

公有远程通信协议安全

测试说明

应采用TLS（版本不低于1.2）或至少同等安全级别（例如：同等级别的国密算法等）的安全通信协议。

测试方法

…

私有远程通信协议安全

测试说明

私有远程通信协议安全测试应按照下列流程及要求依次进行：

a)对私有远程通信协议方案进行审核，采用网络数据抓包的方法进行数据抓包，解析通信报文数据
中加密密钥衍生和更新策略，检查是否支持以安全方式进行定期更新；

b)对私有远程通信协议方案进行审核，采用网络数据抓包的方法进行数据抓包，解析通信报文数据
中加密密钥存储策略，检查安全传输协议是否以安全的方式存储数据加密密钥。

测试方法

…

短距离通信口令应用安全

短距离通信口令应用安全

测试说明

短距离通信口令应用安全测试应按照下列流程及要求依次进行：

a) 使用暴力破解的方法，检查缺省口令的复杂度；
b) 通过对同一产品的多个样品验证缺省口令的方式，检查缺省口令是否具有唯一性；
c) 设置较低复杂度口令，检查修改过程中是否给出明确的风险提示或不允许设置；
d) 对于人机接口或跨信任网络的不同车载信息交互系统之间接口的登录认证，使用暴力破解的方
法，检查是否成功触发防暴力破解机制；
e) 通过尝试篡改口令文件，检查是否设置了访问控制。

测试方法

…

车载蓝牙通信协议安全

蓝牙配置模式检测

测试说明

向车载蓝牙设备发出配对请求，检查车载蓝牙设备是否对配对请求进行验证，若配对成功后，检查是否对外部设备进行鉴权；

测试方法

…

对外部设备进行认证检测

测试说明

利用未认证的外部设备，尝试进行控制车辆，检查是否成功接入；

测试方法

…

蓝牙通信加密检测

测试说明

蓝牙通信加密是保证蓝牙通信安全的重要措施，可以防止恶意攻击者窃听或篡改蓝牙通信数据。

测试方法

检查蓝牙通信加密设置

1. 检查蓝牙通信的加密设置，确定是否启用加密。
2. 如果启用加密，则检查加密算法和密钥长度。

检查蓝牙通信加密效果

1. 使用蓝牙通信测试工具，检查蓝牙通信数据是否被加密。（例如安全标准：AES-128或RSA-2048等。长度128位或更长）
2. 如果蓝牙通信数据没有被加密，则说明蓝牙通信加密设置不正确或存在漏洞。
   …（还在编写）

车载 WLAN 通信协议安全

WLAN安全检测

测试说明

WLAN安全检测主要针对车载WLAN通信协议的安全性进行测试，包括但不限于以下内容：

WLAN 安全配置检查：检查 WLAN 是否采用 WPA2-PSK 或更高安全级别的加密认证方式，是否使用强密码，是否启用 MAC 地址过滤等。
WLAN 数据包嗅探：通过嗅探 WLAN 数据包，检查是否存在敏感数据泄露。
WLAN 拒绝服务攻击：通过发送大量流量或恶意数据包，检查 WLAN 是否能够抵御拒绝服务攻击。
WLAN 钓鱼攻击：通过创建假冒的 WLAN 热点，诱骗车载信息交互系统连接，从而获取敏感信息。

测试方法

1.WLAN 安全配置检查

使用 WLAN 安全配置检查工具，检查 WLAN 是否采用 WPA2-PSK 或更高安全级别的加密认证方式，是否使用强密码，是否启用 MAC 地址过滤等。

2.WLAN 数据包嗅探

使用 WLAN 数据包嗅探工具，嗅探 WLAN 数据包，检查是否存在敏感数据泄露。

3.WLAN 拒绝服务攻击

使用 WLAN 拒绝服务攻击工具，发送大量流量或恶意数据包，检查 WLAN 是否能够抵御拒绝服务攻击。

4.WLAN 钓鱼攻击

使用 WLAN 钓鱼攻击工具，创建假冒的 WLAN 热点，诱骗车载信息交互系统连接，从而获取敏感信息。

此外，还可以根据实际情况，增加其他 WLAN 安全检测内容。

蜂窝网络

蜂窝网络安全检测

测试说明

蜂窝网络安全配置检查：检查蜂窝网络是否采用安全的配置，如是否启用加密、是否启用认证等。
蜂窝网络数据包嗅探：通过嗅探蜂窝网络数据包，检查是否存在敏感数据泄露。
蜂窝网络降频攻击：通过降频攻击，检查蜂窝网络是否能够抵御降频攻击。
蜂窝网络伪基站中间人攻击：通过伪基站中间人攻击，检查蜂窝网络是否能够防范伪基站中间人攻击。

测试方法

2G网络嗅探

使用2G网络嗅探工具，在车载信息交互系统连接到2G网络时，捕获2G网络数据包。检查捕获的数据包中是否存在敏感数据，如用户名、密码、通信内容等。

降频攻击

使用降频攻击工具，将车载信息交互系统连接到2G网络的频段降频。检查车载信息交互系统是否能够正常工作，是否能够抵御降频攻击。

伪基站中间人攻击

使用伪基站中间人攻击工具，在车载信息交互系统连接到2G网络时，建立伪基站，并将车载信息交互系统的通信重定向到伪基站。检查车载信息交互系统是否能够防范伪基站中间人攻击。

内部通信安全

内部通信安全

蓝牙配置模式检测

测试说明

蓝牙配置模式检测主要针对车载信息交互系统使用蓝牙通信时，对蓝牙配置模式的安全性进行检测，包括但不限于以下内容：

• 蓝牙安全配置检查：检查蓝牙是否采用安全的配置，如是否启用加密、是否启用认证等。
• 蓝牙配对安全检查：检查蓝牙配对过程是否安全，防止未经授权的设备配对。
• 蓝牙数据传输安全检查：检查蓝牙数据传输过程是否安全，防止数据泄露。

测试方法

1.蓝牙配置模式检测（示例）

测试说明

采用车内网络报文抓包和解析的方法，检查车载信息交互系统通过CAN或车载以太网等总线与车内其他控制器节点进行数据交互，传输重要数据时，是否使用安全机制保证传输数据的完整性及可用性。

测试方法

1. 确定车载信息交互系统与车内其他控制器节点之间传输的重要数据。
2. 使用车内网络报文抓包工具，捕获车载信息交互系统与车内其他控制器节点之间的通信数据。
3. 使用车内网络报文解析工具，解析捕获的数据，检查重要数据是否使用安全机制进行传输。

测试结果

测试结果应包括以下内容：

1. 重要数据是否使用安全机制进行传输。
2. 安全

2.蓝牙配对安全检查

使用蓝牙配对安全检查工具，检查蓝牙配对过程是否安全，防止未经授权的设备配对。

3.蓝牙数据传输安全检查

使用蓝牙数据传输安全检查工具，检查蓝牙数据传输过程是否安全，防止数据泄露。

4.其他测试内容

1. 蓝牙安全配置检查：使用蓝牙安全配置检查工具，检查蓝牙是否采用安全的配置，如是否启用加密、是否启用认证等。
2. 蓝牙配对安全检查：使用蓝牙配对安全检查工具，检查蓝牙配对过程是否安全，防止未经授权的设备配对。
3. 蓝牙身份验证机制检查：使用蓝牙身份验证机制检查工具，检查蓝牙是否采用强身份验证机制，防止未经授权的访问。
4. 蓝牙数据加密机制检查：使用蓝牙数据加密机制检查工具，检查蓝牙是否采用强数据加密机制，防止数据泄露。

通信接口安全

总体要求（2项）

后门或隐蔽接口检测

测试说明

后门或隐蔽接口检测主要针对车载信息交互系统的软硬件接口进行安全评估，包括但不限于以下内容：

接口探测：通过端口扫描、网络扫描等方式，探测车载信息交互系统的所有可用接口。
接口分析：对探测到的接口进行分析，检查是否存在未公开接口、可绕过系统安全机制的接口等。

测试方法

1.接口探测

使用端口扫描工具（Nmap、Zenmap）等、网络扫描工具（Nessus、各位喜欢的其他工具）等，对车载信息交互系统进行端口扫描、网络扫描，探测车载信息交互系统的所有可用接口。

2.接口分析

对探测到的接口进行分析，检查是否存在以下情况：

未公开接口：可以通过分析产品文档、查看源代码等方式，判断接口是否公开。
可绕过系统安全机制的接口：可以通过分析接口的功能、接口的实现方式等，判断接口是否可绕过系统安全机制。

以下是一些常见的后门或隐蔽接口的表现形式：

未公开的IP地址或端口。
未公开的功能或命令。
可绕过身份验证或授权的功能或命令。
可进行远程控制或访问的功能或命令。

通信接口最小化授权检测

测试说明

通信接口最小化授权检测主要针对车载信息交互系统的通信接口进行安全评估，包括但不限于以下内容：

接口访问权限分析：对接口的访问权限进行分析，检查是否满足最小权限原则。
接口访问权限测试：对接口的访问权限进行测试，检查是否能够正确实现最小权限原则。

测试方法

对接口的访问权限进行分析，检查是否满足最小权限原则，可以通过以下方式进行：

查看产品文档，检查接口的访问权限说明。
查看接口的实现代码，检查接口的访问权限控制逻辑。
使用安全工具，对接口的访问权限进行分析。

主要判断以下内容：

接口是否仅对授权的用户或系统开放。
接口是否仅允许用户或系统执行授权的操作。
接口是否仅允许用户或系统访问授权的数据。

以下是一些常见的接口访问权限问题：

接口对所有用户或系统开放。
接口允许用户或系统执行未授权的操作。
接口允许用户或系统访问未授权的数据。

车外通信接口安全

测试说明

车外通信接口安全主要针对车载信息交互系统与外部网络的通信接口进行安全评估，包括但不限于以下内容：

接口安全配置检查：检查接口是否采用安全的配置，如是否启用认证、是否启用加密等。
接口数据传输安全检查：检查接口数据传输过程是否安全，防止数据泄露。
接口访问权限检查：检查接口是否仅对授权的用户或系统开放。
接口访问权限记录：检查接口访问权限是否有记录，是否能够追溯接口访问情况。
接口访问权限审计：检查接口访问权限是否有审计，是否能够发现异常的接口访问情况。

测试方法

如下四种方案：

1.接口数据传输安全检查
使用安全工具，对接口的数据传输过程进行检查，检查接口是否使用安全的机制防止数据泄露。
2.接口访问权限检查
使用安全工具，对接口的访问权限进行检查，检查接口是否仅对授权的用户或系统开放。
3.接口访问权限记录
检查接口访问权限是否有记录，是否能够追溯接口访问情况。
4.接口访问权限审计
检查接口访问权限是否有审计，是否能够发现异常的接口访问情况。

接口隔离检查

使用工具，检查车载信息交互系统是否支持路由隔离，是否可以隔离核心业务平台的通信、内部通信、外网通信等。

网络隔离检查

使用工具，检查车载信息交互系统与核心业务平台的通信是否采用专用网络或者虚拟专用网络通信，与公网隔离。

以下是一些常见的车外通信接口安全问题：

• 接口未启用认证或加密，导致数据泄露。
• 接口未设置访问权限，导致未授权用户或系统访问。
• 接口访问权限记录或审计功能缺失，导致无法追溯或发现异常的接口访问情况。
• 车载信息交互系统与核心业务平台的通信未采用专用网络或虚拟专用网络通信，导致数据泄露。

车内通信接口安全

测试说明

车内通信接口安全主要针对车载信息交互系统内部通信接口进行安全评估，包括但不限于以下内容：

接口安全配置检查：检查接口是否采用安全的配置，如是否启用认证、是否启用加密等。
接口数据传输安全检查：检查接口数据传输过程是否安全，防止数据泄露。
接口访问权限检查：检查接口是否仅对授权的用户或系统开放。
接口访问权限记录：检查接口访问权限是否有记录，是否能够追溯接口访问情况。
接口访问权限审计：检查接口访问权限是否有审计，是否能够发现异常的接口访问情况。
接口白名单检查：检查接口是否采用白名单机制，防止未授权指令的执行。
接口来源校验检查：检查接口是否实现总线控制指令来源的校验，防止恶意应用发送控制指令。

测试方法

1.接口安全配置检查

使用安全工具，对接口的安全配置进行检查，检查接口是否启用认证、是否启用加密等。

2.接口数据传输安全检查

使用安全工具，对接口的数据传输过程进行检查，检查接口是否使用安全的机制防止数据泄露。

3.接口访问权限检查

使用安全工具，对接口的访问权限进行检查，检查接口是否仅对授权的用户或系统开放。

4.接口访问权限记录

检查接口访问权限是否有记录，是否能够追溯接口访问情况。

5.接口访问权限审计

检查接口访问权限是否有审计，是否能够发现异常的接口访问情况。

6.接口白名单检查

通过模拟调用非白名单指令，检查车载信息交互系统是否能够拒绝执行非白名单指令。

7.接口来源校验检查

通过模拟恶意应用发送控制指令，检查车载信息交互系统是否能够识别恶意应用发送的控制指令，并拒绝执行。

接口隔离检查（示例）

使用工具，检查车载信息交互系统是否支持总线隔离，是否可以隔离不同功能模块的通信。

以下是一些常见的车内通信接口安全问题：

• 接口未启用认证或加密，导致数据泄露。
• 接口未设置访问权限，导致未授权用户或系统访问。
• 接口访问权限记录或审计功能缺失，导致无法追溯或发现异常的接口访问情况。
• 车载信息交互系统内部通信未采用隔离机制，导致不同功能模块的数据相互泄露。
  …

后续更新估计会与自己的blog同步更新，届时可以关注一下。

参考内容
智能汽车攻击路径与信息安全脆弱点剖析-王志鹏
GBT 40856-2021 车载信息交互系统信息安全技术要求及试验方法