背景

隨著智能網(wǎng)聯(lián)汽車的發(fā)展，車輛的互聯(lián)性大幅提高，與之相伴的則是大大上升的汽車網(wǎng)絡(luò)安全風(fēng)險。根據(jù)工信部車聯(lián)網(wǎng)動態(tài)監(jiān)測情況顯示，2020年以來發(fā)現(xiàn)整車企業(yè)車聯(lián)網(wǎng)信息服務(wù)服務(wù)提供商等相關(guān)企業(yè)和平臺的惡意攻擊達(dá)到280余萬次，平臺的漏洞、通信的劫持、隱私泄露等風(fēng)險十分嚴(yán)重，造成的危害更加嚴(yán)峻。威脅由車外進(jìn)入車內(nèi)、影響程度加大、網(wǎng)絡(luò)安全與功能安全要求矛盾等問題層出不窮。[1]

智能網(wǎng)聯(lián)汽車信息安全事件統(tǒng)計(來源：Upstream Security，2020年)

為保障智能網(wǎng)聯(lián)汽車的網(wǎng)絡(luò)安全，需要充分了解智能網(wǎng)絡(luò)汽車的典型攻擊場景，其可大體分為遠(yuǎn)程入侵、短距離攻擊、接觸史攻擊三大類。遠(yuǎn)程入侵場景中，攻擊者可通過直連車輛或經(jīng)過云端轉(zhuǎn)發(fā)等方式惡意刷寫車輛關(guān)鍵固件、發(fā)送控車指令、竊取個人敏感信息；近距離攻擊場景中，攻擊者可通過WiFi、藍(lán)牙、NFC等通信方式，通過控車指令重放方式威脅用戶車輛財產(chǎn)安全、使用未授權(quán)設(shè)備與車輛建立連接影響車內(nèi)用戶正常使用通信設(shè)備；接觸式攻擊場景中，攻擊者通過攻入IVI工程模式，竊取車輛數(shù)據(jù)、分析車輛電子電氣拓?fù)浣Y(jié)構(gòu)、捕獲控車報文、解析車輛DBC文件等。

智能網(wǎng)絡(luò)汽車典型攻擊場景（來源：《智能網(wǎng)聯(lián)汽車安全滲透白皮書(2020)》）

面對日益嚴(yán)峻的智能網(wǎng)聯(lián)汽車網(wǎng)絡(luò)安全問題，整車企業(yè)的安全意識逐步提升。而限于成本、技術(shù)成熟度等因素，整車企業(yè)在網(wǎng)絡(luò)安全測評環(huán)節(jié)基礎(chǔ)薄弱，對于車內(nèi)部件、整車等方面的測試驗(yàn)證能力不足，整車滲透目前還主要依賴于人工測試，滲透深度和水平缺乏可量化評估標(biāo)準(zhǔn)。

為整車企業(yè)更好地進(jìn)行滲透測試，中國軟件評測中心智能網(wǎng)聯(lián)汽車測評工程技術(shù)中心在《智能網(wǎng)聯(lián)汽車安全滲透白皮書(2020)》中提出：在不損壞車輛、不拆解車輛、黑盒測試的前提下，給出用戶側(cè)安全滲透測試指標(biāo)，主要包括車載信息交互安全、車內(nèi)外通信安全、接口安全、APP安全等方面。

滲透測試指標(biāo)（來源：《智能網(wǎng)聯(lián)汽車安全滲透白皮書(2020)》）

針對車內(nèi)外通信安全，CAN/CAN FD總線作為當(dāng)前汽車的主要車載通信總線，是攻擊者實(shí)施網(wǎng)絡(luò)攻擊的目標(biāo)之一。因此，在系統(tǒng)設(shè)計時，應(yīng)采取相應(yīng)的防護(hù)措施，以降低車載CAN/CAN FD網(wǎng)絡(luò)被攻擊的風(fēng)險。

對車載CAN/CAN FD網(wǎng)絡(luò)系統(tǒng)實(shí)施滲透測試，是一個常用的用于評價目標(biāo)系統(tǒng)安全性的一種方法，可以從攻擊角度了解車輛是否存在隱性漏洞和安全風(fēng)險，并可基于測試結(jié)果，進(jìn)一步采取防護(hù)措施，以進(jìn)一步提高系統(tǒng)的安全性能。對車載CAN/CAN FD總線實(shí)施滲透測試的工作內(nèi)容可大致分為四類，其分別為：模糊攻擊測試、重放攻擊測試、DoS（Denial-of-Service）攻擊測試及UDS（Unified Diagnostic Services）診斷協(xié)議棧探測。以下將詳細(xì)介紹上述四類滲透測試工作。

滲透測試工作

【模糊攻擊測試】

對總線實(shí)施模糊攻擊是指通過軟件自動地生成一系列的無效、非預(yù)期或隨機(jī)的報文后，將所生成的報文注入到目標(biāo)總線上，以使總線出現(xiàn)非預(yù)期行為的一種攻擊。模糊攻擊測試可在不同層面上實(shí)施。一是可對CAN/CAN FD原始報文進(jìn)行模糊。在該層測試上，測試者可配置需要模糊的域，例如，CAN報文的仲裁域、控制域及數(shù)據(jù)域。二是可在系統(tǒng)網(wǎng)絡(luò)的信號層進(jìn)行模糊?；谀繕?biāo)網(wǎng)絡(luò)的DBC文件（一種描述CAN網(wǎng)絡(luò)中通信數(shù)據(jù)信息的文件）可解析CAN報文中搭載的信號，從而實(shí)現(xiàn)在信號層面實(shí)施模糊。三是可在特定協(xié)議層面上實(shí)施模糊。例如，在車載CAN網(wǎng)絡(luò)中，常用UDS協(xié)議棧來實(shí)現(xiàn)車輛的診斷。因此，可以對UDS應(yīng)用層協(xié)議（ISO14229-1）中的各項(xiàng)服務(wù)請求實(shí)施模糊。在上述三種模糊測試的層面上，均可按需選用不同的模糊策略，如隨機(jī)模糊、遍歷模糊、邊界值模糊等。通過模糊攻擊測試，可檢測目標(biāo)系統(tǒng)在有無效的、非預(yù)期的或隨機(jī)的輸入時，系統(tǒng)是否會發(fā)生不可逆的損害，或是否會有不可接受的行為等情況。

【重放攻擊】

指惡意地將有效數(shù)據(jù)在目標(biāo)網(wǎng)絡(luò)中進(jìn)行重復(fù)地或延遲地播放，從而達(dá)到惡意目的的一種攻擊。重放時可按需采用1:1重放的方法，即每一個報文發(fā)送的時間間隔按照真實(shí)采集到的時間間隔發(fā)送。亦可采用快速重放方法，即以最快速率將輸入文件中的報文快速發(fā)送至總線上。通過該測試，可檢測系統(tǒng)是否有抵御重放攻擊的能力。另外，還可利用重放的手段對部分網(wǎng)絡(luò)信號實(shí)施逆向分析，從而找到目標(biāo)信號。例如，測試者想要在網(wǎng)絡(luò)報文中找到某個用于控制某扇車窗的信號，則測試者可通過不斷地重放一段包含有控制車窗下降的報文記錄，并逐漸縮小重放的范圍，以最終找到搭載有控制該車窗升降信號的報文。

【DoS攻擊】

在計算機(jī)領(lǐng)域中，DoS攻擊（即拒絕服務(wù)攻擊）指通過臨時或無限期地干擾連接于網(wǎng)絡(luò)的服務(wù)，以達(dá)到使設(shè)備或網(wǎng)絡(luò)資源不可獲得的一種攻擊。在CAN/CAN FD網(wǎng)絡(luò)中，可利用CAN協(xié)議的仲裁機(jī)制，通過頻繁發(fā)送高優(yōu)先級的報文來占滿總線資源，以達(dá)到使正常報文不可傳輸?shù)哪康?。通過該測試，可檢測系統(tǒng)是否有抵御DoS攻擊的能力。

【UDS協(xié)議棧探測】

指通過一系列的診斷請求及收到的響應(yīng)報文，以探測目標(biāo)網(wǎng)絡(luò)或節(jié)點(diǎn)的UDS協(xié)議棧配置情況。該探測并不是一種攻擊，而是一種在實(shí)施攻擊前的信息收集手段。例如，可探測目標(biāo)網(wǎng)絡(luò)中所包含的診斷標(biāo)識符，探測某一個目標(biāo)節(jié)點(diǎn)所支持的服務(wù)及子服務(wù)，探測執(zhí)行某個特定服務(wù)的前提條件等。然后，可利用所獲得的信息，如目標(biāo)節(jié)點(diǎn)診斷ID，內(nèi)部數(shù)據(jù)ID，服務(wù)進(jìn)入條件等，實(shí)施進(jìn)一步的攻擊。

以上四類滲透測試工作均在CAN/CAN FD總線的報文通信層面實(shí)施，即通過向目標(biāo)總線上注入測試報文，來實(shí)現(xiàn)上述的攻擊測試或探測。
?

為實(shí)現(xiàn)上述測試工作，可使用任意的車載CAN/CAN FD總線仿真測試工具，配以相關(guān)的測試腳本實(shí)現(xiàn)。上?？匕册槍ι鲜鰷y試需求，開發(fā)了用于實(shí)現(xiàn)上述功能的滲透測試工具，以幫助整車企業(yè)快速實(shí)施所需的滲透測試，發(fā)現(xiàn)目標(biāo)系統(tǒng)潛在的相關(guān)安全漏洞，從而為后續(xù)的網(wǎng)絡(luò)系統(tǒng)安全設(shè)計及改進(jìn)提供依據(jù)，最終保障目標(biāo)系統(tǒng)的網(wǎng)絡(luò)安全。

滲透測試工具界面

編輯：fqj