楊 洋，閆紅梅，潘守華

（東風商用車有限公司技術(shù)中心，湖北 武漢 430058）

1 引言

隨著智能網(wǎng)聯(lián)汽車的快速發(fā)展，車聯(lián)網(wǎng)、自動駕駛、大數(shù)據(jù)等各種新技術(shù)的應(yīng)用，汽車在給我們帶來便利性的同時，面臨的安全威脅也大大增加，智能網(wǎng)聯(lián)汽車的信息安全不僅涉及到財產(chǎn)安全，也涉及到人身安全以及國家安全。

車輛的信息安全在國際上稱Cyber Security，也稱網(wǎng)絡(luò)安全，與network不同，Cyber是指網(wǎng)絡(luò)空間，對車輛的通信、數(shù)據(jù)、軟硬件安全進行保護，防止外界的攻擊及入侵，以保證車輛安全、可靠運行。商用密碼是解決智能網(wǎng)聯(lián)汽車信息安全的重要技術(shù)手段，主要會應(yīng)用對稱加解密、非對稱加解密、安全散列函數(shù)等加密算法，根據(jù)車聯(lián)網(wǎng)及自動駕駛不同的應(yīng)用場景，采用不同的密碼算法組合來實現(xiàn)加密的要求。國家高度重視密碼的安全保障作用，鼓勵商用密碼技術(shù)應(yīng)用。2019年10月26日，十三屆全國人大常委會第十四次會議審議通過《中華人民共和國密碼法》，習近平主席簽署35號主席令予以公布，自2020年1月1日起正式施行。密碼法是國家安全法律體系的重要組成部分，是我國密碼領(lǐng)域的首部綜合性、基礎(chǔ)性法律。規(guī)范密碼應(yīng)用和管理，保障網(wǎng)絡(luò)與信息安全，已上升至立法高度?！睹艽a法》第21條和第25條，明確提出國家鼓勵商用密碼技術(shù)的研究開發(fā)，鼓勵從業(yè)單位自愿接受商用密碼檢測認證，提升市場競爭力。

2 智能網(wǎng)聯(lián)汽車信息安全應(yīng)用場景

未來的智能網(wǎng)聯(lián)汽車不是一個獨立的系統(tǒng)，它涉及車與車、車與人、車與云端、車與路側(cè)設(shè)備、移動設(shè)備、衛(wèi)星設(shè)備的信息交換、智能決策及協(xié)同控制，我們對智能網(wǎng)聯(lián)的信息安全應(yīng)用場景進行了分析。首先在車內(nèi)，我們現(xiàn)在總線傳遞的數(shù)據(jù)全部是明文的，任何一個非法的設(shè)備接入都可能獲取或篡改整車的相關(guān)數(shù)據(jù)，各ECU的軟件、硬件、通信也沒有任何保護，拆卸下來后會被逆向；同時我們再來看近距離的車外，T-box，車機涉及4G、5G、WiFi、藍牙對外的通信、V2X鋒窩數(shù)據(jù)，在傳輸?shù)倪^程中都有數(shù)據(jù)被篡改或劫持的危險；遠距離的車外，云端數(shù)據(jù)的采集，云平臺下發(fā)指令遠程控制，OTA的數(shù)據(jù)升級都涉及了車云的交互，在傳遞的過程中都有可能存在數(shù)據(jù)被仿冒篡改的風險；如充電樁、OBD診斷接口、自動駕駛系統(tǒng)這些外部接口都是整車面臨的威脅點?？梢姡悄芫W(wǎng)聯(lián)車輛開放了眾多端口，導(dǎo)致攻擊點非常多。智能網(wǎng)聯(lián)汽車至少跨越了3類網(wǎng)絡(luò)：車內(nèi)的實時CAN，以太網(wǎng)絡(luò)，車輛與云之間的互聯(lián)網(wǎng)，移動終端的物聯(lián)網(wǎng)，信息安全涉及的面是非常廣的，攻點多，所以作為主機廠，必須構(gòu)建車內(nèi)至車云全方位的云、管、端安全架構(gòu)來保障車輛在使用過程中的安全。

從去年的統(tǒng)計來看，與2016年前相比，網(wǎng)絡(luò)安全事件增加了3倍，最出名的安全事件就是JEEP自由光以及特斯拉被黑客入侵，導(dǎo)致召回140萬輛汽車。信息安全往往是預(yù)謀的，不僅會造成財產(chǎn)或生命損失，甚至威脅到國家安全，對品牌的影響力也是巨大的。

3 智能網(wǎng)聯(lián)相關(guān)的安全算法

智能網(wǎng)聯(lián)汽車信息安全關(guān)乎財產(chǎn)安全、人身安全，甚至社會和國家安全。而智能網(wǎng)聯(lián)汽車信息安全的3要素保密性（Confidentiality）、完整性（Integrity）和可用性（Availability），均可通過密碼算法能實現(xiàn)可靠支撐。

為了防止數(shù)據(jù)在車聯(lián)網(wǎng)內(nèi)部或外部遭受攻擊者非法竊聽、篡改、偽造等威脅，車聯(lián)網(wǎng)系統(tǒng)可采用密碼技術(shù)對數(shù)據(jù)在傳輸、存儲、使用的過程中進行加密保護，確保數(shù)據(jù)的機密性和完整性；建立完善的密鑰、證書管理體系，保證密碼資源的安全。同時，對車聯(lián)網(wǎng)數(shù)據(jù)的訪問進行權(quán)限控制，防止非授權(quán)用戶訪問。

目前車聯(lián)網(wǎng)安全主要采用非對稱密碼算法，國外主要是ECC NISTP256和brainpool，在我國主要使用SM2、SM3和SM4算法，見表1。

4 商用密碼在智能網(wǎng)聯(lián)商用車上的應(yīng)用實踐

根據(jù)我們對智能網(wǎng)聯(lián)車的應(yīng)用場景的分析，將商用密碼技術(shù)應(yīng)用于車內(nèi)通信數(shù)據(jù)的認證加密、數(shù)據(jù)安全存儲、ECU硬件安全、V2X安全、OTA安全、遠程控制安全、數(shù)字鑰匙安全等不同場景進行應(yīng)用，以保證智能網(wǎng)聯(lián)系統(tǒng)的安全應(yīng)用。

4.1 車內(nèi)通信數(shù)據(jù)的認證加密

車內(nèi)通信主要包括CAN總線通信、車載以太網(wǎng)通信等。其中，由于CAN總線協(xié)議設(shè)計簡單、沒有復(fù)雜的分層以及加密擴展協(xié)議支持的考慮，易被竊取和偽造。目前主流的技術(shù)是采用AutoSAR標準組織制定并實現(xiàn)的SecOC技術(shù)，在發(fā)送端和接受端對報文進行驗證，以抵御第三方的入侵。基于效率和成本方面的考慮，ECU之間通信的保護采用對稱密碼算法SM2、SM3、SM4。而車載以太網(wǎng)協(xié)議可滿足高帶寬、低延遲的數(shù)據(jù)傳輸需求，主要應(yīng)用在車內(nèi)控制域和車身控制域之間的通信、激光雷達的點云數(shù)據(jù)通信等。依據(jù)車載以太網(wǎng)遵循的OSI分層結(jié)構(gòu)，可通過IPSec、MACSec技術(shù)等進行設(shè)備驗證和數(shù)據(jù)加密，以保證車內(nèi)網(wǎng)絡(luò)通信數(shù)據(jù)的安全。車內(nèi)通信數(shù)據(jù)的認證加密如圖1所示。

表1 密碼算法

4.2 車云身份認證場景應(yīng)用

公鑰基礎(chǔ)設(shè)施PKI（Public Key Infrastructure，簡稱PKI）主要通過對密鑰及數(shù)字證書的管理，為車載終端與車企TSP平臺建立安全可信的運行環(huán)境，有效地保障了車載終端到后臺服務(wù)間通信連接、數(shù)據(jù)交互的安全可信。PKI系統(tǒng)構(gòu)成如圖2所示。

身份認證體系，解決了數(shù)據(jù)在不可信的網(wǎng)絡(luò)環(huán)境中傳輸?shù)臋C密性、完整性、不可重復(fù)性以及傳輸節(jié)點的身份識別問題，其在車聯(lián)網(wǎng)中典型的應(yīng)用場景包括：終端設(shè)備認證、APP應(yīng)用簽名與驗簽、OTA、數(shù)字鑰匙等業(yè)務(wù)。密碼技術(shù)是PKI體系的核心保障，我國絕大部分行業(yè)核心領(lǐng)域長期以來都是沿用國際通用的密碼算法體系（主要包括：DES、3DES、AES、RSA、SHA256等），為了保障國家對商用密碼安全、實現(xiàn)自主可控的目標，國家商用密碼管理辦公室制定了一系列密碼標準，包括SM1、SM2、SM3、SM4、SM7、SM9、祖沖之密碼算法等。

4.3 ECU硬件安全場景應(yīng)用

圖1 車內(nèi)通信數(shù)據(jù)的認證加密

圖2 PKI系統(tǒng)構(gòu)成

密鑰、關(guān)鍵業(yè)務(wù)信息都需要存儲到安全芯片的保密區(qū)中，數(shù)據(jù)提供加密存儲接口、存儲在其內(nèi)在的Flash中，采用安全專用芯片，應(yīng)用SM1、SM2、SM4、SM3商用密碼算法，或AES、3DES、RSA、SHA-256等國際密碼算法，實現(xiàn)終端數(shù)據(jù)的本地加密存儲，有效提升數(shù)據(jù)的安全性。

ECU的CPU擁有一個密碼協(xié)處理器HSM。HSM負責執(zhí)行所有密碼應(yīng)用，包括基于對稱密鑰的加解密、完整性檢查、基于非對稱密鑰的加解密、數(shù)字簽名的創(chuàng)建與驗證，以及用于安全應(yīng)用的隨機數(shù)生成功能。light HSM包含基于AES-128的對稱加解密模塊，以滿足傳感器和執(zhí)行器在成本和效率方面的嚴格需求（消息大小、時間、協(xié)議限制、處理器能力等）。ECU硬件安全如圖3所示。

4.4 V2X安全場景應(yīng)用

為了確保車聯(lián)網(wǎng)業(yè)務(wù)中消息來源的真實性、內(nèi)容的完整性、防止消息重放，采用數(shù)字證書通過數(shù)字簽名/驗簽的方式對車聯(lián)網(wǎng)業(yè)務(wù)消息進行保護。為了實現(xiàn)上述機制，車聯(lián)網(wǎng)終端需要完成設(shè)備初始化，以安全的方式完成密碼公私鑰對、數(shù)字證書等敏感參數(shù)的初始配置。該過程對設(shè)備安全生產(chǎn)環(huán)境有著較為嚴格的要求，給車企及C-V2X終端生產(chǎn)企業(yè)帶來了新的挑戰(zhàn)。通常簽名計算采用ECDSA算法；SM3算法存在于數(shù)據(jù)的簽名計算，加密計算，密鑰協(xié)商計算過程中；加密解密條件限定，在使用對稱加密算法時，其對稱加密算法要求至少支持AES128-CCM，SM4-CBC。在使用非對稱加密算法時，其非對稱加密算法要求至少支持ECIES、SM2，其中ECIES要求至少支持NIST P-256、brainpoolP256r1兩種曲線參數(shù)。加密模式要求至少包含隨機加密模式、協(xié)商加密模式兩種。加密過程中橢圓曲線上的加密點均需要隨機生成。對稱加密的初始化向量值要求每次均隨機生成。V2X安全應(yīng)用如圖4所示。

圖3 ECU硬件安全

4.5 OTA安全場景應(yīng)用

圖4 V2X安全應(yīng)用

整車OTA安全解決方案，通常從升級包發(fā)布、升級包傳輸、終端升級3個階段進行防御，確保智能網(wǎng)聯(lián)汽車OTA過程僅執(zhí)行授權(quán)發(fā)布的升級指令與升級文件。OTA-Server對升級包進行加密簽名，以阻止惡意的或非授權(quán)的升級包的被傳輸和被車端下載，影響升級。車機端在收到升級包后，對升級進行驗證簽名，以確保升級包是經(jīng)過合法授權(quán)的，且數(shù)據(jù)在傳輸和下載程中并未被修改，以確保OTA升級過程的數(shù)據(jù)安全。為抵御攻擊者對升級包的逆向分析攻擊、篡改攻擊，OTA服務(wù)端可增加部署安全服務(wù)器，提供安全基礎(chǔ)設(shè)施，如密鑰生成與管理、數(shù)字加密、數(shù)字簽名等?；诎踩?wù)器實現(xiàn)升級包加固功能，最終由OTA服務(wù)器發(fā)布加固后的升級包。在OTA服務(wù)端與車機端構(gòu)建安全傳輸通道，實現(xiàn)雙向身份認證，及傳輸加密等功能，保證升級包傳輸過程的安全。終端系統(tǒng)在升級流程前增加升級包校驗機制，對升級包進行解密和合法性驗證，驗證通過，方可進入系統(tǒng)升級流程。通常會使用AES、SM2、SM3等密碼算法。OTA安全應(yīng)用如圖5所示。

4.6 遠程控制安全場景應(yīng)用

遠程控制安全主要是基于車云的雙向身份認證、遠程控制指令加密、密鑰協(xié)商等功能，保障控制指令的安全傳輸，防止車輛被非法控制，通常采用SM1、SM2、SM3、SM4等國密算法。

遠程控制安全應(yīng)用如圖6所示。

4.7 數(shù)字鑰匙安全場景應(yīng)用

數(shù)字鑰匙安全基于數(shù)字鑰匙密鑰管理系統(tǒng)，建立數(shù)字鑰匙與車載終端的雙向身份認證及指令加密機制，數(shù)字鑰匙密鑰管理系統(tǒng)產(chǎn)生的密鑰應(yīng)是動態(tài)更新，一次一密，滿足數(shù)字鑰匙的高安全通信要求。硬件安全模塊應(yīng)至少支持SM1、SM2、SM3、SM4國密算法，兼容RSA1024/2048、ECC256、3DES、AES、ECDSA、SHA1、SHA256等國際算法，應(yīng)可提供隨機數(shù)生成、密鑰管理、數(shù)據(jù)加解密、數(shù)字簽名、簽名驗證、密鑰協(xié)商等多種密碼服務(wù)。數(shù)字鑰匙安全應(yīng)用如圖7所示。

圖5 OTA安全應(yīng)用

圖6 遠程控制安全應(yīng)用

圖7 數(shù)字鑰匙安全應(yīng)用

5 結(jié)束語

智能網(wǎng)聯(lián)汽車的安全涉及了財產(chǎn)安全、人身安全，甚至社會和國家安全。商用密碼是保護智能網(wǎng)聯(lián)汽車的重要技術(shù)手段。但目前汽車領(lǐng)域商用密碼應(yīng)用頂層設(shè)計不完善，國內(nèi)相關(guān)標準化組織需要加快推進基于我國自主密碼體系及自主知識產(chǎn)權(quán)的智能網(wǎng)聯(lián)汽車安全規(guī)范及安全協(xié)議標準，加快車聯(lián)網(wǎng)設(shè)備基于國產(chǎn)密碼算法安全解決方案設(shè)計，以及車聯(lián)網(wǎng)設(shè)備基于國產(chǎn)密碼算法及國際通用標準算法的通信安全協(xié)議的設(shè)計及制定。建議國家應(yīng)統(tǒng)籌規(guī)劃，從國家層面提升對智能網(wǎng)聯(lián)汽車安全的總體規(guī)劃部署和頂層設(shè)計，加強智能網(wǎng)聯(lián)汽車監(jiān)管力度，完善安全相關(guān)的法律制度，促進我國智能網(wǎng)聯(lián)汽車安全產(chǎn)業(yè)發(fā)展。