楊 洋,閆紅梅,潘守華
(東風商用車有限公司技術(shù)中心,湖北 武漢 430058)
隨著智能網(wǎng)聯(lián)汽車的快速發(fā)展,車聯(lián)網(wǎng)、自動駕駛、大數(shù)據(jù)等各種新技術(shù)的應(yīng)用,汽車在給我們帶來便利性的同時,面臨的安全威脅也大大增加,智能網(wǎng)聯(lián)汽車的信息安全不僅涉及到財產(chǎn)安全,也涉及到人身安全以及國家安全。
車輛的信息安全在國際上稱Cyber Security,也稱網(wǎng)絡(luò)安全,與network不同,Cyber是指網(wǎng)絡(luò)空間,對車輛的通信、數(shù)據(jù)、軟硬件安全進行保護,防止外界的攻擊及入侵,以保證車輛安全、可靠運行。商用密碼是解決智能網(wǎng)聯(lián)汽車信息安全的重要技術(shù)手段,主要會應(yīng)用對稱加解密、非對稱加解密、安全散列函數(shù)等加密算法,根據(jù)車聯(lián)網(wǎng)及自動駕駛不同的應(yīng)用場景,采用不同的密碼算法組合來實現(xiàn)加密的要求。國家高度重視密碼的安全保障作用,鼓勵商用密碼技術(shù)應(yīng)用。2019年10月26日,十三屆全國人大常委會第十四次會議審議通過《中華人民共和國密碼法》,習近平主席簽署35號主席令予以公布,自2020年1月1日起正式施行。密碼法是國家安全法律體系的重要組成部分,是我國密碼領(lǐng)域的首部綜合性、基礎(chǔ)性法律。規(guī)范密碼應(yīng)用和管理,保障網(wǎng)絡(luò)與信息安全,已上升至立法高度?!睹艽a法》第21條和第25條,明確提出國家鼓勵商用密碼技術(shù)的研究開發(fā),鼓勵從業(yè)單位自愿接受商用密碼檢測認證,提升市場競爭力。
未來的智能網(wǎng)聯(lián)汽車不是一個獨立的系統(tǒng),它涉及車與車、車與人、車與云端、車與路側(cè)設(shè)備、移動設(shè)備、衛(wèi)星設(shè)備的信息交換、智能決策及協(xié)同控制,我們對智能網(wǎng)聯(lián)的信息安全應(yīng)用場景進行了分析。首先在車內(nèi),我們現(xiàn)在總線傳遞的數(shù)據(jù)全部是明文的,任何一個非法的設(shè)備接入都可能獲取或篡改整車的相關(guān)數(shù)據(jù),各ECU的軟件、硬件、通信也沒有任何保護,拆卸下來后會被逆向;同時我們再來看近距離的車外,T-box,車機涉及4G、5G、WiFi、藍牙對外的通信、V2X鋒窩數(shù)據(jù),在傳輸?shù)倪^程中都有數(shù)據(jù)被篡改或劫持的危險;遠距離的車外,云端數(shù)據(jù)的采集,云平臺下發(fā)指令遠程控制,OTA的數(shù)據(jù)升級都涉及了車云的交互,在傳遞的過程中都有可能存在數(shù)據(jù)被仿冒篡改的風險;如充電樁、OBD診斷接口、自動駕駛系統(tǒng)這些外部接口都是整車面臨的威脅點??梢姡悄芫W(wǎng)聯(lián)車輛開放了眾多端口,導(dǎo)致攻擊點非常多。智能網(wǎng)聯(lián)汽車至少跨越了3類網(wǎng)絡(luò):車內(nèi)的實時CAN,以太網(wǎng)絡(luò),車輛與云之間的互聯(lián)網(wǎng),移動終端的物聯(lián)網(wǎng),信息安全涉及的面是非常廣的,攻點多,所以作為主機廠,必須構(gòu)建車內(nèi)至車云全方位的云、管、端安全架構(gòu)來保障車輛在使用過程中的安全。
從去年的統(tǒng)計來看,與2016年前相比,網(wǎng)絡(luò)安全事件增加了3倍,最出名的安全事件就是JEEP自由光以及特斯拉被黑客入侵,導(dǎo)致召回140萬輛汽車。信息安全往往是預(yù)謀的,不僅會造成財產(chǎn)或生命損失,甚至威脅到國家安全,對品牌的影響力也是巨大的。
智能網(wǎng)聯(lián)汽車信息安全關(guān)乎財產(chǎn)安全、人身安全,甚至社會和國家安全。而智能網(wǎng)聯(lián)汽車信息安全的3要素保密性(Confidentiality)、完整性(Integrity)和可用性(Availability),均可通過密碼算法能實現(xiàn)可靠支撐。
為了防止數(shù)據(jù)在車聯(lián)網(wǎng)內(nèi)部或外部遭受攻擊者非法竊聽、篡改、偽造等威脅,車聯(lián)網(wǎng)系統(tǒng)可采用密碼技術(shù)對數(shù)據(jù)在傳輸、存儲、使用的過程中進行加密保護,確保數(shù)據(jù)的機密性和完整性;建立完善的密鑰、證書管理體系,保證密碼資源的安全。同時,對車聯(lián)網(wǎng)數(shù)據(jù)的訪問進行權(quán)限控制,防止非授權(quán)用戶訪問。
目前車聯(lián)網(wǎng)安全主要采用非對稱密碼算法,國外主要是ECC NISTP256和brainpool,在我國主要使用SM2、SM3和SM4算法,見表1。
根據(jù)我們對智能網(wǎng)聯(lián)車的應(yīng)用場景的分析,將商用密碼技術(shù)應(yīng)用于車內(nèi)通信數(shù)據(jù)的認證加密、數(shù)據(jù)安全存儲、ECU硬件安全、V2X安全、OTA安全、遠程控制安全、數(shù)字鑰匙安全等不同場景進行應(yīng)用,以保證智能網(wǎng)聯(lián)系統(tǒng)的安全應(yīng)用。
車內(nèi)通信主要包括CAN總線通信、車載以太網(wǎng)通信等。其中,由于CAN總線協(xié)議設(shè)計簡單、沒有復(fù)雜的分層以及加密擴展協(xié)議支持的考慮,易被竊取和偽造。目前主流的技術(shù)是采用AutoSAR標準組織制定并實現(xiàn)的SecOC技術(shù),在發(fā)送端和接受端對報文進行驗證,以抵御第三方的入侵。基于效率和成本方面的考慮,ECU之間通信的保護采用對稱密碼算法SM2、SM3、SM4。而車載以太網(wǎng)協(xié)議可滿足高帶寬、低延遲的數(shù)據(jù)傳輸需求,主要應(yīng)用在車內(nèi)控制域和車身控制域之間的通信、激光雷達的點云數(shù)據(jù)通信等。依據(jù)車載以太網(wǎng)遵循的OSI分層結(jié)構(gòu),可通過IPSec、MACSec技術(shù)等進行設(shè)備驗證和數(shù)據(jù)加密,以保證車內(nèi)網(wǎng)絡(luò)通信數(shù)據(jù)的安全。車內(nèi)通信數(shù)據(jù)的認證加密如圖1所示。
表1 密碼算法
公鑰基礎(chǔ)設(shè)施PKI(Public Key Infrastructure,簡稱PKI)主要通過對密鑰及數(shù)字證書的管理,為車載終端與車企TSP平臺建立安全可信的運行環(huán)境,有效地保障了車載終端到后臺服務(wù)間通信連接、數(shù)據(jù)交互的安全可信。PKI系統(tǒng)構(gòu)成如圖2所示。
身份認證體系,解決了數(shù)據(jù)在不可信的網(wǎng)絡(luò)環(huán)境中傳輸?shù)臋C密性、完整性、不可重復(fù)性以及傳輸節(jié)點的身份識別問題,其在車聯(lián)網(wǎng)中典型的應(yīng)用場景包括:終端設(shè)備認證、APP應(yīng)用簽名與驗簽、OTA、數(shù)字鑰匙等業(yè)務(wù)。密碼技術(shù)是PKI體系的核心保障,我國絕大部分行業(yè)核心領(lǐng)域長期以來都是沿用國際通用的密碼算法體系(主要包括:DES、3DES、AES、RSA、SHA256等),為了保障國家對商用密碼安全、實現(xiàn)自主可控的目標,國家商用密碼管理辦公室制定了一系列密碼標準,包括SM1、SM2、SM3、SM4、SM7、SM9、祖沖之密碼算法等。
圖1 車內(nèi)通信數(shù)據(jù)的認證加密
圖2 PKI系統(tǒng)構(gòu)成
密鑰、關(guān)鍵業(yè)務(wù)信息都需要存儲到安全芯片的保密區(qū)中,數(shù)據(jù)提供加密存儲接口、存儲在其內(nèi)在的Flash中,采用安全專用芯片,應(yīng)用SM1、SM2、SM4、SM3商用密碼算法,或AES、3DES、RSA、SHA-256等國際密碼算法,實現(xiàn)終端數(shù)據(jù)的本地加密存儲,有效提升數(shù)據(jù)的安全性。
ECU的CPU擁有一個密碼協(xié)處理器HSM。HSM負責執(zhí)行所有密碼應(yīng)用,包括基于對稱密鑰的加解密、完整性檢查、基于非對稱密鑰的加解密、數(shù)字簽名的創(chuàng)建與驗證,以及用于安全應(yīng)用的隨機數(shù)生成功能。light HSM包含基于AES-128的對稱加解密模塊,以滿足傳感器和執(zhí)行器在成本和效率方面的嚴格需求(消息大小、時間、協(xié)議限制、處理器能力等)。ECU硬件安全如圖3所示。
為了確保車聯(lián)網(wǎng)業(yè)務(wù)中消息來源的真實性、內(nèi)容的完整性、防止消息重放,采用數(shù)字證書通過數(shù)字簽名/驗簽的方式對車聯(lián)網(wǎng)業(yè)務(wù)消息進行保護。為了實現(xiàn)上述機制,車聯(lián)網(wǎng)終端需要完成設(shè)備初始化,以安全的方式完成密碼公私鑰對、數(shù)字證書等敏感參數(shù)的初始配置。該過程對設(shè)備安全生產(chǎn)環(huán)境有著較為嚴格的要求,給車企及C-V2X終端生產(chǎn)企業(yè)帶來了新的挑戰(zhàn)。通常簽名計算采用ECDSA算法;SM3算法存在于數(shù)據(jù)的簽名計算,加密計算,密鑰協(xié)商計算過程中;加密解密條件限定,在使用對稱加密算法時,其對稱加密算法要求至少支持AES128-CCM,SM4-CBC。在使用非對稱加密算法時,其非對稱加密算法要求至少支持ECIES、SM2,其中ECIES要求至少支持NIST P-256、brainpoolP256r1兩種曲線參數(shù)。加密模式要求至少包含隨機加密模式、協(xié)商加密模式兩種。加密過程中橢圓曲線上的加密點均需要隨機生成。對稱加密的初始化向量值要求每次均隨機生成。V2X安全應(yīng)用如圖4所示。
圖3 ECU硬件安全
圖4 V2X安全應(yīng)用
整車OTA安全解決方案,通常從升級包發(fā)布、升級包傳輸、終端升級3個階段進行防御,確保智能網(wǎng)聯(lián)汽車OTA過程僅執(zhí)行授權(quán)發(fā)布的升級指令與升級文件。OTA-Server對升級包進行加密簽名,以阻止惡意的或非授權(quán)的升級包的被傳輸和被車端下載,影響升級。車機端在收到升級包后,對升級進行驗證簽名,以確保升級包是經(jīng)過合法授權(quán)的,且數(shù)據(jù)在傳輸和下載程中并未被修改,以確保OTA升級過程的數(shù)據(jù)安全。為抵御攻擊者對升級包的逆向分析攻擊、篡改攻擊,OTA服務(wù)端可增加部署安全服務(wù)器,提供安全基礎(chǔ)設(shè)施,如密鑰生成與管理、數(shù)字加密、數(shù)字簽名等?;诎踩?wù)器實現(xiàn)升級包加固功能,最終由OTA服務(wù)器發(fā)布加固后的升級包。在OTA服務(wù)端與車機端構(gòu)建安全傳輸通道,實現(xiàn)雙向身份認證,及傳輸加密等功能,保證升級包傳輸過程的安全。終端系統(tǒng)在升級流程前增加升級包校驗機制,對升級包進行解密和合法性驗證,驗證通過,方可進入系統(tǒng)升級流程。通常會使用AES、SM2、SM3等密碼算法。OTA安全應(yīng)用如圖5所示。
遠程控制安全主要是基于車云的雙向身份認證、遠程控制指令加密、密鑰協(xié)商等功能,保障控制指令的安全傳輸,防止車輛被非法控制,通常采用SM1、SM2、SM3、SM4等國密算法。
遠程控制安全應(yīng)用如圖6所示。
數(shù)字鑰匙安全基于數(shù)字鑰匙密鑰管理系統(tǒng),建立數(shù)字鑰匙與車載終端的雙向身份認證及指令加密機制,數(shù)字鑰匙密鑰管理系統(tǒng)產(chǎn)生的密鑰應(yīng)是動態(tài)更新,一次一密,滿足數(shù)字鑰匙的高安全通信要求。硬件安全模塊應(yīng)至少支持SM1、SM2、SM3、SM4國密算法,兼容RSA1024/2048、ECC256、3DES、AES、ECDSA、SHA1、SHA256等國際算法,應(yīng)可提供隨機數(shù)生成、密鑰管理、數(shù)據(jù)加解密、數(shù)字簽名、簽名驗證、密鑰協(xié)商等多種密碼服務(wù)。數(shù)字鑰匙安全應(yīng)用如圖7所示。
圖5 OTA安全應(yīng)用
圖6 遠程控制安全應(yīng)用
圖7 數(shù)字鑰匙安全應(yīng)用
智能網(wǎng)聯(lián)汽車的安全涉及了財產(chǎn)安全、人身安全,甚至社會和國家安全。商用密碼是保護智能網(wǎng)聯(lián)汽車的重要技術(shù)手段。但目前汽車領(lǐng)域商用密碼應(yīng)用頂層設(shè)計不完善,國內(nèi)相關(guān)標準化組織需要加快推進基于我國自主密碼體系及自主知識產(chǎn)權(quán)的智能網(wǎng)聯(lián)汽車安全規(guī)范及安全協(xié)議標準,加快車聯(lián)網(wǎng)設(shè)備基于國產(chǎn)密碼算法安全解決方案設(shè)計,以及車聯(lián)網(wǎng)設(shè)備基于國產(chǎn)密碼算法及國際通用標準算法的通信安全協(xié)議的設(shè)計及制定。建議國家應(yīng)統(tǒng)籌規(guī)劃,從國家層面提升對智能網(wǎng)聯(lián)汽車安全的總體規(guī)劃部署和頂層設(shè)計,加強智能網(wǎng)聯(lián)汽車監(jiān)管力度,完善安全相關(guān)的法律制度,促進我國智能網(wǎng)聯(lián)汽車安全產(chǎn)業(yè)發(fā)展。