下一代汽车电子安全设计考量(2)

　　安全威胁及减轻措施

　　对车辆造成的安全威胁可以分成叁大类：局部实体；远端；内部电子。当这些威胁叠加在一起时，常常会造成车辆损坏。

　　局部实体性威胁

　　透过实体性地接取传动系统CAN网路并破坏通讯就是局部实体性威胁的一个例子。这种入侵式攻击很容易破坏汽车的关键功能。然而，像心存不满的技修工等局部攻击者只可能损害一辆车，因此不足以引起设计安全团队的注意。另外，汽车的复杂电子系统很难真正防範实体攻击。因此我们对这类威胁通常只能祈祷了。

　　然而，这裡有个例外：在一个或多个ECU内部的某处地方储存着私有密钥，用于製作受保护的通讯通道，并提供局部数据保护服务。下面这张图显示了下一代汽车中使用的长距离无线连接的一些例子。

　　图2：下一代汽车中使用的长距离无线连接 。

　　汽车演算法、多媒体内容和保密资料都可能需要数据保护。私钥储存必须能够抵挡住凌厉的入侵和非入侵式实体性攻击，因为即使仅丢失一‘把’密钥也可能让攻击者设立起到远端基础设备的连接，继而在那裡造成广泛破坏。

　　OEM厂商必须能够在从──密匙产生和将其嵌入到ECU、到ECU交货并装配进汽车、再到汽车最后在大街上到处跑──这一整个生命期内确保密钥的安全。Green Hills Software、Mocana和Certicom 等专业嵌入式加密公司可以透过在这个领域中的指导和监督向OEM厂商及其供应商提供帮助。

　　远端威胁

　　以下是典型的攻击方式：骇客透过侦测汽车的长距离无线介面寻找网路安全协议、网路服务和应用程式中的软肋，以找到进入内部各电子系统的方式。与数据中心不同，汽车一般不可能拥有完整的IDS、IPS、防火墙和UTM。而近来产生的入侵新力、花旗集团、亚马逊、谷歌和RSA的事件充分显示，在老练的攻击者面前，这些防卫机制形同虚设。

　　2010年，当Stuxnet（超级工厂病毒）肆虐时，美国国防部所属的美国网战司令部（CYBERCOM）司令Keith Alexander将军建议对美国的重要基础设备建构自身的隔离安全网路，与网际网路分开来。虽然这种做法似乎过于苛刻，但实际就是我们需要的思路。为了驾驶安全，汽车的关键系统必须与非关键的ECU和网路完全隔离开来。

　　内部电子威胁

　　虽然实体网路隔离是理想方案，但接触点不可避免。例如，在某些市场，在汽车行驶中，汽车导航系统必须关掉，这意味着在安全标準有很大不同的系统间的通讯很感应。另外，业界出现了强烈的设计整合趋势──使用更强大的多核心微处理器来实现各不同的系统，因而将许多ECU变成虚拟ECU──这将增加源于软体的威胁风险，如由作业系统缺陷、对密码系统的旁路攻击以及拒绝服务等导致的权限扩大（privilege escalation）。

　　因此，为了安全，汽车的内部电子架构必须重新设计。关键和非关键的系统与网路之间的介面必须在最高管理层面进行论证和穷尽分析，并按诸如ISO 15408评估安保等级（EAL） 6+等最高等级的安保标準进行验证，以确认没有缺陷。

　　高可靠性软体/安全工程实施塬则（PHASE）协议支援大幅地简化复杂性、软体组件架构、最低权限塬则、安全软体和系统开发过程，OEM厂商必须学习和採用独立的专家安全验证，并在其整个供应链中贯彻执行。

　　本文小结

　　汽车製造商和一级供应商在设计目前上路的汽车时可能还没有下大力气考虑安全性要求，但很明显情况在产生变化。製造商在车载电子设备与网路的设计与架构阶段应尽早与嵌入式安全专业公司展开紧密合作，并且必须提高以安全为导向的工程技术与软体安全保障水準。最后，汽车产业迫切需要一个独立的标準组织来为车载电子设备定义和执行系统级的安全认证计划。