汽车电子网络系统

　　就目前而言，国内外主流车型依然在使用CAN网络进行车内通信，用于连接动力系统和车身控制系统，其安全重要性是毋庸置疑的，本文就车辆CAN总线的安全性做详细的分析介绍。

　　一、CAN总线当前面临的安全隐患

　　智能网联汽车的兴起，使得汽车与网络的联系更加紧密，相伴而生的便是汽车的信息安全问题，其中车载网络作为汽车信息安全的最后一道防线，其信息安全显得尤为重要。CAN总线的数据结构、仲裁技术、灵活的通讯方式等特点能够满足汽车实时性和轻量化要求，但同时也暴露了一些安全隐患，如广播消息被监听、仲裁机制被攻击、消息伪造欺骗等。

　　对此，中汽中心数据资源中心积极投入汽车信息安全攻防技术研究，通过对近60款车型进行测试，研究人员发现CAN总线主要有以下几个方面的安全隐患：

　　1、点到线的传播，机密性差

　　CAN总线中报文是通过广播传送方式，所有的节点都可以接受总线传送的消息，为报文信息监听提供了可能，汽车总线数据容易被捕获分析。

　　车载网络安全分析

　　CAN总线消息传播方式

　　2、传播的消息源不完整

　　协议中没有原始地址信息，接收ECU对收到的数据无法确认是否为原始数据，这就容易导致攻击者通过注入虚假信息对CAN总线报文进行伪造、篡改等。

　　3、总线的脆弱性

　　CAN总线协议中基于优先级的仲裁机制，为黑客对总线收发报文进行拒绝服务攻击提供可能。攻击者可以通过嗅探或监听等手段对汽车总线进行重放或洪泛攻击，导致ECU无法正常发送和接收报文。

　　二、CAN总线安全隐患缓解措施

　　针对CAN总线面临的安全隐患，研究人员建议采取如下缓解措施：

　　1、防御报警机制

　　监控车载网络流量和每条CAN回路的负载率，一旦发现异常情况如流量突然陡增或检测到有陌生ID的报文，应尝试去确认是否有正在进行的攻击，并由预防系统自动阻止这样的攻击。

　　2、物理隔离

　　将关键安全的ECU网络物理隔离，避免和非关键安全的ECU网络或外部链接的ECU网络直接相连，这样即使车辆非安全ECU遭到入侵攻击，也不至于影响车辆的动力系统正常行驶，将影响和伤害降到最低。

　　3、诊断访问控制

　　保护安全访问OBD-II端口，这是一个非常容易攻击的媒介。可以在OBD-II端口和其他网络之间增加身份认证网关，用来验证传输的诊断ID数据是否匹配，若身份认证网关查询到未经认证的ID数据即对它进行过滤并报警提示，从而阻止部分注入攻击和DoS攻击。

　　OBD与其他网络由网关隔离

　　在测试过程中研究人员发现未做安全访问的ECU通过读ECU内存，写内存服务($3D服务)存在数据信息分解和泄露的风险。其他一些服务例如$34、$35、$36、$37等，可以用作固件读取与更新，为了有效阻止固件被非法读取、逆向、更改和刷新，应该确认车内ECU都具有$27安全服务访问功能且秘钥具有复杂性、实时性和不可重复性。

　　$23服务读取内存数据

　　$27服务安全访问

　　4、数据加密

　　由于CAN总线是明文传输并且是由8位没有加密的16进制数组成，让黑客很容易拿到总线数据逆向分析。将报文以一种加密形式传播在总线上，即使黑客获取到报文信息，也很难破解信息中的消息和一些重要信号状态值。若因MCU处理器性能不能满足报文加密，那么核心部分的安全数据就显得尤为重要，建议采用$84服务对敏感数据进行加密传输，尽可能减少信息泄露的风险。

　　5、其他协议

　　使用其他更安全、更成熟的车载网络通讯方式如MOST、FlexRay等会大大提高网络通讯的安全性。

　　三、车载网络安全发展预测

　　长期以来，以太网作为全球最受欢迎也是最可靠的网络技术，成功并安全地部署在复杂多变的企业网络环境中。以太网具备有高带宽、高性价比、普适性强和固有网络安全性等特点，研究人员据此分析，为解决现行车载网络的带宽限制，未来汽车车载网络引入以太网是一种最有可能的发展趋势，而以太网久经验证的保障策略也可以为未来汽车信息安全的防护提供更为有利的技术保障。在此基础上，研究人员注意到车载网络的设备和配置是已知并可以预见的，因此，为识别和保护它们不受到威胁，加入消息验证和加密功能，可以有效防止智能网联汽车以太网车载网络遭到破坏。

　　智能网联汽车太网车载网络

　　四、总结

　　以CAN总线协议为代表的车载网络，作为汽车信息安全问题的起点和终点，其安全性及防护能力尤为关键。在深度测试基础上，实施智能汽车信息安全分域隔离，搭建多层纵深防御、软硬件结合的安全防护体系将是未来必然发展趋势。