背景介紹
網(wǎng)關(guān)作為控制整車通信的關(guān)鍵 ECU， 往往是 hacker 或滲透測試人員重點關(guān)注的核心部件。網(wǎng)關(guān)的安全風險可能直接威脅到行駛安全甚至人身安全。網(wǎng)關(guān)在車輛的縱深防御體系中處在極為重要的位置，本文將簡單分析當前典型網(wǎng)關(guān)的特征、網(wǎng)關(guān)可被利用的功能點與防護思路。

典型網(wǎng)關(guān)特征與攻擊面分析
隨著 EEA 發(fā)展網(wǎng)關(guān)的特征也衍變出了多種類型，由最初的集成網(wǎng)關(guān)，到現(xiàn)在的獨立網(wǎng)關(guān)、域集中式中央網(wǎng)關(guān)、混合式網(wǎng)關(guān)、到前沿的中央集中式控制器。網(wǎng)關(guān)承擔的功能也由最初的車內(nèi) CAN/CANFD/FR/LIN 總線路由，到現(xiàn)在車載 Ethernet 路由、關(guān)鍵車控邏輯的處置、車內(nèi) OTA 處置的主控單元等敏感功能的執(zhí)行。

我們從信息安全的角度看，網(wǎng)關(guān)特征的衍變也使可能被利用的功能點發(fā)生了新的變化。典型可被利用功能有以下幾方面。

利用 CAN、Ethernet 總線路由功能，向車內(nèi)其他控制器發(fā)送非法報文、消息；常見攻擊方式如通信鏈路洪泛攻擊、ID/IP 欺騙、數(shù)據(jù)重放、通信協(xié)議逆向破解等。

利用 UDS 協(xié)議功能，向車內(nèi) ECU 進行配置變更、寫入惡意代碼、讀取敏感信息；常見攻擊方式如安全認證服務(wù)破解、會話模式異常、中斷車內(nèi)總線通信、篡改 ECU 存儲信息及固件、讀取敏感信息等。

利用 OTA 主控節(jié)點功能，非法篡改車內(nèi) ECU 固件、獲取 OEM IP、OTA 功能異常；常見的攻擊方式如篡改 OTA 組件控制 OTA 功能、繞過 OTA 安全驗證功能，向車內(nèi)注入惡意鏡像、惡意訪問 TSP，獲取 OEM 升級鏡像。

利用關(guān)鍵敏感的車控功能，對車控業(yè)務(wù)進行惡意決策控制；常見的攻擊方式如非法篡改網(wǎng)關(guān)車控軟件功能組件，對核心車控功能操控。

網(wǎng)關(guān)的安全防護
面向網(wǎng)關(guān)的防護技術(shù)，我們一般關(guān)注兩個維度，一個是網(wǎng)關(guān)作為核心單元的業(yè)務(wù)流的安全，一個是網(wǎng)關(guān)本身的安全：
業(yè)務(wù)流的安全防護一般包括，安全 CAN 通信技術(shù)、安全車內(nèi) Ethernet 通信技術(shù)、安全刷寫技術(shù)、OTA 安全和車內(nèi)診斷服務(wù)的安全等。因為傳輸協(xié)議是標準固化的，我們無法修改，所以一般會對上層協(xié)議增加安全防護措施，例如車內(nèi)總線，我們會對報文消息加密、增加消息鑒別代碼字段、增加新鮮度值字段、增加簽名字段等方式。由于車內(nèi)總線對時間敏感且?guī)捰邢蓿铱偩€面對的 ECU 本身算力不盡相同，我們在制定安全方案時，要先對通信消息和業(yè)務(wù)模型進行風險分析，對敏感消息進行分組后，再采用與 ECU 算力相匹配的密碼學算法對消息報文進行安全封裝。對于如 OTA 等業(yè)務(wù)中的關(guān)鍵步驟，除了增加校驗機制和校驗密碼學強度外，還應(yīng)做好秘鑰、證書的分發(fā)、管理、撤銷工作。同時還應(yīng)考慮各業(yè)務(wù)場景對秘鑰、證書、密碼學算法的特殊需求，如維修更換、數(shù)據(jù)埋點采集等。
網(wǎng)關(guān)本身的安全防護一般會從硬件、系統(tǒng)、數(shù)據(jù)存儲、代碼、安全記錄等幾個方面去做最佳實踐。例如為了解決系統(tǒng)被篡改的風險，應(yīng)支持安全啟動，從 ROT 代碼開始對加載的鏡像迭代校驗。為了解決敏感信息的安全存儲，應(yīng)支持安全芯片或 TEE 的技術(shù)路線，對公私鑰、證書、敏感信息進行安全存儲與可控調(diào)用，其中常見的 TEE 一般有基于 ARM的 trustzone、基于 Intel 的 SGX，這個我們后面可以開展一個專題討論；為了解決代碼安全，應(yīng)進行代碼加固，在開發(fā)階段進行代碼審計、代碼漏洞掃描、多余端口掃描以及通過編譯工具連提供優(yōu)化、為了對非法行為的檢測與審計，應(yīng)對支持日志記錄功能，對端口的非法訪問、密碼操作的異常等進行記錄。
編輯：lyn