奔馳“失控”事件：車聯(lián)網(wǎng)離安全還有多遠？

前兩天，一條關(guān)于奔馳車定速巡航失控的消息刷爆了朋友圈。事情的經(jīng)過大致如下：3月14日，一輛奔馳車自動巡航深夜失靈，車主以120公里每小時的速度駕駛這臺車狂奔了近100公里，豫陜交警全力營救，最后據(jù)報道稱車輛最終依靠遠程控制讓車速降下來，車主才得以脫險。

事件發(fā)生后，很多人對車聯(lián)網(wǎng)和未來輔助（自動）駕駛的安全問題深表擔(dān)憂。而車聯(lián)網(wǎng)是電信業(yè)繼手機之后的下一個重要戰(zhàn)場，作為一名通信技術(shù)宅，趁著周末趕緊研究了一下車聯(lián)網(wǎng)安全問題，匯報如下。

首先，聯(lián)網(wǎng)車有安全隱患嗎？答案是——yes。

這是一段來自2015年的視頻...

兩位安全工程師成功破解了吉普切諾基的安全系統(tǒng)，不但能夠遠程控制車載娛樂系統(tǒng)，還能通過互聯(lián)網(wǎng)遠程控制車輛剎車和轉(zhuǎn)向。此后，菲亞特克萊斯勒召回了140萬輛汽車。

這起遠程“黑客”攻擊事件引發(fā)了汽車行業(yè)對聯(lián)網(wǎng)車安全設(shè)計的高度關(guān)注，被認為是對汽車行業(yè)產(chǎn)生了巨大影響的標(biāo)志性事件。

這兩位“黑客”是怎么做到的呢？不急，我們先來看一看車聯(lián)網(wǎng)的系統(tǒng)設(shè)計。

目前大部分的汽車都有電子系統(tǒng)， ECU（Electronic Control Unit）電子控制單元通過車內(nèi)局域網(wǎng)連接，并同時連接到外部網(wǎng)絡(luò)（比如4G和5G網(wǎng)絡(luò)），以實現(xiàn)豐富多樣的汽車服務(wù)，比如車聯(lián)網(wǎng)和自動駕駛。

具體而言，這個設(shè)計構(gòu)架主要由四層結(jié)構(gòu)組成，如下圖。

第一層：外界通信設(shè)備

負責(zé)與外界通信。它由負責(zé)與移動蜂窩網(wǎng)絡(luò)、WiFi和V2X通信系統(tǒng)連接的車載設(shè)備組成。

V2X：3GPP R14定義了LTE支持V2X應(yīng)用，以推動車聯(lián)網(wǎng)商機。V2X包括汽車對汽車（V2V）、汽車對基礎(chǔ)設(shè)施（V2I）、汽車對互聯(lián)網(wǎng)（V2N）和汽車對行人（V2P）。在5G里，車聯(lián)網(wǎng)又有uRLLC(超高可靠超低時延通信)和5G-V2X等新課題。

第二層：汽車網(wǎng)關(guān)

第二層控制整個汽車系統(tǒng)。汽車網(wǎng)關(guān)不但負責(zé)ECU和第一層的外界通信設(shè)備之間交換信息，還負責(zé)汽車內(nèi)部的信息交換。

第三層：車內(nèi)局域網(wǎng)

它負責(zé)在車內(nèi)各個ECU之間傳遞信息，并根據(jù)ECU的不同應(yīng)用劃分為三大域：車身域、Telematics域和控制域。車身域負責(zé)控制門鎖等車身部分，控制域負責(zé)剎車、ABS等部分，Telematics域負責(zé)與定位導(dǎo)航相關(guān)的車載信息服務(wù)，比如通用的安吉星(OnStar)、豐田的G-BOOK等就屬于Telematics域。

車內(nèi)局域網(wǎng)采用通用的車載通信協(xié)議，比如CAN或LIN（Local Interconnect Network）。

第四層： ECU和其他功能組件

第四層由ECU和其他功能組件組成，其控制發(fā)動機、剎車、車輛門窗等車輛各個部件。

根據(jù)這一構(gòu)架，我們將車聯(lián)網(wǎng)的安全系統(tǒng)也分為四層安全防護：

第一層：外界通信安全

指與車輛通信的外部網(wǎng)絡(luò)具備完善的加密、鑒權(quán)和接入控制機制，以防止身份冒充和信息竊取等。從這一層可知，具備運營商級安全的4G或5G網(wǎng)絡(luò)對于車聯(lián)網(wǎng)的重要性。

第二層：汽車網(wǎng)關(guān)安全

這一層安全要求汽車網(wǎng)關(guān)具備三大功能：①信息過濾功能，過濾未經(jīng)鑒權(quán)的信息；②密匙管理功能，管理ECU用于加密和認證的密匙；③異常檢測功能，對車內(nèi)局域網(wǎng)傳遞的信息有異常檢測機制。

第三層：車內(nèi)局域網(wǎng)安全

指具備檢測ECU之間傳遞的信息，以防止被篡改、重寫和竊聽。

第四層：ECU等部件安全

指確保運行于ECU上的程序無漏洞，并在每次重啟時具備驗證固件和操作系統(tǒng)是否被篡改的機制。

簡而言之，一個理想的車聯(lián)網(wǎng)應(yīng)該是由四層嚴(yán)密的防護網(wǎng)組成的安全系統(tǒng)。如果設(shè)計嚴(yán)密，嚴(yán)格的講，這個系統(tǒng)還是非常安全的。從歷史案例來看，目前已發(fā)生的黑客攻擊汽車事件主要包括兩種：

通過復(fù)制密鑰代碼盜車

目前大多數(shù)的汽車配備了防盜系統(tǒng)，該防盜系統(tǒng)生成防盜密鑰進行身份驗證，只有通過身份驗證后才能啟動引擎。有些汽車制造商采用專用的加密算法來執(zhí)行認證，并且有報告稱黑客利用這些算法中的弱點非法獲取認證密鑰。為此，2010年汽車行業(yè)就提議采用高級加密標(biāo)準(zhǔn)AES。

攻擊車載診斷系統(tǒng)（OBD）

OBD可以檢測汽車運行過程中的發(fā)動機電控系統(tǒng)以及車輛的其它功能模塊的工作狀況，外部電腦可連接OBD接口，并通過獲取汽車內(nèi)部交換的信息（比如CAN消息）來查看汽車數(shù)據(jù)、檢測行駛狀況等。已經(jīng)證明，可以通過電腦注入偽消息來篡改儀表盤數(shù)據(jù)，甚至執(zhí)行剎車或轉(zhuǎn)向等操作。

目前來看，車聯(lián)網(wǎng)面臨的核心安全威脅集中在CAN總線、OBD接口設(shè)備、通信模塊T-BOX、移動端 APP以及云端平臺等控制性部件的安全攻擊，主要問題來自于汽車內(nèi)部聯(lián)網(wǎng)構(gòu)架。

舉一個例子，有電信運營商在與汽車廠商合作研究車聯(lián)網(wǎng)安全問題時，就發(fā)現(xiàn)車內(nèi)LIN協(xié)議存在漏洞。

汽車電子有兩大總線協(xié)議：CAN和LIN。CAN負責(zé)重要的電子控制單元，如發(fā)動機、ABS、安全氣囊等，LIN負責(zé)次要的電子控制單元，如門窗、車燈等。目前關(guān)于汽車安全的研究大部分都集中在CAN，顯然大家覺得對發(fā)動機、剎車等重要部分的控制更重要。但是，如果黑客對LIN發(fā)起攻擊，劫持了方向盤、座椅、門窗的控制權(quán)，駕駛者同樣將面臨重大威脅。

而LIN總線是一種主從關(guān)系的構(gòu)架，由一個主節(jié)點與若干個從節(jié)點構(gòu)成。從節(jié)點不能直接向總線發(fā)送數(shù)據(jù)，需要接受到主節(jié)點發(fā)送的包含表示處理內(nèi)容的標(biāo)識符（ID）的幀頭后，才根據(jù)標(biāo)識符來發(fā)送和接收數(shù)據(jù)。在某些情況下，當(dāng)節(jié)點傳輸?shù)臄?shù)據(jù)與總線上的數(shù)據(jù)不同時，系統(tǒng)會檢測到錯誤，并暫停數(shù)據(jù)傳輸直到等到下一個幀頭來處理錯誤。

這就給了黑客可乘之機。如下圖所示，（a）和（b）點在接收到幀頭后開始傳輸數(shù)據(jù)，此時黑客監(jiān)控了總線，并在（c）點注入錯誤的數(shù)據(jù)，系統(tǒng)檢測到?jīng)_突并停止數(shù)據(jù)傳輸，此時，黑客就可以趁機注入偽數(shù)據(jù)傳送給從節(jié)點（d），從而控制汽車駕駛。

安全從來無小事，何況車聯(lián)網(wǎng)安全問題一旦發(fā)生就會直接演變?yōu)槿松韨拓敭a(chǎn)損失，車聯(lián)網(wǎng)安全的重要性一直受到產(chǎn)業(yè)界的高度重視。通信領(lǐng)域在設(shè)計未來網(wǎng)絡(luò)時，在大幅降低網(wǎng)絡(luò)時延的同時，也在加強端到端加密傳輸、認證、訪問控制和異常流量監(jiān)測等安全措施。

但從上述可知，車聯(lián)網(wǎng)安全涉及范圍廣泛，運營商只是提供安全的網(wǎng)絡(luò)顯然是不夠的，且隨著車聯(lián)網(wǎng)的廣泛應(yīng)用，未來的自動駕駛和車聯(lián)網(wǎng)將連接更多的應(yīng)用，這意味著未來黑客對車輛的攻擊路徑將變得更寬，這就要求整個電信產(chǎn)業(yè)鏈與汽車等各大領(lǐng)域展開深入合作，乃至建立跨行業(yè)的標(biāo)準(zhǔn)化體系和合作機制，才能解決整個車聯(lián)網(wǎng)系統(tǒng)內(nèi)任何可能存在的安全隱患。