车联网安全保护研究

-精选财经经济类资料- -最新财经经济资料-感谢阅读- 1 车联网安全保护研究 摘要：该文通过对车联网概念的 介绍引出车联网存在信息安全问题，车 联网的信息安全问题越来越多的引起大 家的普遍关注。该文通过分析近年来发 生的信息安全事件和信息安全攻击方式， 给出了四种信息安全保护方法，并介绍 了车联网相关行业对车联网安全所做的 努力和推动作用。 中国论文网 /8/view-12907434.htm 关键词：车联网；信息安全；信 息安全保护 中图分类号：TP393 文献标识码： A 文章编号： 1009-3044（2017）06- 0072-04 1 概述 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 2 有人曾经把智能汽车比喻为四个 轮子的电脑。目前汽车的普通车型拥有 25 到 200 个不等的 ECU（Electronic Control Unit，电子控制单元） ，高级轿 车有 144 个 ECU 连接，软件代码超过 6500 万行，无人驾驶的软件代码超过 2 亿行；5 年之后，每一辆智能汽车每天 产生的数据量在 4000GB 左右。随着汽 车中 ECU 和连接的增加，将大大增加 黑客对汽车的攻击面，尤其是汽车通过 通信网络接入互联网连接到云端之后， 每个计算、控制和传感单元，每个连接 路径都有可能因存在安全漏洞从而被黑 客利用，实现对汽车的攻击和控制。随 着互联网、人工智能、无线网络和云计 算、大数据等技术的应用，今天的汽车 的智能化、联网化程度越来越高。汽车 中使用的计算和联网系统沿袭了既有的 计算和联网架构，也继承了这些系统天 然的安全缺陷。智能车采用感知决 策控制来代替人对机械部分直接控制。 信息安全不仅经济损失，可能会成为社 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 3 会安全问题。 2 车联网 如图 1 所示，从网络上看，车联 网系统可以分为车内网，车际网和车载 移动互联网。车内网也就是位于汽车内 部的网络通信。这其中包括车载显示器、 车载传感器与控制器以及车载资讯中心 等。主要是负责采集与获取车辆的智能 信息，感知行车状态与环境。 车际网 主要是为了解决车与车、车与路、车与 网、车与人等的互联互通。监测街上行 驶的其他车辆的速度、位置等对其他驾 驶员无法开放的隐私数据，同时自动预 测出在该车行车道路前方是否有发生碰 撞的可能。 根据计算机技术，可以计 算不同车辆的最佳路线、及时汇报路况 和安排信号灯周期。车载移动互联网是 利用车载 4G，实现汽车同智能手机、 移动互联网和互联网的互联互通。车联 网是一个云架构的车辆运行信息平台， 是多源海量信息的汇聚。它的生态链包 含了 ITS、物流、客货运、危特车辆、 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 4 汽修汽配、汽车租赁、企事业车辆管理、 汽车制造商、4S 店、车管、保险、紧 急救援、移动互联网等。 3 汽车信息安全事件 2013 年，Charlie Miller & Chris Valasek 通过 OBD 破解了丰田普锐斯； 2014 年，Charlie Miller & Chris Valasek 发布了 12 款车型的汽车安全报告； 2014 年，360 公司破解 Tesla 汽车远程 控制功能；2015 年 1 月，宝马汽车 Connected Drive 功能存在漏洞，召回 220 万辆汽车；2015 年 2 月，Samy Kamkar 破解了通用安吉星 onstar 系统； 2015 年 7 月，Charlie Miller & Chris Valasek 远程破解并控制了 JEEP 自由 光，克莱斯特召回 140 万辆汽车；2015 年，360 公司破解了 BYD 汽云服务、 遥控驾驶功能；2015 年，360 公司破解 Tesla 汽车毫米波雷达系统；2015 年 8 月，国内某汽车厂商的云服务也曾被爆 存在漏洞，可导致车主信息泄露和汽车 被远程控制；2016 年 8 月，360 汽车安 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 5 全实验室首次通过传感器漏洞破解了特 斯拉自动驾驶系统。 通过以上分析，我们清楚地可以 看到事件发生频率越来越密集。2013 年 之前汽车安全事件是按照年为单位， 2014 年按照月为单位，但是到了 2015 年以后汽车攻击事件或者研究演示是按 照天为单位了。 4 攻击方式 4.1 OBD 攻击方式 OBD（On-Board Diagnostic，车 载诊断系统） ，能随时监控发动机的运 行状况和尾气后处理系统的工作状态。 OBD 作为汽车的对外接口，他能访问 CANbus， 也就是汽车的内部总线，实 现对车辆的控制，甚至修改一些行车电 脑的配置，所以把专门的控制设备外接 入 OBD 端口，便能实现对汽车的控制。 4.2 WIFI 和蓝牙攻击方式 两名美国黑客破解 Jeep 自由光就 是通过破解 WI-FI 然后入侵到车内的影 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 6 音娱乐系统。由于汽车的影音娱乐系统 也是能与 CANBus 总线交换数据的， CANbus 总线能够连接诸如发动机控制 器、电子刹车控制器。黑客通过 WI-FI 这一桥梁连接到汽车终端的执行控制机 构，然后利用电脑将固件刷入其中，从 而完成了对汽车油门和刹车系统的破解。 比亚迪的速锐、秦以及唐均配备 了蓝牙遥控钥匙，从实用性的角度来说， 这确实是一项非常好的设计，方便了我 们将车停入狭窄的车位，但比亚迪忽略 的是其蓝牙安全性。为了实现遥控汽车 的功能，比亚迪将蓝牙系统与 CANBus 总线相连，并且其中包括了连接汽车动 力控制部分的 CANBus 线路，这是一件 非常危险的事情，因为这意味着破解了 蓝牙系统就能启动并遥控车辆了。因此， 对于比亚迪秦，360 破解团队采用的对 策是通过蓝牙系统破解。首先，通过 Ubertooth 软件破解比亚迪秦的蓝牙 PIN 码。成功之后，用手机等移动设备连接 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 7 蓝牙，再依靠无钥匙进入系统与手机 App 控制程序之间的漏洞，就可以解锁 车门并进行启动车辆了。 4.3 破坏运营商网络和云服务系 统 此前有报道称安吉星（OnStar） 系统被黑客发现漏洞，可被远程控制。 360 破解团队同样发现了比亚迪的云端 控制系统漏洞，通过这个漏洞他们能够 获知车主的信息（如姓名、车牌号、车 架号、身份证号、第二联系人姓名、手 机号等） ，获知了车主的账户名之后， 再进一步破解此账户的密码。一旦密码 再破解之后，就能登录到比亚迪的车联 网平台。通过车联网云服务平台，即可 以远程遥控汽车开空调、解锁、上锁、 导航及定位、整车体检、应用商店以及 电话通讯等功能。 另一种远程 控制室通过车内的通讯运营商服务 （3G、4G 等） ，现在很多车为实现网络 通讯都内置有 SIM 卡，而两名美国黑客 正是通过破解内置在 Jeep 自由光内的运 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 8 营商服务实现远程控制的。 4.4 远程和近程结合 360 团队曾成功地破解了特斯拉 的 MODEL S 车型。这次破解是基于他 们发现的特斯拉手机 App 的漏洞，根据 这个漏洞可以远程解锁特斯拉的车门。 想要启动这台特斯拉就必须要有钥匙在 车内，360 破解团队的做法是提前录制 车主钥匙的射频信号，然后在车内用设 备播放录制的射频信号，便能让特斯拉 误以为是车钥匙在车内，所以 360 团队 成功将特斯拉破解了。 5 信息安全保护方法 5.1 以攻防平衡为核心的安全评 估 安全评估主要分为五个阶段。首 先要确定评估范围，包括系统的资产清 单，拓扑图，系统功能介绍等。然后根 据评估范围制定评估计划，评估方法， 并确立一个评估目标。在实施评估过程 中会从多方面角度去检查系统的安全性， 涉及多种检查方法。评估结束后会输出 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 9 安全报告供主机S 参考，对系统进行 加固。加固完成后，进行二次验证，确 定漏洞不存在。而且在漏洞修复后没有 新的冈险。或者出现次生风险。通过完 成安全评估后，会发现有些问题可以通 过加固来解决，有些则需要调整架构， 采购安全产品。 安全评估是能够快速有效地检测 出整个系统的安全状态的全貌， 可以 看到整个系统的脆弱性存在的方面，后 期可以根据安全评估的结果对系统薄弱 的环节进行防护. 通过安全评估可以梳 理出来攻击链，采用一定技术手段，进 行加固，降低网络攻击造成的损失。 5.2 能够防范于未然的大数据监 测 我们把安全能力按照事情状态的 发展进度分为三级。首先能够做到事后 分析，发现了攻击事件，应该能够快速 找到漏洞，并且根据线索查找到攻击源， 降低由攻击带来的损失。第二个级别是 事中防御，主要通过各方面的监控平台 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 10 进行事件监控，发生攻击事件时可以快 速地应急响应，阻断攻击，并且分析攻 击的漏洞，快速的更新补丁。可以在被 攻击成功之前切断攻击。最后一个级别 是事前感知级别，通过对自身系统的漏 洞的主动研究，关注国内外应用技术的 威胁报告，结合大数据分析，可以预测 到在车联网应用技术存在重大漏洞时， 自身系统可能会受到危害，可以提前采 取其他方式进行安全防护，降低攻击发 生的可能性。 5.3 基于全生命周期的安全咨询 针对未建设车联网系统的主机厂， 可以考虑针对车联网安全生命周期安全 开发管理咨询服务，通过该服务可以在 规划设计阶段就可以把安全需求落入到 车联网系统开发过程当中，对于开发人 员的安全意识培训也进行同步培训。在 系统建设阶段对各方面的安全要求开发 程度进行检查. 在上线验收阶段进行安 全验收从而保证系统自身的安全性。后 期进入安全运维阶段需要有专职的人员 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 11 对安全策略进行调整。在系统退服阶段， 也要保证数据的安全性等。车联网属于 移动互联网系统，由于车辆终端自身的 移动性较高，未来的数量较多。所以传 统的安全防护手段是无法满足移动互联 网安全的需求，这里的核心原则是打造 能够“自主防御 ”的车联网平台， 对于 安全事件能够快速感知，积极响应并处 理。 5.4 整体解决方案 谈到对互联网安全采取的措施， 刘健皓表示 360 方面提出了自己的安全 框架。这个框架主要从安全服务、安全 产品、应急响应、安全咨询、威胁情报、 安全监控等几个方面规划了车联网信息 安全的方案。通过汽车安全评估发现现 有系统的安全问题，有些问题可以通过 修改配置，打补丁，增强访问控制来解 决。 对此，刘健皓给出的解决方案是 在网络关键节点加装安全产 品“FUSE”车联网安全防护系统。 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 12 这个防护系统是部署在车内接口的一个 过滤器，能够检测并阻断对汽车总线的 攻击；同时支持远程的 OTA 升级和数 据采集，可以监控汽车是否遭受到了攻 击；再通过外围的 APP 防护、 TSP 防 护的产品保障车联网系统的整体安全。 通过高效的应急响应服务可以降 低由安全攻击给主机厂带来的损失。通 过威胁情报监控国内外的安全态势，为 车联网的规划和发展提供有效可靠的论 据， 最后通过安全监控平台可以看到 车联网汽车运行的全貌，一旦发生攻击 事件可以马上发现、快速处理、达到攻 防平衡的手段。 6 行业推动 6.1 标准 日本信息处理推进机构 IPA 发布指南Vehicle information security guide ； 美国 SAE J3061 于 2016 年 1 月 14 日发布标准Cybersecurity -精选财经经济类资料- -最新财经经济资料-感谢阅读- 13 Guidebook for Cyber-Physical Vehicle Systems ； 美国 NHTSA 于 2016 年 10 月 24 日发布汽车最佳网络安全指南 （Cybersecurity Best Practices for Modern Vehicles ） 。 6.2 发布 2014 年 10 月美国国家标准与 技术研究院制定车联网网络攻击防护 安全框架 ； 2015 年 2 月美国马萨诸塞州 参议员 Ed Markey 办公室发布车联网 安全漏洞研究报告 ； 2015 年 5 月 8 日，国务院正 式印发中国制造 2025 ，将汽车信息 安全作为关键基础问题进行研究； 2016 年 3 月份，美国交通部 （DOT ） 、美国国家公路交通安全管理 局（DTNHTSA） 、联邦调查局（FBI） 等部门一起发布公共服务公告； 2016 年 9 月 13 日，ACIA 在 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 14 成立仪式上，正式对外发布车载信息 安全技术要求白皮书 ； 2016 年 10 月，我国正式发布 节能与新能源汽车技术路线图 。 6.3 组织成立 2015 年伊始，公司依托美国 硅谷的技术优势，成立了全球第一家车 联网安全测试实验室（VisualThreat Auto Cybersecurity Testing Lab） ； 2016 年 9 月 13 日，车载信息安全产 业联盟（英文名称：Automotive Cybersecurity Industry Alliance 缩写： ACIA）在京正式宣布成立； 2016 年 11 月，日本汽车制造 商们也宣布将在 2017 年开始建立一个 共同的工作组以分享有关黑客入侵和数 据外泄的信息，以加强汽车信息安全保 护； 2016 年 11 月 24 日， SyScan360 亚太前瞻信息安全技术年会 上，360 宣布正式成立车联网安全中心， 并发布全套汽车安全解决方案； -精选财经经济类资料- -最新财经经济资料-感谢阅读- 15 2016 年 12 月 7 日，第九届 TC 汽车互联网大会在上海开幕，主题 是“汽车+移动互联网” 。 6.4 方案 极豆车联 W：隔离汽车底 层加硬件防火墙的方式来保障车辆安全； 飞驰镁物：前装车联网设备 及车联网平台运营商采用终端硬件防护、 云端密钥应用的方式； 华为的谢尔德实验室：通讯 服务商采用层级安全架构确保设备的安 全隔离； 东软集团发布了国内首款车 载信息安全产品东软 S-Car 整体解 决方案，覆盖了车联网的整个生命周期； 百度自动驾驶事业部旗下的 云骁安全实验室通过更加全面的技术对 车联网核心控制系统 T- BOX（Telematics BOX）进行了安全分 析并成功破解； -精选财经经济类资料- -最新财经经济资料-感谢阅读- 16 中企通信私有云/混合云/云备 份解决方案，基于可靠的云计算基础设 施，不仅可令车联网企业大幅降低运营 成本及提升灵活性，同时令其享有企业 级的信息安全保护，提升保密性及可用 性； 中企通信 TrustCSI 系列托管 式安全解决方案，防御不断涌现的网络 威胁，可为车联网提供全面的网络安全 解决方案。 6.5 平台&产品 2016 年 11 月 24 日， SyScan360 亚太前瞻信息安全技术年会 上，率先推出 360 汽车卫士、 CANPICK 等多个汽车安全防护和检测 产品，基于安全大数据的 360 车联网安 全运营平台目前也已经投入运行。 6.6 计划&研究 通用、特斯拉、大众等多家 汽车厂商通过公开招募安全人员、成立 安全公司或者与安全机构合作； 美国司法部也在计划通过立 -精选财经经济类资料- -最新财经经济资料-感谢阅读- 17 法来推动