背景

隨著智能網(wǎng)聯(lián)汽車的發(fā)展，車輛的互聯(lián)性大幅提高，與之相伴的則是大大上升的汽車網(wǎng)絡安全風險。根據(jù)工信部車聯(lián)網(wǎng)動態(tài)監(jiān)測情況顯示，2020年以來發(fā)現(xiàn)整車企業(yè)車聯(lián)網(wǎng)信息服務服務提供商等相關企業(yè)和平臺的惡意攻擊達到280余萬次，平臺的漏洞、通信的劫持、隱私泄露等風險十分嚴重，造成的危害更加嚴峻。威脅由車外進入車內(nèi)、影響程度加大、網(wǎng)絡安全與功能安全要求矛盾等問題層出不窮。[1]

智能網(wǎng)聯(lián)汽車信息安全事件統(tǒng)計(來源：Upstream Security，2020年)

為保障智能網(wǎng)聯(lián)汽車的網(wǎng)絡安全，需要充分了解智能網(wǎng)絡汽車的典型攻擊場景，其可大體分為遠程入侵、短距離攻擊、接觸史攻擊三大類。遠程入侵場景中，攻擊者可通過直連車輛或經(jīng)過云端轉(zhuǎn)發(fā)等方式惡意刷寫車輛關鍵固件、發(fā)送控車指令、竊取個人敏感信息；近距離攻擊場景中，攻擊者可通過WiFi、藍牙、NFC等通信方式，通過控車指令重放方式威脅用戶車輛財產(chǎn)安全、使用未授權(quán)設備與車輛建立連接影響車內(nèi)用戶正常使用通信設備；接觸式攻擊場景中，攻擊者通過攻入IVI工程模式，竊取車輛數(shù)據(jù)、分析車輛電子電氣拓撲結(jié)構(gòu)、捕獲控車報文、解析車輛DBC文件等。

智能網(wǎng)絡汽車典型攻擊場景（來源：《智能網(wǎng)聯(lián)汽車安全滲透白皮書(2020)》）

面對日益嚴峻的智能網(wǎng)聯(lián)汽車網(wǎng)絡安全問題，整車企業(yè)的安全意識逐步提升。而限于成本、技術成熟度等因素，整車企業(yè)在網(wǎng)絡安全測評環(huán)節(jié)基礎薄弱，對于車內(nèi)部件、整車等方面的測試驗證能力不足，整車滲透目前還主要依賴于人工測試，滲透深度和水平缺乏可量化評估標準。

為整車企業(yè)更好地進行滲透測試，中國軟件評測中心智能網(wǎng)聯(lián)汽車測評工程技術中心在《智能網(wǎng)聯(lián)汽車安全滲透白皮書(2020)》中提出：在不損壞車輛、不拆解車輛、黑盒測試的前提下，給出用戶側(cè)安全滲透測試指標，主要包括車載信息交互安全、車內(nèi)外通信安全、接口安全、APP安全等方面。

滲透測試指標（來源：《智能網(wǎng)聯(lián)汽車安全滲透白皮書(2020)》）

針對車內(nèi)外通信安全，CAN/CAN FD總線作為當前汽車的主要車載通信總線，是攻擊者實施網(wǎng)絡攻擊的目標之一。因此，在系統(tǒng)設計時，應采取相應的防護措施，以降低車載CAN/CAN FD網(wǎng)絡被攻擊的風險。

對車載CAN/CAN FD網(wǎng)絡系統(tǒng)實施滲透測試，是一個常用的用于評價目標系統(tǒng)安全性的一種方法，可以從攻擊角度了解車輛是否存在隱性漏洞和安全風險，并可基于測試結(jié)果，進一步采取防護措施，以進一步提高系統(tǒng)的安全性能。對車載CAN/CAN FD總線實施滲透測試的工作內(nèi)容可大致分為四類，其分別為：模糊攻擊測試、重放攻擊測試、DoS（Denial-of-Service）攻擊測試及UDS（Unified Diagnostic Services）診斷協(xié)議棧探測。以下將詳細介紹上述四類滲透測試工作。

滲透測試工作

【模糊攻擊測試】

對總線實施模糊攻擊是指通過軟件自動地生成一系列的無效、非預期或隨機的報文后，將所生成的報文注入到目標總線上，以使總線出現(xiàn)非預期行為的一種攻擊。模糊攻擊測試可在不同層面上實施。一是可對CAN/CAN FD原始報文進行模糊。在該層測試上，測試者可配置需要模糊的域，例如，CAN報文的仲裁域、控制域及數(shù)據(jù)域。二是可在系統(tǒng)網(wǎng)絡的信號層進行模糊?；谀繕司W(wǎng)絡的DBC文件（一種描述CAN網(wǎng)絡中通信數(shù)據(jù)信息的文件）可解析CAN報文中搭載的信號，從而實現(xiàn)在信號層面實施模糊。三是可在特定協(xié)議層面上實施模糊。例如，在車載CAN網(wǎng)絡中，常用UDS協(xié)議棧來實現(xiàn)車輛的診斷。因此，可以對UDS應用層協(xié)議（ISO14229-1）中的各項服務請求實施模糊。在上述三種模糊測試的層面上，均可按需選用不同的模糊策略，如隨機模糊、遍歷模糊、邊界值模糊等。通過模糊攻擊測試，可檢測目標系統(tǒng)在有無效的、非預期的或隨機的輸入時，系統(tǒng)是否會發(fā)生不可逆的損害，或是否會有不可接受的行為等情況。

【重放攻擊】

指惡意地將有效數(shù)據(jù)在目標網(wǎng)絡中進行重復地或延遲地播放，從而達到惡意目的的一種攻擊。重放時可按需采用1:1重放的方法，即每一個報文發(fā)送的時間間隔按照真實采集到的時間間隔發(fā)送。亦可采用快速重放方法，即以最快速率將輸入文件中的報文快速發(fā)送至總線上。通過該測試，可檢測系統(tǒng)是否有抵御重放攻擊的能力。另外，還可利用重放的手段對部分網(wǎng)絡信號實施逆向分析，從而找到目標信號。例如，測試者想要在網(wǎng)絡報文中找到某個用于控制某扇車窗的信號，則測試者可通過不斷地重放一段包含有控制車窗下降的報文記錄，并逐漸縮小重放的范圍，以最終找到搭載有控制該車窗升降信號的報文。

【DoS攻擊】

在計算機領域中，DoS攻擊（即拒絕服務攻擊）指通過臨時或無限期地干擾連接于網(wǎng)絡的服務，以達到使設備或網(wǎng)絡資源不可獲得的一種攻擊。在CAN/CAN FD網(wǎng)絡中，可利用CAN協(xié)議的仲裁機制，通過頻繁發(fā)送高優(yōu)先級的報文來占滿總線資源，以達到使正常報文不可傳輸?shù)哪康?。通過該測試，可檢測系統(tǒng)是否有抵御DoS攻擊的能力。

【UDS協(xié)議棧探測】

指通過一系列的診斷請求及收到的響應報文，以探測目標網(wǎng)絡或節(jié)點的UDS協(xié)議棧配置情況。該探測并不是一種攻擊，而是一種在實施攻擊前的信息收集手段。例如，可探測目標網(wǎng)絡中所包含的診斷標識符，探測某一個目標節(jié)點所支持的服務及子服務，探測執(zhí)行某個特定服務的前提條件等。然后，可利用所獲得的信息，如目標節(jié)點診斷ID，內(nèi)部數(shù)據(jù)ID，服務進入條件等，實施進一步的攻擊。

以上四類滲透測試工作均在CAN/CAN FD總線的報文通信層面實施，即通過向目標總線上注入測試報文，來實現(xiàn)上述的攻擊測試或探測。
?

為實現(xiàn)上述測試工作，可使用任意的車載CAN/CAN FD總線仿真測試工具，配以相關的測試腳本實現(xiàn)。上?？匕册槍ι鲜鰷y試需求，開發(fā)了用于實現(xiàn)上述功能的滲透測試工具，以幫助整車企業(yè)快速實施所需的滲透測試，發(fā)現(xiàn)目標系統(tǒng)潛在的相關安全漏洞，從而為后續(xù)的網(wǎng)絡系統(tǒng)安全設計及改進提供依據(jù)，最終保障目標系統(tǒng)的網(wǎng)絡安全。

滲透測試工具界面

編輯：fqj