編輯整理：談思實驗室

出品平臺：談思汽車

《汽車網(wǎng)絡(luò)安全左移實踐——基于信任構(gòu)建汽車安全的探索》

本文主要圍繞以下四大內(nèi)容展開：

汽車信息安全“七大”

談“信任”

“信任根”

基于信任的網(wǎng)絡(luò)安全左移實踐

一、 汽車信息安全“七大”

首先說一下整車信息安全的七大領(lǐng)域和資產(chǎn)的七大安全屬性。

基于TARA分析，通過多次實踐，形成整車信息安全的七大領(lǐng)域：

1. 數(shù)據(jù)與隱私安全

2. 業(yè)務(wù)與功能安全

3. 應(yīng)用與平臺安全

4. 環(huán)境安全

5. 通信安全

6. 后臺與移動安全

7. 生產(chǎn)與售后安全

這七個領(lǐng)域全部都要考慮風(fēng)險評估和安全措施，通常在做安全設(shè)計的咨詢工作時需要要從這七個方面考慮，尤其是需要進(jìn)行VTA認(rèn)證的車型，要對這七個方面的安全做充分的考慮。

我們在做TARA分析的時候，要識別資產(chǎn)，針對資產(chǎn)來做威脅分析與風(fēng)險評估。通常我們在考慮資產(chǎn)的安全屬性時，也會考慮7大安全屬性。很多人經(jīng)常提到的是機(jī)密性、完整性和可用性三個屬性，但為什么僅僅是CIA三個屬性還不夠，那是因為汽車的一些獨特性，還需要額外加四個。比如新鮮性，因為汽車是一個實時運行的系統(tǒng)，它的執(zhí)行器很多都是具備實時性的。舉個例子，現(xiàn)在的剎車和一個小時候后剎車完全是不一樣的，現(xiàn)在指令它不能在一小時后被別人來重放攻擊。要解決這個問題，就要確保指令的有效性，在時間上有效性，也就是這里說的新鮮性。至于新鮮性用什么技術(shù)手段來保證，是用新鮮度值還是用時間戳或者用挑戰(zhàn)值，這是下一個階段，進(jìn)行安全方案設(shè)計的時候要解決的問題。但是在威脅分析的時候，這個因素必須要考慮在里面。再說真實性，作為物聯(lián)網(wǎng)的設(shè)備來說，有的設(shè)備是容易被偽造的。如何防止被偽造的設(shè)備攻擊，那么就要驗證它的真實性，要給這個設(shè)備一個證書或者一個私鑰的身份。所以我們在做咨詢的時候，對于每一個資產(chǎn)要考慮七個安全屬性的分析。當(dāng)然不是所有的資產(chǎn)都包含這七個屬性，要根據(jù)資產(chǎn)的類型具體情況具體分析。

二、談“信任”

1、信任與安全的關(guān)系

系統(tǒng)安全工程是為了解決漏洞的一系列方法和規(guī)則，實際上本質(zhì)是提供必要的信任證明，以抵抗復(fù)雜的網(wǎng)絡(luò)攻擊。首先從原理上來看，要用技術(shù)來解決，用流程來保證，還要具備完整的信任鏈條。例如，零信任架構(gòu)，零信任是一個以資源保護(hù)為核心的網(wǎng)絡(luò)安全范式，核心是資源保護(hù)，這里有兩個前提。第一個是信任，信任從來不是隱式授權(quán)的，信任是可以傳遞的。A信任B，B信任C，A就可以信任C。通常叫信任鏈，但是中間如果有A信任B，B信任C，C不信任D，所以A是不能信任D的。第二個是持續(xù)評估，舉個例子，一個小時之前這個器件是安全的，不代表現(xiàn)在這個器件還是安全的，沒有被篡改，很多時候都跟時間關(guān)聯(lián)比較大，所以要做一個持續(xù)性評估。

2、通過信任構(gòu)建安全示例

安全啟動的目的主要是去驗證代碼的安全性，但如果要驗簽，驗簽完之后才能知道加密是可信的，然后固件、OS系統(tǒng)才能啟動。APP也要驗簽，確保APP沒有被別人篡改。如何得知驗簽是可信的，驗簽用的密鑰是否容易被別人篡改，是否容易被別人拿到，如何確保這個密鑰可信。使用的密碼學(xué)算法是否容易被別人攻擊（所以通常都選擇一些規(guī)范的密碼學(xué)算法）。

用戶登錄的目的是做身份的可信認(rèn)證，通常會通過可信的認(rèn)證因子進(jìn)行認(rèn)證，如驗證碼、口令、生物特征等。

安全診斷是車的零部件會做一些安全診斷，執(zhí)行器做診斷的時候，如何做身份的驗證，如何確保接入的診斷儀是合法的，包括執(zhí)行器是否是唯一標(biāo)識的，通常會使用27服務(wù)或29服務(wù)。

數(shù)據(jù)安全是全磁盤加密FDE,是可信的用戶身份+可信的密碼算法。

車載系統(tǒng)常用的防火墻，防火墻的基本工作原理是黑白分明的，嚴(yán)進(jìn)嚴(yán)出，但會給予一個假定，假定防火墻的引擎和規(guī)則配置是值得信任的，黑白名單規(guī)則會按照意愿生效。但是基于信任鏈的思想，需要為假設(shè)做出證明，證明引擎值得信任，做了任何一個假設(shè)，都要去證明它，這是一個復(fù)雜的系統(tǒng)性安全工程。

三、“信任根”

1、“信任根”的定義

信任根，從基本定義來看，信任根是平臺中的一個計算引擎+一段代碼+可能的數(shù)據(jù)，通常這個數(shù)據(jù)是一組密鑰，它提供基礎(chǔ)的安全服務(wù)，如機(jī)密性、完整性、可用性、標(biāo)識、真實性、授權(quán)性還有度量性。信任根還有個特點，它的代碼和數(shù)據(jù)的可信證明是由自身完成不依賴于其他實體的，就是它必須要自證它是安全可性的。

2、常見的“信任根”

常見的信任根有HSM、TEE、TPM等，通常HSM按照EVITA規(guī)范分為三種，F(xiàn)ull、Medium、Light三種功率，放到不同的位置上，什么地方應(yīng)該放什么。因為它是提供的安全的能力不一樣，可能有的地方，在Light上確保執(zhí)行器安全就足夠了。TPM有個比較強的能力，能做平臺的度量，平臺度量是度量的一個重要的特點，所以它會放一個度量的信任根在里面。TEE處于這兩者之間，它的安全性和數(shù)據(jù)處理的能力處于HSM和TPM之間。目前在很多車載設(shè)備里，至少需要包括其中一種類型，有的時候會做組合。

3、“信任根”與七大領(lǐng)域

談下信任根與七大領(lǐng)域的關(guān)系。第一個，數(shù)據(jù)與隱私安全，在做數(shù)據(jù)和隱私安全的時候，會考慮到音視頻，比如說音視頻的這種機(jī)密性要加密存儲，那么加密的密鑰能否會被別人盜走，如果盜走的話信息就沒有機(jī)密性可言了。還有例如哨兵模式中的視頻加密密鑰，這個密鑰是不允許車廠獲得的，因為哨兵模式所產(chǎn)生的視頻信息，它是不屬于車廠的，是屬于車主的。那么車廠必須要證明，要去拿邏輯來證明，車廠只能碰到它的密文，絕對碰不到它的明文，碰了明文就違反了個人隱私保護(hù)。

說到業(yè)務(wù)和功能安全，藍(lán)牙鑰匙等遠(yuǎn)程控車指令比較多，這時候會做MAC密鑰，這個密鑰放到哪，怎么存儲？

考慮應(yīng)用與平臺安全，會有一些關(guān)鍵業(yè)務(wù)代碼。比如說，在自動駕駛里有AI算法，它的模型是非常重要的，這樣關(guān)鍵業(yè)務(wù)代碼能防止被別人篡改。環(huán)境安全，是外部的一些設(shè)備，尤其是現(xiàn)在v2x如何確保外部環(huán)境實體的一些設(shè)備、身份、唯一性標(biāo)識及其完整性保護(hù)。

通信安全是車內(nèi)通信的真實性、完整性和新鮮性，例如SecOC驗簽。

后臺與移動安全，通過機(jī)密容器去確保環(huán)境的安全，這樣的話，這個機(jī)密容器生成的時候，它本身的安全是保護(hù)的，然后生產(chǎn)過之后，它屬于售后的問題，在售后的時候，怎么確保售后不會出現(xiàn)安全風(fēng)險，這些問題都會在車型準(zhǔn)入的審核中被提出并審核。如果這個系統(tǒng)不能在一開始做整車系統(tǒng)的概念設(shè)計階段就把這些安全需求系統(tǒng)的提出來的話，后面付出的代價就比較大。

四、基于信任的網(wǎng)絡(luò)安全左移實踐

1、豆莢基于信任的實踐-OTA安全

把TEE放到TBOX上去，方案目標(biāo)是做通信安全，做OTA安全。通常為了信道的安全，系統(tǒng)都會使用TLS協(xié)議，數(shù)據(jù)是加密的。但是安全有個特點是木桶原理，信道是安全的，但在進(jìn)信道之前呢？在信道往外傳的時候加密數(shù)據(jù)，在加密的環(huán)境里是否能拿到這個密鑰，不從信道拿，從加密的環(huán)境拿，這樣的話，這個密鑰的安全性就需要包括用密鑰對中心的數(shù)據(jù)做加密的環(huán)境是否安全，所以我們在TEE系統(tǒng)里面把密鑰存在里面去，然后把TLS協(xié)議進(jìn)行分解，跟加密相關(guān)的業(yè)務(wù)邏輯，這叫關(guān)鍵代碼，把這個關(guān)鍵代碼給放到TEE系統(tǒng)里，因為TEE系統(tǒng)能保護(hù)這種應(yīng)用程序的執(zhí)行。

OTA業(yè)務(wù)為了保證升級包的機(jī)密性，通常會進(jìn)行加密。OTA密文下載下來之后要在TBOX上進(jìn)行解密，解密后是明文，TBOX是在車?yán)锏?，容易被第三方touch到。這樣的話，如何確保下載下來的明文不會被別人篡改。通過安全啟動去做驗簽，在OTA升級完成之后，不能啟動篡改，但是它本身下載的時候，如何防止別人看到原文。利用可信執(zhí)行環(huán)境TEE，把它的密文，解密動作放到TEE里來做，做完之后放到芯片指定的一個區(qū)域里面，用芯片的加密器件來處理，最后引導(dǎo)的時候，通過芯片的加密器件再把它解開，然后再傳通，在Linux運行之前，Linux系統(tǒng)是看不到原文的。有個重要的環(huán)節(jié)是這里面很多證書密鑰系統(tǒng)都是在生產(chǎn)線上完成的，也就是說在生產(chǎn)線上，如果不把這種證書和它的設(shè)備、私鑰生成的話，后面可能就沒有更安全的通道可以加進(jìn)去。通常情況下會默認(rèn)工廠環(huán)境是可信的，這時候我們認(rèn)為后加的流程是不可信的。在工廠環(huán)境中，通常還要再加一個動作，就是做一個安全產(chǎn)線，即密鑰不能以明文形式進(jìn)入，必須是對密鑰進(jìn)行加密的密文進(jìn)入。進(jìn)入之后，在生產(chǎn)線上通過程序把加密的密鑰解開，再存到安全區(qū)域。

安全是木桶原理，木桶的短處永遠(yuǎn)是最弱的地方。我們在做TARA和安全方案設(shè)計時，要把流程分析清楚，因此網(wǎng)絡(luò)安全和功能安全有時候是很難區(qū)分的，如果我們不了解執(zhí)行器的工作原理，就找不到信息源。所以說網(wǎng)絡(luò)安全跟功能安全是要互相配合的，互相合作的。

2、豆莢基于信任的實踐-ZT-V

現(xiàn)在汽車的SOA架構(gòu)有什么好處，又存在哪些隱患呢。因為SOA的開放性，SOA最主要目的是資源和服務(wù)共享，讓汽車具備更多的智能服務(wù)。但它的問題是，一旦開放的話，肯定會帶來很多風(fēng)險，所以我們要結(jié)合零信任來考慮安全的SOA架構(gòu)。零信任基本核心是3+1，第一個是身份認(rèn)證，第二是隔離，第三個訪問控制，再加上一個持續(xù)的審計、持續(xù)的度量，再把可信的思想即信任根和可信度量加里面，來做SOA項目的安全防護(hù)。

3、豆莢基于信任的實踐-TEE

可信執(zhí)行環(huán)境TEE在汽車領(lǐng)域使用的場景廣泛，也能夠很好地解決問題。第一個是密鑰，和HSM、TPM有些類似的地方，需要根據(jù)具體的情況，來分析什么時候用HSM，什么時候用TEE，什么時候用TEE和HSM結(jié)合。

第二個是敏感代碼的保護(hù)，TEE提供環(huán)境，運算能力更強，很多時候HSM做不到一些運算但它能做。例如安全UI，目前可能用的比較少，在一些特殊的環(huán)境可能會用，因為UI會被別人仿造，甚至UI上的動作也會被模仿，如何防止UI被劫持也是個問題。

再來看資源隔離，不管是HSM、TPM，還是TEE，都是具備隔離保護(hù)能力的。在CCC車鑰匙的規(guī)范里面就有明確指示，哪段邏輯要放哪部分的數(shù)據(jù)，那些隱私數(shù)據(jù)、機(jī)密數(shù)據(jù)是需要放到TEE環(huán)境的。

內(nèi)容保護(hù)方面，視頻流最后是一定要解碼的，解碼之后，這個解完的碼通常都放到Rich里面，這樣的話就需要考慮Rich是否安全。TEE和TPM比較相似，有一個單獨的Rich區(qū)域，它是安全的，它是不能被Android、Opreating系統(tǒng)所防的。安全支付比如說現(xiàn)在我們用的手機(jī)上所有的支付手段，不管是微信支付，還是支付寶支付，它的TAs(Trusted Applications)生成隱式的串號都是在TEE執(zhí)行里面的。

4、基于信任的網(wǎng)絡(luò)安全左移實踐

在做咨詢的時候，在后期遇到最大的問題是如何去支持客戶，支持主機(jī)廠，零部件供應(yīng)商去解決準(zhǔn)入認(rèn)證評審中的問題。很多時候我們都要從前面開始考慮，如果把問題都放在最后的測試階段，問題解決的難度就變大了，所以要提前把這些安全的問題識別出來，不光要把安全的問題識別出來，還要把方案提出來。從咨詢工作中總結(jié)得知，這些安全目標(biāo)要在咨詢前提出來，比如在做通信的時候，基本上機(jī)密性、身份真實性、完整性、新鮮性都要提前考慮，信道可用性也要考慮。固件，固件的機(jī)密性、完整性、可用性、新鮮性也是要考慮的，ECU的可用性、真實性、抗抵賴性、訪問控制，包括數(shù)據(jù)的機(jī)密性、完整性、可用性等等。

針對以上安全目標(biāo)，也有控制手段。

不光要技術(shù)手段，而且也要靠規(guī)則來約束一些安全配置和安全存儲設(shè)定，但這些內(nèi)容過多，所以需要建立規(guī)則，即做一些規(guī)范把曾經(jīng)遇到過的問題梳理出來，如前面所提到的七大安全屬性。通常資產(chǎn)分為四類，數(shù)據(jù)流、實體類，實體類分內(nèi)部實體和外部實體，數(shù)據(jù)存儲。數(shù)據(jù)流要考慮機(jī)密性、完整性、可用性和新鮮性，但是在分析外部實體時候，要考慮真實性和不可抵賴性。雖然定了七個安全屬性，但對于不同的資產(chǎn)，要求是不一樣的。需要慢慢整理出來，同時在發(fā)現(xiàn)問題的時候一定要提出解決對策。

例如機(jī)密性問題，通常會怎么解決，例如加密、混淆、隱藏、訪問控制、隔離、脫敏，但是具體用哪個，就得看這個功能，所以為什么說網(wǎng)絡(luò)安全和功能安全有時候結(jié)合是比較緊密的。

對于完整性的問題，可以用訪問控制、消息認(rèn)證碼、公鑰簽名、一次性編程，還是要看硬件，如果真的是硬件的話，就用一次性編程。對于一些軟件，尤其是應(yīng)用軟件，用訪問控制。

在做分析的過程中，僅僅用這些經(jīng)驗和最佳實踐做指導(dǎo)，有時候用起來也不是特別方便。所以按照IDS思想做工具，把它變成工作時內(nèi)部信任的工具，這樣的話就有一個知識庫。把最佳實踐和實際的案例做對比，做映射，放到知識庫里。工具的最主要目的是提高設(shè)計效率，像早期做TARA分析的時候，一個TBOX大概有160個資產(chǎn)，都要資產(chǎn)分析，尤其是攻擊路徑的時候，我們提供一個規(guī)則庫，這樣做很好但特別耗時間，而且最主要的是有些地方是重復(fù)的，這樣如何提高效率，所以需要用到一些工具。做TARA分析，并不是為了分析而分析，最終目的是幫助客戶做合規(guī)，提高整車安全的安全。R155包括國內(nèi)即將推出來的《GB汽車整車信息安全技術(shù)要求》 ，還有陸續(xù)推出的數(shù)據(jù)安全規(guī)范，把這些合規(guī)的要求也要加到這里面去，通過這幾年形成的規(guī)范和最佳實踐，形成工具，這樣就能真正提高效率，提供更好的服務(wù)。

此文為作者原創(chuàng)，未經(jīng)允許不得轉(zhuǎn)載

審核編輯黃宇