背景

隨著智能網聯汽車的發展，車輛的互聯性大幅提高，與之相伴的則是大大上升的汽車網絡安全風險。根據工信部車聯網動態監測情況顯示，2020年以來發現整車企業車聯網信息服務服務提供商等相關企業和平臺的惡意攻擊達到280余萬次，平臺的漏洞、通信的劫持、隱私泄露等風險十分嚴重，造成的危害更加嚴峻。威脅由車外進入車內、影響程度加大、網絡安全與功能安全要求矛盾等問題層出不窮。[1]

智能網聯汽車信息安全事件統計(來源：Upstream Security，2020年)

為保障智能網聯汽車的網絡安全，需要充分了解智能網絡汽車的典型攻擊場景，其可大體分為遠程入侵、短距離攻擊、接觸史攻擊三大類。遠程入侵場景中，攻擊者可通過直連車輛或經過云端轉發等方式惡意刷寫車輛關鍵固件、發送控車指令、竊取個人敏感信息；近距離攻擊場景中，攻擊者可通過WiFi、藍牙、NFC等通信方式，通過控車指令重放方式威脅用戶車輛財產安全、使用未授權設備與車輛建立連接影響車內用戶正常使用通信設備；接觸式攻擊場景中，攻擊者通過攻入IVI工程模式，竊取車輛數據、分析車輛電子電氣拓撲結構、捕獲控車報文、解析車輛DBC文件等。

智能網絡汽車典型攻擊場景（來源：《智能網聯汽車安全滲透白皮書(2020)》）

面對日益嚴峻的智能網聯汽車網絡安全問題，整車企業的安全意識逐步提升。而限于成本、技術成熟度等因素，整車企業在網絡安全測評環節基礎薄弱，對于車內部件、整車等方面的測試驗證能力不足，整車滲透目前還主要依賴于人工測試，滲透深度和水平缺乏可量化評估標準。

為整車企業更好地進行滲透測試，中國軟件評測中心智能網聯汽車測評工程技術中心在《智能網聯汽車安全滲透白皮書(2020)》中提出：在不損壞車輛、不拆解車輛、黑盒測試的前提下，給出用戶側安全滲透測試指標，主要包括車載信息交互安全、車內外通信安全、接口安全、APP安全等方面。

滲透測試指標（來源：《智能網聯汽車安全滲透白皮書(2020)》）

針對車內外通信安全，CAN/CAN FD總線作為當前汽車的主要車載通信總線，是攻擊者實施網絡攻擊的目標之一。因此，在系統設計時，應采取相應的防護措施，以降低車載CAN/CAN FD網絡被攻擊的風險。

對車載CAN/CAN FD網絡系統實施滲透測試，是一個常用的用于評價目標系統安全性的一種方法，可以從攻擊角度了解車輛是否存在隱性漏洞和安全風險，并可基于測試結果，進一步采取防護措施，以進一步提高系統的安全性能。對車載CAN/CAN FD總線實施滲透測試的工作內容可大致分為四類，其分別為：模糊攻擊測試、重放攻擊測試、DoS（Denial-of-Service）攻擊測試及UDS（Unified Diagnostic Services）診斷協議棧探測。以下將詳細介紹上述四類滲透測試工作。

滲透測試工作

【模糊攻擊測試】

對總線實施模糊攻擊是指通過軟件自動地生成一系列的無效、非預期或隨機的報文后，將所生成的報文注入到目標總線上，以使總線出現非預期行為的一種攻擊。模糊攻擊測試可在不同層面上實施。一是可對CAN/CAN FD原始報文進行模糊。在該層測試上，測試者可配置需要模糊的域，例如，CAN報文的仲裁域、控制域及數據域。二是可在系統網絡的信號層進行模糊。基于目標網絡的DBC文件（一種描述CAN網絡中通信數據信息的文件）可解析CAN報文中搭載的信號，從而實現在信號層面實施模糊。三是可在特定協議層面上實施模糊。例如，在車載CAN網絡中，常用UDS協議棧來實現車輛的診斷。因此，可以對UDS應用層協議（ISO14229-1）中的各項服務請求實施模糊。在上述三種模糊測試的層面上，均可按需選用不同的模糊策略，如隨機模糊、遍歷模糊、邊界值模糊等。通過模糊攻擊測試，可檢測目標系統在有無效的、非預期的或隨機的輸入時，系統是否會發生不可逆的損害，或是否會有不可接受的行為等情況。

【重放攻擊】

指惡意地將有效數據在目標網絡中進行重復地或延遲地播放，從而達到惡意目的的一種攻擊。重放時可按需采用1:1重放的方法，即每一個報文發送的時間間隔按照真實采集到的時間間隔發送。亦可采用快速重放方法，即以最快速率將輸入文件中的報文快速發送至總線上。通過該測試，可檢測系統是否有抵御重放攻擊的能力。另外，還可利用重放的手段對部分網絡信號實施逆向分析，從而找到目標信號。例如，測試者想要在網絡報文中找到某個用于控制某扇車窗的信號，則測試者可通過不斷地重放一段包含有控制車窗下降的報文記錄，并逐漸縮小重放的范圍，以最終找到搭載有控制該車窗升降信號的報文。

【DoS攻擊】

在計算機領域中，DoS攻擊（即拒絕服務攻擊）指通過臨時或無限期地干擾連接于網絡的服務，以達到使設備或網絡資源不可獲得的一種攻擊。在CAN/CAN FD網絡中，可利用CAN協議的仲裁機制，通過頻繁發送高優先級的報文來占滿總線資源，以達到使正常報文不可傳輸的目的。通過該測試，可檢測系統是否有抵御DoS攻擊的能力。

【UDS協議棧探測】

指通過一系列的診斷請求及收到的響應報文，以探測目標網絡或節點的UDS協議棧配置情況。該探測并不是一種攻擊，而是一種在實施攻擊前的信息收集手段。例如，可探測目標網絡中所包含的診斷標識符，探測某一個目標節點所支持的服務及子服務，探測執行某個特定服務的前提條件等。然后，可利用所獲得的信息，如目標節點診斷ID，內部數據ID，服務進入條件等，實施進一步的攻擊。

以上四類滲透測試工作均在CAN/CAN FD總線的報文通信層面實施，即通過向目標總線上注入測試報文，來實現上述的攻擊測試或探測。
?

為實現上述測試工作，可使用任意的車載CAN/CAN FD總線仿真測試工具，配以相關的測試腳本實現。上海控安針對上述測試需求，開發了用于實現上述功能的滲透測試工具，以幫助整車企業快速實施所需的滲透測試，發現目標系統潛在的相關安全漏洞，從而為后續的網絡系統安全設計及改進提供依據，最終保障目標系統的網絡安全。

滲透測試工具界面

編輯：fqj