探究汽車內(nèi)電子元件的弱點(diǎn)是件風(fēng)險(xiǎn)很大的任務(wù)，一方面，汽車產(chǎn)業(yè)到目前為止并沒有真正經(jīng)歷過因?yàn)轳斂凸舳鴮?dǎo)致的悲劇，談起這個(gè)似乎有“制造恐慌”之嫌；另一方面，汽車安全對這個(gè)產(chǎn)業(yè)界的大多數(shù)人──包括芯片供應(yīng)商、模組開發(fā)商，以及當(dāng)然，汽車廠商──來說，是相對仍新的議題。

　　汽車的可靠性在供應(yīng)商們心目中一直都很高，因此其安全性也不被注意了好一段時(shí)間；而幾十年來，汽車與外界的連結(jié)性并沒有像現(xiàn)在如此之高。但在過去幾年，汽車產(chǎn)業(yè)的心態(tài)開始出現(xiàn)變化；如恩智浦半導(dǎo)體（NXP）汽車系統(tǒng)與應(yīng)用部門工程主管Dirk Besenbruch所言，一篇在2011年出爐的《汽車攻擊面的綜合實(shí)驗(yàn)性分析》報(bào)告成了轉(zhuǎn)捩點(diǎn)。【參考：你的汽車有可能被駭客攻擊嗎？】

　　需要澄清的是，產(chǎn)業(yè)界并沒有忽略連網(wǎng)汽車可能面臨的面臨風(fēng)險(xiǎn)，他們也沒有停滯不前。在飛思卡爾半導(dǎo)體（Freescale）負(fù)責(zé)32位車用SoC開發(fā)的 Richard Soja表示，包括BMW與Audi在內(nèi)的數(shù)家汽車廠商，合作開發(fā)了一個(gè)名為 SHE （Secure Hardware Extension，安全硬件擴(kuò)充）的規(guī)格，旨在為汽車內(nèi)不同模組間的安全通訊提供協(xié)議。

　　此外Soja指出，也有些廠商正在合作一項(xiàng)由歐盟贊助的計(jì)畫“EVITA （E-Safety Vehicle Intrusion Protected Applications）”，目標(biāo)是擬定一套準(zhǔn)則，讓制造商能因應(yīng)各項(xiàng)安全功能；該計(jì)畫已經(jīng)在2011年底結(jié)案。不過，有鑑于汽車產(chǎn)業(yè)較長的產(chǎn)品開發(fā)時(shí)程（約五年），要看到配備全新安全功能的車輛上路，可能還需要等上一段時(shí)間。

　　無論如何，汽車安全對半導(dǎo)體廠商來說是一個(gè)新商機(jī)，讓他們得以展現(xiàn)安全技術(shù)方面的長才，為汽車添加安全元素，甚至說服汽車制造商以全新開發(fā)的安全SoC取代現(xiàn)有的車用微控制器（MCU）。

　　如恩智浦很早就意識(shí)到，汽車安全能獲益于該公司開發(fā)“安全元素”──已經(jīng)成功佈署于上百萬張智慧卡中──的經(jīng)驗(yàn)與專長；Besenbruch表示，恩智浦的汽車安全解決方案，利用了經(jīng)過“現(xiàn)場實(shí)證”的智慧卡技術(shù)，并提供獨(dú)立的安全性元素。

　　恩智浦的方案與部分競爭對手，例如英飛凌（Infineon）的策略顯然不同，英飛凌正在重新設(shè)計(jì)整個(gè)MCU架構(gòu)，以打造嵌入式安全模組；雖然嵌入式安全模組對高階車款來說會(huì)是不錯(cuò)的方案，不過Besenbruch認(rèn)為，改變整個(gè)微控制器架構(gòu)意味著被某種特定的MCU鎖定。

　　而恩智浦則是標(biāo)榜其獨(dú)立安全性元素解決方案的彈性；考量到汽車產(chǎn)業(yè)的產(chǎn)品週期以及對可靠性的需求，恩智浦認(rèn)為其彈性解決方案能為汽車廠商帶來更多選擇，在更短的時(shí)間內(nèi)針對特定駭客攻擊模式著手推出保護(hù)方法。

　　但現(xiàn)實(shí)狀況是，當(dāng)汽車可能擁有許多弱點(diǎn)，可能必須針對每個(gè)部位提供不同等級(jí)的安全性技術(shù)等級(jí)。Besenbruch表示，提升安全性以防止人為操控車內(nèi)網(wǎng)路是很重要的，可是：“你必須謹(jǐn)慎觀察你所需要保護(hù)的東西。”他解釋，強(qiáng)化安全性并不該影響到汽車性能，你不會(huì)希望為了汽車系統(tǒng)需要經(jīng)過驗(yàn)證，而使得煞車時(shí)間延遲。

　　Besenbruch指出，正確的解決方案應(yīng)該要與現(xiàn)有的架構(gòu)和系統(tǒng)相容：“目前的硬件平臺(tái)與軟件元素需要的修改應(yīng)該盡可能最少。”在此前提下，恩智浦的提案是藉由“整合一個(gè)僅允許經(jīng)授權(quán)寫入/讀取的安全存儲(chǔ)器區(qū)域”來保護(hù)“現(xiàn)有與未來的系統(tǒng)”。

　　恩智浦相信，將一個(gè)稱為“信任錨（trust anchor）”的可信賴元素整合至安全性相關(guān)電子控制單元（ECU），能實(shí)現(xiàn)資料的保護(hù)。所謂的“信任錨”，也就是安全微控制器，并非是新的概念，已經(jīng)應(yīng)用在信用卡與手機(jī)的SIM卡中，恩智浦正是該領(lǐng)域的技術(shù)供應(yīng)商之一。

　　ECU架構(gòu)內(nèi)的安全元素 （NXP提供）

　　今日的安全性處理器包含了安全存儲(chǔ)器區(qū)塊、加密協(xié)同處理器，能管理認(rèn)證、私人金鑰（private keys），并產(chǎn)生公共金鑰（public keys）。透過將該種安全性處理器（例如以恩智浦A700x產(chǎn)品系列為基礎(chǔ)──已經(jīng)出現(xiàn)在其他需求安全性的工業(yè)應(yīng)用中）添加至ECU，結(jié)合現(xiàn)有的車用微控制器，恩智浦可提供的安全性相關(guān)功能包括：

　　˙安全閘道器防火墻，相關(guān)通訊必須經(jīng)過授權(quán)才能通過相關(guān)的子匯流排；

　　˙安全性儲(chǔ)存，以避免錯(cuò)誤的日志或是里程數(shù)；需要通過授權(quán)才能寫入；

　　˙安全開機(jī)（boot），這可以確保個(gè)別ECU的軟件未被攻擊；

　　˙更換電子零件時(shí)的認(rèn)證，只有通過授權(quán)的ECU能被導(dǎo)入車用網(wǎng)路；

　　˙經(jīng)由受保護(hù)連結(jié)注冊外部服務(wù)，此安全性元素能提供VPN與HTTPS資料連結(jié)。

　　當(dāng)然，為了決定是那一個(gè)ECU需要配備“信任錨”，得先定義有哪些汽車功能與應(yīng)用程式需要確保不受駭客攻擊。根據(jù)Besenbruch表示，汽車可能遭遇的駭客攻擊，包括里程數(shù)被竄改、未經(jīng)授權(quán)的定位，或是因?yàn)镸P3檔案內(nèi)的惡意程式導(dǎo)致車用電話透過藍(lán)牙被竊聽，以及透過操控ECU軟件使得芯片設(shè)定被更動(dòng)。

　　根據(jù)那些容易受到攻擊之功能在車內(nèi)網(wǎng)路上的位置，Besenbruch表示，安全元素應(yīng)該在本地提供保護(hù)功能：“透過儲(chǔ)存、呼叫或是授權(quán)ECU主微控制器所使用的資料，或是保護(hù)與其他ECU的連結(jié)。”此外：“能避免軟件受到人為操控的安全開機(jī)演算法，應(yīng)該所有案例都需要。”

　　Besenbruch 特別指出，還有另一個(gè)與汽車安全有關(guān)的角度是不應(yīng)該被忽略的，那就是供應(yīng)鏈可能產(chǎn)生的弱點(diǎn)。在模組制造過程中保護(hù)所安裝ECU金鑰與機(jī)密至關(guān)重要，汽車制造商必須指定那些伙伴負(fù)責(zé)安裝安全元素、誰負(fù)責(zé)安裝ECU內(nèi)的金鑰，以及在供應(yīng)鏈中的每個(gè)階段任務(wù)分配是如何被管理。

　　在這方面，恩智浦表示，該公司在金融應(yīng)用領(lǐng)域與銀行、信用卡供應(yīng)鏈的工作程序經(jīng)驗(yàn)，也能應(yīng)用于汽車制造領(lǐng)域。

編譯：Judith Cheng

作者：Junko Yoshida

?