安全威脅及減輕措施

　　對車輛造成的安全威脅可以分成叁大類：局部實體；遠端；內部電子。當這些威脅疊加在一起時，常常會造成車輛損壞。

　　局部實體性威脅

　　透過實體性地接取傳動系統CAN網路并破壞通訊就是局部實體性威脅的一個例子。這種入侵式攻擊很容易破壞汽車的關鍵功能。然而，像心存不滿的技修工等局部攻擊者只可能損害一輛車，因此不足以引起設計安全團隊的注意。另外，汽車的復雜電子系統很難真正防範實體攻擊。因此我們對這類威脅通常只能祈禱了。

　　然而，這裡有個例外：在一個或多個ECU內部的某處地方儲存著私有密鑰，用于製作受保護的通訊通道，并提供局部數據保護服務。下面這張圖顯示了下一代汽車中使用的長距離無線連接的一些例子。

　　圖2：下一代汽車中使用的長距離無線連接 。

　　汽車演算法、多媒體內容和保密資料都可能需要數據保護。私鑰儲存必須能夠抵擋住凌厲的入侵和非入侵式實體性攻擊，因為即使僅丟失一‘把’密鑰也可能讓攻擊者設立起到遠端基礎設備的連接，繼而在那裡造成廣泛破壞。

　　OEM廠商必須能夠在從──密匙產生和將其嵌入到ECU、到ECU交貨并裝配進汽車、再到汽車最后在大街上到處跑──這一整個生命期內確保密鑰的安全。Green Hills Software、Mocana和Certicom 等專業嵌入式加密公司可以透過在這個領域中的指導和監督向OEM廠商及其供應商提供幫助。

　　遠端威脅

　　以下是典型的攻擊方式：駭客透過偵測汽車的長距離無線介面尋找網路安全協議、網路服務和應用程式中的軟肋，以找到進入內部各電子系統的方式。與數據中心不同，汽車一般不可能擁有完整的IDS、IPS、防火墻和UTM。而近來產生的入侵新力、花旗集團、亞馬遜、谷歌和RSA的事件充分顯示，在老練的攻擊者面前，這些防衛機制形同虛設。

　　2010年，當Stuxnet（超級工廠病毒）肆虐時，美國國防部所屬的美國網戰司令部（CYBERCOM）司令Keith Alexander將軍建議對美國的重要基礎設備建構自身的隔離安全網路，與網際網路分開來。雖然這種做法似乎過于苛刻，但實際就是我們需要的思路。為了駕駛安全，汽車的關鍵系統必須與非關鍵的ECU和網路完全隔離開來。

　　內部電子威脅

　　雖然實體網路隔離是理想方案，但接觸點不可避免。例如，在某些市場，在汽車行駛中，汽車導航系統必須關掉，這意味著在安全標準有很大不同的系統間的通訊很感應。另外，業界出現了強烈的設計整合趨勢──使用更強大的多核心微處理器來實現各不同的系統，因而將許多ECU變成虛擬ECU──這將增加源于軟體的威脅風險，如由作業系統缺陷、對密碼系統的旁路攻擊以及拒絕服務等導致的權限擴大（privilege escalation）。

　　因此，為了安全，汽車的內部電子架構必須重新設計。關鍵和非關鍵的系統與網路之間的介面必須在最高管理層面進行論證和窮盡分析，并按諸如ISO 15408評估安保等級（EAL） 6+等最高等級的安保標準進行驗證，以確認沒有缺陷。

　　高可靠性軟體/安全工程實施塬則（PHASE）協議支援大幅地簡化復雜性、軟體組件架構、最低權限塬則、安全軟體和系統開發過程，OEM廠商必須學習和採用獨立的專家安全驗證，并在其整個供應鏈中貫徹執行。

　　本文小結

　　汽車製造商和一級供應商在設計目前上路的汽車時可能還沒有下大力氣考慮安全性要求，但很明顯情況在產生變化。製造商在車載電子設備與網路的設計與架構階段應盡早與嵌入式安全專業公司展開緊密合作，并且必須提高以安全為導向的工程技術與軟體安全保障水準。最后，汽車產業迫切需要一個獨立的標準組織來為車載電子設備定義和執行系統級的安全認證計劃。