互 联 生 活 汽 车 物 联 网 安 全 打 击 最 常 见 的 攻 击 模 式
全 球 物 联 网 应 用 呈 现 规 模 化 发 展 态 势, 物 联 网 接 入 设 备 数 量 快 速 增 长, 数 据 内 容 更 加 丰 富 和 精 准, 物 联 网 网 络 安 全 和 信 息 保 护 面 临 严 峻 挑 战 车 联 网 是 物 联 网 中 最 具 发 展 潜 力 的 重 要 领 域 之 一, 由 于 车 联 网 信 息 安 全 可 能 转 化 为 物 理 伤 害 和 人 身 伤 害, 其 应 用 安 全 和 隐 私 保 护 问 题 得 到 产 业 界 高 度 关 注 GSMA 提 出 的 汽 车 物 联 网 安 全 报 告 对 车 联 网 应 用 面 临 的 重 点 安 全 问 题 进 行 了 分 析, 契 合 产 业 发 展 需 要 和 技 术 演 进 趋 势, 对 促 进 车 联 网 重 点 安 全 技 术 突 破, 推 动 车 联 网 应 用 规 模 化 发 展 具 有 重 要 意 义 汤 立 波 中 国 信 息 通 信 研 究 院 汤 立 波 博 士 车 联 网 项 目 技 术 负 责 人 业 务 资 源 与 物 联 网 研 究 部 副 主 任 中 国 信 息 通 信 研 究 院 GSMA 汽 车 物 联 网 安 全
了 解 最 新 的 GSMA 互 联 生 活 新 闻 : 请 访 问 我 们 的 网 站 :www.gsma.com/connectedliving 订 阅 我 们 的 电 子 报 :http://www.gsma.com/connectedliving/sign-up-for-newsletter/ 关 注 我 们 的 LinkedIn:http://gsma.at/LinkedInConnectedLiving
汽 车 物 联 网 安 全 打 击 最 常 见 的 攻 击 模 式 不 断 演 进 的 攻 击 者 过 去 几 十 年 间, 信 息 安 全 领 域 涌 现 出 一 种 模 式 : 攻 击 者 处 于 上 风, 而 且 获 胜 速 度 越 来 越 快 如 今, 市 面 上 用 于 计 算 机 系 统 入 侵 的 工 具 信 息 和 技 术 空 前 增 多 而 同 时, 因 需 要 投 入 大 量 的 精 力 弹 性 硬 件 架 构 以 及 大 批 技 术 精 湛 的 工 程 师, 计 算 机 系 统 的 防 护 工 作 成 效 总 是 不 尽 如 人 意 5 年 前 在 拉 斯 维 加 斯 召 开 的 黑 客 简 报 大 会 上,Lab Mouse Security( 鼠 标 安 全 实 验 室 ) 的 Don A. Bailey 首 次 演 示 了 如 何 远 程 遥 控 入 侵 汽 车 系 统 如 今,DEF CON 大 会 ( 世 界 上 最 大 的 黑 客 大 会 之 一 ) 成 立 了 一 支 汽 车 黑 客 研 究 小 组, 专 门 提 供 硬 件 工 具 免 费 软 件 技 术 以 及 压 缩 技 术, 用 于 绕 开 复 杂 的 安 全 控 制 系 统 随 着 人 们 对 入 侵 行 为 的 兴 趣 与 日 俱 增, 并 非 每 个 人 都 能 遵 守 专 业 信 息 安 全 研 究 员 制 定 的 道 德 标 准 某 些 人 会 选 择 越 过 禁 区 一 旦 发 现 薄 弱 环 节, 不 法 之 徒 便 会 聚 拢, 夺 取 控 制 权 用 于 他 们 自 身 的 目 的 GSMA 汽 车 物 联 网 安 全 P.1
某 些 攻 击 者 开 始 使 用 一 种 全 新 的 恶 意 软 件 - " 勒 索 软 件 ", 禁 用 关 键 系 统, 要 求 受 害 人 支 付 费 用 大 多 数 这 类 攻 击 行 为 会 导 致 严 重 的 后 果 例 如,2015 年 12 月, 乌 克 兰 某 小 区 供 电 设 备 被 安 装 了 某 种 恶 意 软 件, 继 而 导 致 为 期 三 周 的 停 电 事 故 2007 年 起, 这 款 恶 意 软 件 便 开 始 活 跃 于 网 络 系 统, 近 期 经 过 更 新 后, 开 始 用 于 破 坏 控 制 系 统 和 工 业 控 制 系 统 中 的 硬 件 这 是 世 界 上 第 一 例 由 黑 客 引 起 的 停 电 事 故 随 着 物 联 网 (lot) 的 发 展, 工 业 系 统 之 间 的 联 系 越 来 越 密 切, 发 生 这 类 攻 击 的 概 率 大 大 增 加 工 程 师 和 高 管 需 要 考 虑 的 是 攻 击 者 何 时 会 攻 击 物 联 网 (lot) 解 决 方 案, 而 不 是 考 虑 他 们 是 否 会 发 起 攻 击 有 效 防 御 此 类 攻 击 以 及 确 保 总 体 技 术 可 恢 复 的 唯 一 方 法 是 在 解 决 方 案 开 发 伊 始, 就 绷 紧 安 全 神 经 攻 击 模 式 攻 击 者 倾 向 于 综 合 使 用 多 种 方 法 攻 击 物 联 网 (IoT) 解 决 方 案, 这 些 方 法 大 多 针 对 构 成 物 联 网 (lot) 的 行 业 和 技 术 物 联 网 本 质 上 是 云 网 络 持 久 性 技 术 和 嵌 入 式 技 术 的 组 合 应 用, 令 计 算 机 系 统 能 够 进 行 物 理 连 接, 以 便 提 供 创 新 服 务 也 就 是 说, 物 联 网 (lot) 利 用 现 有 技 术, 实 现 交 互 性 和 自 动 化 因 此, 攻 击 者 可 利 用 明 确 的 方 法 和 现 有 工 具, 发 现 物 联 网 (IoT) 解 决 方 案 中 的 漏 洞 图 一 展 示 了 汽 车 物 联 网 解 决 方 案 中 可 能 包 含 的 元 件 P.2 GSMA 汽 车 物 联 网 安 全
图 1 - 常 见 的 汽 车 物 联 网 元 件 及 其 功 能 现 代 汽 车 物 联 网 功 能 现 代 汽 车 远 距 离 通 信 系 统 ; 功 能 : 收 集 数 据 娱 乐 以 及 查 看 诊 断 系 统 中 央 计 算 机 系 统 ; 功 能 : 提 供 实 时 决 策 指 导 传 感 器 ; 功 能 : 帮 助 司 机 了 解 安 全 的 路 况 信 息 无 线 通 讯 系 统 ; 功 能 : 警 示 行 人, 播 报 安 全 关 键 指 标 和 警 报 GSMA 汽 车 物 联 网 安 全 P.3
攻 击 物 联 网 技 术 的 常 用 策 略 包 括 : 利 用 对 等 实 体 认 证 中 的 薄 弱 环 节 篡 改 实 用 加 密 终 端 完 整 性 中 的 缺 口 未 对 关 键 和 非 关 键 应 用 程 序 加 以 区 分 软 件 应 用 程 序 中 的 缺 陷 业 务 逻 辑 薄 弱 环 节 每 个 有 经 验 的 攻 击 者 都 知 道 物 理 设 备 是 所 有 通 信 网 络 中 最 薄 弱 的 环 节 由 于 物 理 设 备 安 全 性 极 具 挑 战 性, 所 有 利 用 网 络 通 讯 或 物 理 端 点 中 的 薄 弱 环 节 是 最 有 效 的 方 法 虽 然 可 以 敦 促 出 色 的 工 程 师 维 护 核 心 远 距 离 通 信 系 统, 但 由 于 成 本 高 昂 技 术 复 杂, 维 护 汽 车 计 算 机 系 统 中 的 传 感 器 或 电 子 控 制 单 元 (ECU) 端 点 安 全 是 一 个 巨 大 的 挑 战 性 图 2 显 示 了 几 种 攻 击 汽 车 物 联 网 解 决 方 案 的 方 式 P.4 GSMA 汽 车 物 联 网 安 全
图 2 几 种 常 见 的 汽 车 系 统 攻 击 模 式 攻 击 汽 车 物 联 网 功 能 的 几 种 模 式 模 拟 远 程 信 息 后 台 服 务 操 纵 固 件 升 级 利 用 信 息 安 全 漏 洞 以 及 利 用 第 三 方 应 用 程 序 越 狱 利 用 本 地 或 远 程 CANbus 工 具 控 制 ECU 决 策 制 定 过 程 通 过 标 准 无 线 协 议 的 弱 点 执 行 远 程 代 码 或 假 冒 传 感 器 数 据 通 过 滥 用 安 全 证 书 或 密 钥 体 系 控 制 关 键 通 讯 渠 道 GSMA 汽 车 物 联 网 安 全 P.5
高 性 价 比 的 解 决 方 案 以 上 所 述 问 题 并 非 系 统 性 问 题, 也 并 非 无 法 解 决 事 实 上, 有 许 多 防 止 攻 击 物 联 网 解 决 方 案 的 有 效 方 法 由 于 管 理 安 全 界 面 多 通 过 产 品 或 服 务 架 构 实 现, 我 们 可 以 通 过 以 下 四 种 方 式 保 护 终 端 设 备 的 管 理 界 面 使 用 可 信 计 算 基 搭 建 网 络 和 应 用 程 序 安 全 体 系 确 保 所 有 网 络 通 讯 保 持 机 密 限 制 应 用 程 序 的 运 行 执 行 防 干 扰 措 施 P.6 GSMA 汽 车 物 联 网 安 全
1. 使 用 可 信 计 算 基 可 信 计 算 基 (TCB) 是 所 有 安 全 策 略 程 序 和 技 术 的 集 合, 加 强 了 重 要 加 密 应 用 程 序 的 使 用 和 安 全 性 它 是 定 义 平 台 可 信 性 的 基 础 如 果 将 可 信 计 算 基 (TCB) 应 用 于 核 心 产 品, 那 么 该 产 品 将 在 这 一 领 域 大 获 成 功 可 信 计 算 基 (TCB) 的 功 能 : 减 少 甚 至 消 除 硬 件 拷 贝 或 诈 骗 所 带 来 的 潜 在 风 险 在 服 务 器 内 部 强 制 使 用 可 信 的 组 成 部 分 提 高 现 场 或 远 程 更 新 应 用 程 序 的 成 本 效 益 增 强 服 务 器 不 同 组 成 部 分 的 互 操 作 性 和 可 信 性 延 长 产 品 的 使 用 寿 命 GSMA 物 联 网 安 全 指 南 可 提 供 有 关 可 信 计 算 基 的 更 多 信 息, 下 载 地 址 为 :http://www.gsma.com/ connectedliving/iot-security-guidelines GSMA 汽 车 物 联 网 安 全 P.7
2. 安 全 网 络 通 讯 物 联 网 安 全 的 第 二 个 重 要 因 素 是 网 络 通 讯 网 络 内 部 的 所 有 组 成 部 分 均 须 能 互 相 验 证 并 在 适 用 时 秘 密 传 播 数 据 这 些 组 成 部 分 沟 通 时, 其 完 整 性 均 须 经 过 验 证, 以 确 保 数 据 不 会 遭 受 截 取 更 改 或 假 冒 如 没 有 了 可 信 计 算 基 (TCB), 确 保 网 络 通 讯 的 安 全 将 面 临 很 多 问 题, 并 将 导 致 生 产 环 境 产 生 意 料 之 外 的 运 转 情 况 例 如, 许 多 新 物 联 网 产 品 利 用 个 人 局 域 网 络 (PAN) 的 通 讯 技 术, 如 低 能 耗 蓝 牙 技 术 (BLE) 无 线 个 域 网 以 及 线 程 这 是 因 为 这 些 技 术 不 可 信, 并 未 在 防 干 扰 存 储 领 域 存 储 密 钥, 也 可 能 没 有 确 保 全 部 会 话 安 全 所 需 的 某 种 制 程 能 力 由 于 任 何 潜 在 攻 击 者 的 首 要 目 标 是 网 络 通 讯 分 析, 不 可 避 免 地, 网 络 通 讯 安 全 就 成 为 任 何 物 联 网 产 品 或 服 务 的 关 键 方 面 此 类 产 品 包 括 新 安 全 功 能, 能 够 在 不 可 信 赖 的 网 络 中 确 保 网 络 同 伴 间 会 话 的 安 全 尽 管 这 些 更 新 协 议 ( 如, 椭 圆 曲 线 迪 菲 - 赫 尔 曼 密 钥 交 换 ) 为 确 保 会 话 安 全 而 使 用 的 密 码 规 则 系 统, 在 数 学 上 完 全 正 确, 但 并 不 能 确 保 其 数 据 的 机 密 性 和 完 整 性 P.8 GSMA 汽 车 物 联 网 安 全
3. 限 制 应 用 程 序 的 运 行 情 况 应 用 程 序 的 安 全 尤 其 具 有 挑 战 性, 甚 至 对 经 验 丰 富 的 公 司 也 是 如 此 尽 管 制 造 商 工 程 团 队 设 计 的 核 心 应 用 程 序 会 受 到 全 面 审 计, 现 代 架 构 通 常 允 许 第 三 方 应 用 程 序 加 载 至 物 联 网 端 点 由 于 应 用 程 序 商 店 使 得 用 户 能 够 查 看 或 许 成 千 上 万 的 第 三 方 应 用 程 序, 这 些 程 序 几 乎 不 可 能 全 部 通 过 全 面 审 计 确 保 应 用 程 序 安 全 的 正 确 方 式 是 将 其 通 过 封 锁 虚 拟 机 或 其 他 提 取 方 式 进 行 隔 离, 限 制 它 们 的 功 能 以 及 查 看 关 键 系 统 设 备 或 资 源 的 权 限 通 过 这 种 方 式, 软 件 的 瑕 疵 不 会 导 致 攻 击 者 突 破 应 用 程 序 并 查 看 关 键 资 源, 如 CANbus( 控 制 区 域 网 络 总 线 ) 特 别 是, 确 保 应 用 程 序 的 以 下 方 面 至 关 重 要 : 不 能 提 高 其 影 响 主 操 作 系 统 的 权 限 无 法 进 入 底 层 驱 动 或 设 备 不 能 影 响 其 他 关 键 应 用 程 序 的 运 行 情 况 无 法 储 存 至 其 他 应 用 程 序 的 存 储 或 资 源, 或 从 中 读 取 GSMA 汽 车 物 联 网 安 全 P.9
实 施 这 些 规 则 时, 即 使 攻 击 者 通 过 利 用 第 三 方 应 用 程 序 获 得 可 执 行 代 码, 或 如 果 该 应 用 程 序 为 软 件 后 门, 其 影 响 也 是 可 以 量 化 且 仅 限 于 受 损 的 应 用 程 序 任 何 其 他 应 用 程 序 子 系 统 或 主 操 作 系 统 在 任 何 方 面 均 不 会 受 到 影 响 4. 执 行 防 干 扰 例 如, 若 打 开 某 设 备 的 容 器, 其 光 敏 性 保 险 丝 能 删 除 储 存 同 样, 可 在 设 备 外 壳 中 嵌 入 电 路, 若 打 开 该 设 备, 此 电 路 将 切 断 纽 扣 电 池 电 源 并 删 除 关 键 存 储 组 件 其 他 方 法 也 可 用 来 创 建 有 效 划 算 的 措 施, 导 致 攻 击 者 成 功 实 现 逆 向 工 程 或 破 坏 设 备 安 全 所 需 的 时 间 费 用 和 装 备 大 幅 增 加 因 为 大 多 数 攻 击 物 联 网 的 行 为 都 是 通 过 实 体 设 备, 阻 止 这 些 设 备 的 分 析 能 切 实 可 行 地 降 低 攻 击 的 可 能 性 虽 然 攻 击 者 所 控 制 的 实 体 设 备 始 终 处 于 受 损 的 危 险 之 中, 实 体 防 干 扰 可 将 攻 击 流 程 复 杂 化 并 提 高 相 关 费 用 至 某 一 点, 使 得 攻 击 不 再 可 行 或 划 算 P.10 GSMA 汽 车 物 联 网 安 全
图 3 列 举 一 系 列 策 略, 用 于 确 保 汽 车 物 联 网 解 决 方 案 的 实 施 切 实 有 效 的 汽 车 物 联 网 安 全 解 决 方 案 即 使 因 漫 游 或 协 议 降 级 导 致 移 动 网 络 安 全 变 得 不 稳 定, 汽 车 物 联 网 解 决 方 案 也 可 以 通 过 加 强 应 用 水 平 的 通 信 安 全, 来 保 证 高 度 的 保 密 性 和 完 整 性 汽 车 物 联 网 解 决 方 案 通 过 与 核 心 架 构 之 间 建 立 信 任, 来 降 低 长 期 工 程 造 价 并 延 长 设 备 寿 命 甚 至 在 轻 质 传 感 器 终 端 亦 部 署 了 同 行 认 证 保 证 数 据 保 密 性 和 信 息 完 整 性 如 果 某 一 客 户 应 用 程 序 受 到 损 害, 关 键 应 用 和 非 关 键 应 用 将 会 相 互 剥 离, 这 样 可 以 减 少 攻 击 者 对 核 心 部 件 的 破 坏 性 GSMA 汽 车 物 联 网 安 全 P.11
总 结 不 论 媒 体 如 何 炒 作, 物 联 网 解 决 方 案 都 具 有 其 安 全 性 从 架 构 层 级 开 始 我 们 就 已 建 立 了 一 个 高 性 价 比 的 安 全 体 系 微 小 的 改 进 便 可 保 证 整 个 物 联 网 产 品 或 服 务 生 态 系 统 免 遭 破 坏 但 是, 为 了 这 细 微 的 改 进, 工 程 团 队 必 须 花 时 间, 从 无 到 有, 将 安 全 体 系 植 入 进 去 在 物 联 网 解 决 方 案 中, 安 全 体 系 决 不 是 一 个 附 加 装 置, 相 反, 它 是 物 联 网 的 根 基 更 多 有 关 降 低 常 见 物 联 网 风 险 的 建 议, 请 参 考 GSMA 物 联 网 安 全 指 南 http://www.gsma.com/ connectedliving/iot-security-guidelines P.12 GSMA 汽 车 物 联 网 安 全