現(xiàn)代化車輛具有許多外部接口功能，可以讓旅途變得更加愉快。然而，這些接口也是黑客攻擊車輛的入口，幸好基于硬件的安全功能提供了補(bǔ)救措施。
未來，車輛到基礎(chǔ)設(shè)施（V2I）和車輛到車輛（V2V）通信將與車輛到一切（V2X）通信相結(jié)合 ，這個(gè)價(jià)值十億美元的市場(chǎng)也吸引了越來越多的消費(fèi)者關(guān)注。V2X通信的一個(gè)目標(biāo)是通過交換信息來減少交通事故的發(fā)生量。根據(jù)對(duì)2004-2008年美國道路交通事故的分析，美國交通部發(fā)現(xiàn)使用V2X系統(tǒng)可以預(yù)防450萬起事故發(fā)生，占據(jù)所有事故的81%。
威脅
到目前為止，V2X尚未證明廣受歡迎。其中一個(gè)原因是圍繞V2X通信的安全性存在很多負(fù)面看法。最大的威脅可能在于網(wǎng)絡(luò)攻擊。如果車輛的計(jì)算機(jī)系統(tǒng)或手機(jī)系統(tǒng)遭到黑客入侵，則可能導(dǎo)致財(cái)產(chǎn)損失，如果當(dāng)時(shí)汽車正在行駛中，甚至可能會(huì)危及人員生命。2015年兩名安全研究人員利用了基于Linux的信息娛樂系統(tǒng)中的一個(gè)弱點(diǎn)，成功地遠(yuǎn)程攻擊了一輛吉普切諾基的CAN總線，使得他們能夠操控車輛。一年后，這2位研究人員通過筆記本電腦連接到車輛OBD端口，再次成功操控駕駛這輛吉普切諾基。
在幾十年前開發(fā)CAN技術(shù)時(shí)，加密安全性尚未受到足夠重視。因此，CAN并未保證數(shù)據(jù)的機(jī)密性，并且以廣播模式傳輸信號(hào)?，F(xiàn)代汽車通過CAN總線交換信息，例如打開車門和啟動(dòng)引擎。信息在車輛內(nèi)的ECU和電子鑰匙之間進(jìn)行交換，如果這個(gè)系統(tǒng)被入侵，竊賊便很容易偷走這輛汽車。
此外，用于電子郵件、SMS、視頻流、視頻呼叫等移動(dòng)互聯(lián)網(wǎng)功能的藍(lán)牙、GPRS或UMTS等無線通信標(biāo)準(zhǔn)為黑客提供了更大范圍的“目標(biāo)區(qū)域”。這使得黑客不僅能夠控制車輛而且還能夠安裝惡意軟件以竊取車輛數(shù)據(jù)，例如車輛位置、常規(guī)駕駛路線以及遠(yuǎn)程完成呼叫。由于目前由遠(yuǎn)程信息處理控制單元（T-BOX）負(fù)責(zé)處理上述所有通信功能，因此安全性是重中之重。
解決方案
硬件架構(gòu)必須具備哪些功能以確保ECU滿足最高安全要求，并且防止發(fā)生非法的篡改、未經(jīng)授權(quán)的安裝、惡意軟件的上傳、特洛伊木馬和偽造升級(jí)？數(shù)據(jù)加密是確保車輛網(wǎng)絡(luò)的內(nèi)部通信總線內(nèi)數(shù)據(jù)完整性、可用性和機(jī)密性的有效方式。因而加密方法可以防止網(wǎng)絡(luò)攻擊。
近年來，業(yè)界已經(jīng)成立了各種各樣的工作小組，針對(duì)抵御黑客攻擊和操縱，提供相應(yīng)的系統(tǒng)設(shè)計(jì)和驗(yàn)證指引。這方面的一個(gè)主要示例是歐盟資助的EVITA研究項(xiàng)目，其中包括寶馬、大陸集團(tuán)、富士通、英飛凌和博世等數(shù)家企業(yè)。EVITA項(xiàng)目提出了許多指導(dǎo)原則，詳細(xì)描述了各種汽車ECU安全架構(gòu)的設(shè)計(jì)、驗(yàn)證和原型設(shè)計(jì)。此外，EVITA規(guī)定所有關(guān)鍵ECU均需要配備芯片，其中不僅要包含專用硬件安全模塊（HSM），還要包含CPU；EVITA為HSM定義了3種不同要求的配置：全型、中型和小型。這些模塊對(duì)ECU之間交換的所有信息進(jìn)行加密和解密，詳細(xì)下圖1~4。
基于EVITA標(biāo)準(zhǔn)，越來越多的半導(dǎo)體供應(yīng)商正在其微控制器/微處理器中實(shí)施所謂的“安全區(qū)域”（也稱為“信任錨”）。例如，意法半導(dǎo)體已將HSM同時(shí)集成到其基于電源架構(gòu)的SPC5微控制器系列（MCU）和ARM核心處理器中，例如STA1385 TCU（遠(yuǎn)程信息處理控制單元）。這些帶有HSM的IC可以全面防范網(wǎng)絡(luò)威脅。HSM是一個(gè)獨(dú)立的子系統(tǒng)，具有自己的安全處理器內(nèi)核、RAM和閃存（用于代碼和數(shù)據(jù)）。此外，HSM還具有用于加密的硬件加速器。意法半導(dǎo)體公司旗下的這類器件是C3加密加速器，還包含一個(gè)真正隨機(jī)數(shù)發(fā)生器（TRNG）。數(shù)據(jù)和中斷請(qǐng)求通過硬件接口在HSM和應(yīng)用處理器之間進(jìn)行交換。
HSM不僅承擔(dān)訪問接入控制，還可以生成用于加密密匙的實(shí)際隨機(jī)數(shù)，并通過集成的TRNG執(zhí)行所有其他加密功能。如前所述，CAN總線無法提供高級(jí)別的安全性，因此無法保證所傳輸數(shù)據(jù)的機(jī)密性和完整性。但是，若能夠配合已加密的數(shù)據(jù)，CAN總線也可用于安全數(shù)據(jù)傳輸。具有哈希（HASH）功能、消息認(rèn)證碼（MAC）或CMAC的非對(duì)稱和對(duì)稱加密算法可以實(shí)現(xiàn)數(shù)據(jù)的機(jī)密性、完整性和可用性、數(shù)字簽名和數(shù)據(jù)認(rèn)證。所有的編碼和解碼功能都在硬件中實(shí)現(xiàn)，以確保主機(jī)CPU不會(huì)發(fā)生過載。
典型應(yīng)用
安全啟動(dòng)
安全啟動(dòng)功能驗(yàn)證啟動(dòng)加載程序的完整性。為此，MCU的HSM首先通過總線主控器從閃存加載引導(dǎo)程序。使用商定的密匙，HSM可以計(jì)算所接收消息的MAC（消息認(rèn)證碼）；如果計(jì)算出的MAC符合存儲(chǔ)中的引導(dǎo)MAC，則數(shù)據(jù)的完整性得到保護(hù)，MCU便可以使用這個(gè)引導(dǎo)加載程序。
安全通信
HSM還可以實(shí)現(xiàn)安全通信。以下示例顯示其工作原理：中央ECU與傳感器ECU進(jìn)行通信。如前所述，每個(gè)HSM都有一個(gè)TRNG和一個(gè)硬件加密引擎。中央ECU生成隨機(jī)數(shù)并將其發(fā)送到傳感器ECU。傳感器接收了隨機(jī)數(shù)，并測(cè)量其數(shù)據(jù)和激活其HSM，以使用ECU隨機(jī)數(shù)來加密測(cè)量數(shù)據(jù)。傳感器ECU將加密數(shù)據(jù)發(fā)送回中央ECU。中央ECU使用自己的隨機(jī)數(shù)來解密數(shù)據(jù)，然后將傳送的隨機(jī)數(shù)與接收的隨機(jī)數(shù)進(jìn)行比較，以驗(yàn)證數(shù)據(jù)的完整性和真實(shí)性。TRNG可以防止重放攻擊和加密“竊聽”。
閃存保護(hù)
由于密碼和密匙等固件和安全配置資料存儲(chǔ)在控制器的閃存中，因此閃存的保護(hù)也很重要。ST SPC5 MCU配備了2個(gè)專門負(fù)責(zé)保護(hù)存儲(chǔ)器的模塊：TDM強(qiáng)制軟件在TDR（篡改檢測(cè)區(qū)域）中刪除一個(gè)或多個(gè)區(qū)塊之前，必須先在特定閃存區(qū)域?qū)懭霐?shù)據(jù)集。另一方面，在寫入或刪除閃存之前，PASS模塊要先執(zhí)行密碼比較操作。
系統(tǒng)安全配置
為確保在重置后可安全地執(zhí)行系統(tǒng)啟動(dòng)，在重新啟動(dòng)之前要先檢查所有存儲(chǔ)的設(shè)備配置格式（DCF）的完整性，從而防止未經(jīng)授權(quán)的干預(yù)和更改。此外，還可以檢查多項(xiàng)安全功能。這可以確保阻止使用多種攻擊方法更改特定位置的內(nèi)容，或者在啟動(dòng)時(shí)加載惡意固件的攻擊。
結(jié)論
車輛中的IT安全措施是至關(guān)重要的，使用具有集成HSM的最先進(jìn)半導(dǎo)體方案有助于提高安全性和實(shí)施效率。
