3. 车载网络安全威胁与攻击面
车载网络安全的本质，是在一个由数十个电子控制单元（ECU）、多种总线与无线接口构成的分布式系统中，识别“谁可以影响谁、通过什么路径、造成什么后果”。与互联网安全不同，车载攻击往往同时涉及物理接触、总线报文、诊断接口、无线通信与云端服务，攻击面横跨车内、车际与车云三个层次。理解威胁与攻击面，是后续验证与审计工作的起点。
一、核心原理：攻击面与信任边界
攻击面（Attack Surface）指系统中所有可被外部或内部主体访问、输入或影响的入口集合。车载系统的信任边界通常包括：
- 物理边界：OBD-II 诊断口、USB 口、调试接口（JTAG）、传感器线束。
- 总线边界：CAN/CAN-FD、LIN、FlexRay、车载以太网，报文默认广播、缺乏认证。
- 无线边界：蓝牙、Wi-Fi、蜂窝网络、V2X、TPMS、无钥匙进入（RKE/PKE）。
- 服务边界：OTA 升级、远程诊断、车云 API、移动 App。
攻击者通常从低权限入口切入，利用信任关系横向移动，最终触达安全关键功能。威胁建模的目标，就是把这些入口、路径与后果结构化地表达出来。
二、常见攻击类型与攻击路径
按攻击目标与手段，车载攻击可归纳为以下几类：
| 攻击类型 | 典型入口 | 主要后果 |
|---|---|---|
| 报文注入/重放 | OBD-II、CAN 总线 | 伪造车速、转速、挡位，干扰控制 |
| 总线泛洪/DoS | CAN 总线 | 高优先级报文占满总线，关键帧延迟 |
| 诊断服务滥用 | UDS 诊断接口 | 解锁安全访问、刷写固件、读取敏感数据 |
| 无线中继/重放 | RKE/PKE、TPMS | 无钥匙进入被中继，车辆被盗 |
| OTA 供应链攻击 | OTA 服务器、签名校验 | 恶意固件下发，批量影响车辆 |
| 移动 App/API 攻击 | 车云接口、蓝牙配对 | 远程解锁、定位泄露、权限越权 |
攻击路径通常遵循“入口 → 权限提升 → 横向移动 → 目标功能”的链条。例如：攻击者通过 OBD-II 接入 CAN，先监听报文识别 ID 与周期，再注入伪造帧；若网关未做域隔离，则可跨域影响动力或制动相关 ECU。
三、威胁建模方法：从资产到缓解措施
车载威胁建模常采用 STRIDE 与攻击树结合的方式，流程如下：
- 资产识别：列出 ECU、总线、网关、诊断服务、OTA 通道、密钥与证书。
- 信任边界划分：标出物理、总线、无线、服务四类边界及跨边界数据流。
- 威胁枚举：按 STRIDE 分类（仿冒、篡改、否认、信息泄露、拒绝服务、权限提升）。
- 攻击路径分析：绘制攻击树，评估每条路径的可行性、代价与影响。
- 风险评级：结合 CVSS 或 ISO/SAE 21434 的威胁等级，确定优先级。
- 缓解措施：SecOC 报文认证、网关过滤、安全启动、签名 OTA、IDS 监测。
威胁建模输出示例（片段）：
资产: 网关 ECU
边界: 外部 CAN → 网关 → 动力 CAN
威胁: 伪造诊断请求触发安全访问解锁
路径: OBD-II → UDS 0x27 → 弱种子算法 → 解锁 → 0x2E 写入
影响: 高（可刷写关键参数）
缓解: 强随机种子 + 尝试次数限制 + 网关白名单
四、典型攻击案例与复盘
案例一：CAN 报文注入。研究者通过 OBD-II 接入总线，监听并识别出车速、转速报文 ID，随后以 10ms 周期注入伪造帧，导致仪表显示异常。复盘要点：总线无认证、网关未做报文频率与范围校验。
案例二：无钥匙进入中继。攻击者使用两套射频中继设备，将钥匙信号放大转发至车辆，实现解锁与启动。复盘要点：RKE/PKE 缺乏距离测量与挑战响应，需引入 UWB 测距或运动检测。
案例三：OTA 供应链。某车型 OTA 包签名校验不严，攻击者可替换固件包。复盘要点：必须端到端签名、安全启动链、回滚保护与服务器侧权限审计。
常见误区：只关注“外部黑客远程攻击”，忽视 OBD-II 与内部总线的物理接触风险；只做单点加固，忽视网关横向移动；把威胁建模当成一次性文档，未随架构变更持续更新。
审计提示：验证时应重点检查网关过滤规则、SecOC 覆盖范围、诊断安全访问算法强度、OTA 签名与回滚策略，以及 IDS 对异常报文频率与 ID 的检测能力。
掌握攻击类型、路径与建模方法后，才能把威胁转化为可验证的安全需求，为后续的渗透测试、模糊测试与审计提供明确目标。