4. 车载安全威胁模型

可信启动解决的是“系统只运行被授权的代码”，但要做到这一点，必须先回答一个更基础的问题：攻击者究竟会从哪里、以什么方式破坏这条信任链？车载安全威胁模型就是把整车电子电气架构中可能被利用的入口、攻击者能力、攻击路径与后果系统化地描述出来，作为可信启动设计、密钥管理和恢复策略的输入。本节围绕固件篡改、回滚攻击、中间人攻击、物理攻击、供应链攻击五类典型威胁，以及它们在车载环境中的典型攻击面展开。

一、核心原理：威胁模型的三要素

一个可落地的车载威胁模型，通常由三个要素构成：攻击面（Attack Surface）、攻击者能力（Adversary Capability）和安全目标（Security Objective）。攻击面是攻击者可以接触到的接口与资源，例如 OTA 通道、诊断接口 OBD、USB、蓝牙/Wi-Fi、调试口 JTAG、SPI Flash 芯片、T-Box 蜂窝链路等；攻击者能力描述其能否物理接触、能否重放报文、能否控制上游供应商；安全目标则对应机密性、完整性、真实性、可用性与新鲜性。

可信启动主要保护的是启动镜像的完整性与真实性，并借助防回滚计数器保护新鲜性。因此威胁建模时，必须把“谁能改写镜像”“谁能替换镜像”“谁能重放旧镜像”“谁能伪造签名”这几类问题分别映射到具体攻击面。

二、五类典型威胁与攻击路径

1. 固件篡改（Firmware Tampering）。攻击者修改 ECU 中的应用固件、Bootloader 甚至引导配置，使设备执行恶意逻辑。典型路径包括：通过未授权的诊断服务写入 Flash、利用 OTA 包校验缺陷替换镜像、通过调试口直接烧录。若可信启动只校验应用而漏掉 Bootloader 或分区表，攻击者可从更早阶段劫持信任链。

2. 回滚攻击（Rollback Attack）。攻击者不伪造新固件，而是把设备刷回存在已知漏洞的旧版本，从而重新获得可利用的缺陷。防御依赖单调递增的版本计数器与安全存储，若计数器可被重置或未纳入签名覆盖范围，回滚即可成功。

3. 中间人攻击（Man-in-the-Middle）。在 OTA 下载、诊断通信或 V2X 交互中，攻击者截获并篡改传输内容，或冒充服务器下发恶意包。若传输层仅做加密而未与设备身份绑定，攻击者可代理转发合法包并注入恶意负载。

4. 物理攻击（Physical Attack）。包括探针读取 Flash、故障注入（电压/时钟毛刺）、侧信道分析、冷启动攻击等。物理攻击往往针对密钥与计数器，一旦根密钥泄露，整条信任链失效。

5. 供应链攻击（Supply Chain Attack）。攻击者在上游环节植入恶意代码、替换元器件或污染构建工具链，使“出厂即带毒”。此类攻击隐蔽性强，需通过可复现构建、SBOM 与来料验证缓解。

三、典型攻击面对照与防御要点

下表把常见攻击面、对应威胁与可信启动侧的关键防御手段对应起来，便于在架构设计阶段逐项核对。

四、案例与场景：一次 OTA 回滚攻击的复盘

某车型通过 T-Box 下发 OTA 包，包体使用 RSA 签名，设备端校验通过后写入备用分区并切换启动。攻击者在维修场景中通过诊断口写入一个已签名但版本较旧的固件包，该包签名合法，因此完整性校验通过；由于设备端未校验版本计数器，系统成功回滚到存在蓝牙漏洞的旧版本，随后攻击者利用该漏洞获取车内网络访问权限。

攻击链复盘：
1. 获取旧版本已签名 OTA 包（合法来源，签名有效）
2. 通过诊断口触发刷写流程，绕过 OTA 服务器版本检查
3. 设备端仅验签、不校验版本计数器 → 回滚成功
4. 旧版本蓝牙协议栈漏洞被利用 → 横向渗透 CAN 总线

修复措施：
- 将版本号纳入签名覆盖范围，启动时比对安全计数器
- 诊断刷写与 OTA 共用同一套防回滚策略
- 安全计数器写入防篡改存储，禁止通过诊断服务重置

五、威胁建模的落地方法

1. 资产识别：列出所有启动相关镜像、密钥、计数器与配置分区。
2. 攻击面枚举：按物理、本地、近场、远程四类接口逐一登记。
3. 威胁映射：将五类威胁与具体攻击面建立对应关系，标注可利用前提。
4. 控制措施设计：为每条威胁指定验签、防回滚、加密存储或权限控制手段。
5. 验证与回归：通过故障注入、回滚测试与渗透测试验证控制措施有效性。

综上，车载安全威胁模型把固件篡改、回滚、中间人、物理与供应链五类威胁与真实攻击面连接起来，明确了可信启动需要保护的完整性、真实性与新鲜性目标。只有先看清攻击者从哪里来、能做什么，才能为后续的信任链设计、密钥管理与系统恢复策略提供可靠依据。