3. 车载无线连接安全威胁概览
车载无线连接把手机、钥匙、T-Box、车机、云端和路侧单元连成一张动态网络。便利性提升的同时，攻击面也从“物理接触”扩展到“射频可达”。本节从攻击者视角梳理六类常见威胁，并给出攻击面分析方法，帮助后续章节建立防护基线。
一、核心原理：无线链路的四个薄弱环节
无论 Wi-Fi、蓝牙、蜂窝还是 NFC，车载无线安全都绕不开四个环节：配对与认证、密钥协商、数据完整性、可用性。攻击者往往不直接破解加密算法，而是利用协议实现缺陷、用户操作习惯或射频特性绕过防护。
- 窃听：在射频覆盖范围内被动捕获报文，若链路未加密或密钥可预测，即可还原敏感数据。
- 中间人攻击：攻击者插入通信双方之间，分别与两端建立会话，转发并篡改数据。
- 重放攻击：录制合法报文后重新发送，欺骗接收方执行解锁、启动等操作。
- 拒绝服务：通过干扰、洪泛或资源耗尽，使合法连接无法建立或维持。
- 中继攻击：将钥匙信号跨距离转发，让车辆误判钥匙在车内或附近。
- 蓝牙漏洞：协议栈实现缺陷、配对降级、未授权服务暴露等。
关键认知：车载无线威胁很少是“单点突破”，通常是“射频可达 + 协议缺陷 + 用户习惯”三者叠加。
二、六类威胁的攻击链与典型场景
下面用一张关系图展示六类威胁与车载对象、攻击面之间的对应关系。图中左侧为攻击者能力，中间为攻击路径，右侧为受影响的车载资产。
以蓝牙钥匙为例：攻击者先用嗅探确认钥匙与车辆的通信频点，再通过中继设备把钥匙信号从车库转发到二楼，车辆误判钥匙在附近而解锁。若配对阶段使用了弱密钥或“Just Works”配对，中间人还能进一步截获会话密钥。
三、攻击面分析方法：从射频到资产
建议按“接口—协议—数据—资产”四层做攻击面梳理，每层都问三个问题：谁能到达？需要什么条件？成功后影响什么？
| 攻击面层级 | 典型接口/对象 | 常见威胁 | 验证要点 |
|---|---|---|---|
| 射频层 | BLE、Wi-Fi、UWB、NFC、蜂窝 | 窃听、干扰、中继 | 覆盖距离、发射功率、频点跳变 |
| 协议层 | 配对、认证、密钥协商 | 中间人、降级、重放 | 配对方式、密钥长度、随机数质量 |
| 数据层 | 控制指令、状态上报、OTA包 | 篡改、重放、窃听 | 完整性校验、时间戳、序列号 |
| 资产层 | PEPS、车机、T-Box、网关 | 拒绝服务、越权控制 | 权限边界、降级策略、日志审计 |
四、案例与复盘：一次“看似正常”的解锁
某测试场景中，车辆在车主离开后仍被解锁。复盘发现：攻击者并未破解加密，而是利用蓝牙钥匙的重放窗口——车辆对同一解锁指令在数秒内未做序列号校验，攻击者录制后立即重放。修复方案包括：引入单调递增计数器、缩短指令有效期、增加距离绑定（RSSI/UWB测距）。
常见误区：只关注“加密强度”，忽略“新鲜性”和“距离绑定”。重放和中继攻击往往不依赖破解密钥，而是利用协议设计缺陷。
另一个高频问题是蓝牙服务暴露。车机开启蓝牙后，若未关闭调试服务或未限制可发现性，攻击者可枚举 GATT 服务并尝试写入特征值。建议在量产配置中关闭非必要服务，并对写入操作做认证与审计。
# 蓝牙服务暴露检查示例（示意）
$ bluetoothctl
[bluetooth]# scan on
[bluetooth]# info AA:BB:CC:DD:EE:FF
Name: CarHU-XXXX
Alias: CarHU-XXXX
Paired: no
Trusted: no
Services: 00001800-... 00001801-... 0000fff0-...
# 关注：是否暴露调试/写服务，是否允许未配对连接
五、防护基线清单
- 配对阶段：优先使用带外认证或数字比较，禁用 Just Works；限制配对窗口时间。
- 会话阶段：启用加密与完整性保护，使用单调计数器防重放。
- 距离绑定：对无钥匙进入使用 UWB 或 RSSI 测距，拒绝异常远距离信号。
- 可用性：对关键链路做干扰检测与降级策略，避免单点拒绝服务导致车辆不可用。
- 蓝牙加固：关闭非必要服务，限制可发现性，定期更新协议栈固件。
- 日志与审计：记录配对、解锁、OTA 等关键事件，便于事后复盘。
攻击面分析不是一次性工作。每次新增无线功能（如数字钥匙、V2X、手机投屏）都应重新评估射频可达性、协议实现和资产影响。