3. 车载通信安全威胁

车载通信安全威胁的本质，是攻击者利用车内总线、车际无线链路或车云通道在机密性、完整性、可用性、真实性四个维度上制造破坏。与IT网络不同，车载网络长期以“封闭可信”为设计前提，CAN、LIN等总线天然缺少认证与加密，一旦攻击者获得物理接口或无线入口，就能以极低成本放大破坏。理解威胁分类，是后续密钥治理与安全通信设计的前提。

一、核心原理：五类攻击的作用点

车载通信的攻击面可归纳为“入口—链路—节点”三层。入口包括OBD-II诊断口、USB、蓝牙/Wi-Fi、蜂窝网络、V2X射频；链路包括CAN/CAN-FD、以太网、FlexRay、无线信道；节点包括ECU、网关、T-Box、域控制器。五类典型攻击分别作用于不同层面：

• 窃听（Eavesdropping）：被动监听总线或无线报文，不修改数据，目标是获取密钥、诊断信息、位置轨迹。CAN报文以广播方式传输，任何接入节点都能读取。
• 篡改（Tampering）：修改报文内容或伪造信号值，如篡改车速、制动、转向指令，直接危及功能安全。
• 重放（Replay）：录制合法报文后延迟或重复发送，绕过基于“报文合法”的简单校验，常见于无钥匙进入与远程控制。
• 拒绝服务（DoS）：以高优先级报文洪泛或总线错误帧占满带宽，使正常ECU无法通信，导致仪表黑屏、动力中断。
• 伪造节点（Node Forgery / Spoofing）：冒充合法ECU或网关身份发送指令，使接收方误认为来自可信节点。

二、方法流程：从攻击链到防护映射

分析车载威胁时，建议按“入口识别—链路可达—节点影响—安全目标—防护手段”五步推进。以CAN总线为例：攻击者通过OBD口接入，可监听全部广播报文（窃听）；若掌握报文格式，可注入伪造帧（篡改/伪造）；若录制无钥匙进入的滚动码并重放，可触发解锁（重放）；若持续发送ID为0x000的高优先级帧，则总线仲裁被占满（DoS）。

攻击链示例（CAN 总线）：
1. 物理接入 OBD-II → 获取 CAN_H / CAN_L
2. 监听 500kbps 报文 → 识别 ID 与周期
3. 构造伪造帧 → 篡改车速/门锁信号
4. 录制合法帧 → 延迟重放绕过简单校验
5. 洪泛高优先级 ID → 正常节点持续退让
防护映射：
- 窃听 → SecOC / MAC 加密、网关过滤
- 篡改 → 报文认证码、新鲜度值
- 重放 → 单调计数器、时间戳、挑战应答
- DoS → 带宽配额、优先级隔离、入侵检测
- 伪造 → 证书/密钥绑定、节点身份认证

三、真实案例与场景

案例1：Miller & Valasek 远程控制吉普切诺基（2015）。研究者通过蜂窝网络进入Uconnect娱乐系统，再横向移动到CAN总线，远程控制制动、转向与油门，最终导致140万辆车辆召回。该案例同时体现伪造节点、篡改与DoS的组合利用。

案例2：无钥匙进入重放攻击。攻击者使用两段式信号中继设备，将钥匙信号从室内中继到车旁，车辆误认为钥匙在附近而解锁。此类攻击不破解密码算法，仅利用“信号存在即合法”的缺陷，属于典型重放。

案例3：CAN总线洪泛导致仪表失效。在渗透测试中，向总线持续注入高优先级报文，可使仪表、ABS等节点通信超时，出现故障灯与功能降级，验证了DoS对功能安全的直接影响。

四、威胁类型对比清单