2. 汽车网络安全基础
要建立CSMS（网络安全管理体系），第一步不是写制度，而是把“被管理的对象”看清楚。车辆网络安全的风险并不抽象，它落在具体的电子电气架构、总线协议、控制器、升级通道和车外通信链路上。本章从工程视角梳理这些基础概念，并指出每一层对应的典型攻击面，为后续TARA分析、安全需求分配和供应链管理提供共同语言。
一、核心原理：从分布式EE架构到域/中央集中架构
电子电气架构（EE Architecture）决定了ECU之间“谁和谁说话、通过什么说话、谁做决策”。早期车辆采用分布式架构，每个功能（车窗、座椅、灯光、发动机）由独立ECU就近控制，通过CAN/LIN总线互联。随着智能座舱、辅助驾驶和OTA需求增长，架构演进为“域集中”再到“中央计算+区域控制（Zonal）”。
架构演进带来的安全含义是根本性的：分布式架构中，攻击者攻破一个低价值ECU，通常只能影响局部功能；而在域/中央架构中，网关和中央计算单元成为高价值枢纽，一旦被攻陷，横向移动的破坏半径显著扩大。因此，架构设计阶段就必须划分安全域、定义信任边界，而不是等整车下线后再补防火墙。
二、总线协议：能力不同，安全短板也不同
不同总线为不同目标而生，其安全特性差异极大，必须区别对待。
| 总线 | 典型速率 | 拓扑/特性 | 典型用途 | 主要安全短板 |
|---|---|---|---|---|
| LIN | ≤20 kbps | 单主多从，低成本 | 车窗、雨刮、座椅 | 无加密、无认证，易被物理替换节点 |
| CAN / CAN FD | 0.5–8 Mbps | 多主广播，优先级仲裁 | 动力、车身、诊断 | 广播无认证，报文可注入/重放/泛洪 |
| FlexRay | 10 Mbps | 时间触发，双通道冗余 | 线控、底盘、悬架 | 确定性高但静态密钥管理复杂 |
| Automotive Ethernet | 100 Mbps–10 Gbps | 交换式，IP化 | 智驾、座舱、诊断 | 暴露IP攻击面，需VLAN/防火墙/SecOC |
CAN是理解车载攻击的经典入口。它采用广播机制，任何节点发出的报文所有节点都能收到，且标准帧不含发送者身份认证字段。攻击者只要接入总线，就能伪造车速、转速甚至制动相关信号。CAN FD提高了数据场长度和速率，但并未从协议层解决认证问题，因此业界普遍采用SecOC（Secure Onboard Communication）在PDU层增加MAC和新鲜度值。
CAN 报文结构（标准帧）：
| SOF | 11位ID | RTR | IDE | r0 | DLC | 0~8字节数据 | CRC | ACK | EOF |
安全关注点：
- ID 决定优先级，低ID高优先级 → 可被恶意高频占用形成拒绝服务
- 数据场无签名 → 接收方无法确认来源真实性
- 无新鲜度 → 历史报文可被重放触发动作三、ECU、OTA与V2X：三条高价值攻击路径
ECU是执行控制逻辑的嵌入式单元，通常包含MCU、Flash、RAM、CAN收发器和诊断接口（UDS）。其攻击面包括：调试口（JTAG/SWD）未关闭导致固件读取、Bootloader未做签名校验导致恶意固件刷入、UDS安全访问（0x27服务）使用弱种子密钥算法被逆向破解。
OTA是车辆全生命周期安全的关键能力，也是攻击者的重点目标。完整OTA链路包括：云端生成升级包→传输→车端下载→签名验签→写入分区→回滚保护。任一环节缺失都会形成风险。典型误区是“只做HTTPS传输就认为安全”，实际上若升级包本身未做数字签名，中间人可替换为恶意包；若缺少防回滚机制，攻击者可刷入存在已知漏洞的旧版本。
V2X让车辆与车、路、云、人通信，典型场景包括前向碰撞预警、红绿灯车速引导。V2X使用PKI体系颁发假名证书，但攻击者仍可伪造BSM（基本安全消息）制造“幽灵车辆”，或通过重放、女巫攻击干扰交通判断。V2X的安全依赖证书撤销列表（CRL）的及时分发和异常行为检测。
常见误区：把“功能安全”等同于“网络安全”。功能安全关注随机硬件失效和系统性失效，网络安全关注恶意人为攻击。二者目标不同但需协同，例如制动ECU既要满足ASIL等级，也要防止CAN报文被伪造。另一个误区是认为“内网就安全”，实际上诊断口OBD-II、USB、充电口都是外部可达的入口。
四、案例与复盘：从一条CAN报文到整车风险
某研究团队通过OBD-II接口接入CAN总线，逆向出车门控制报文ID与数据位映射，随后重放该报文成功解锁车门。复盘发现三个问题：诊断口未做访问控制；车门ECU未校验报文来源；网关未对诊断报文做白名单过滤。改进措施对应三层：物理/接口层限制诊断会话，通信层部署SecOC与IDS，架构层在网关实施域间访问控制策略。
工程建议：在CSMS建设中，建议为每条外部通信路径建立“入口清单”，标注协议、数据流向、信任等级和已有安全措施。这份清单是TARA资产识别和威胁建模的直接输入，也能帮助判断OTA、V2X、诊断等通道是否满足最小暴露原则。
理解EE架构、总线、ECU、OTA和V2X，本质上是理解“攻击者能从哪里进来、能往哪里走、能造成什么后果”。只有把这些基础对象和攻击面梳理清楚，后续的资产识别、威胁分析、风险处置和供应链安全要求才能落到具体部件和接口上，而不是停留在原则性描述。