3. 车载网络安全威胁 landscape

车载网络安全威胁 landscape 的核心，不是“车会不会被黑”这种二元判断，而是攻击面如何随电子电气架构演进而扩张。传统汽车是封闭的机械系统，现代智能网联汽车则是由数十到上百个 ECU、多个域控制器、车载以太网、蜂窝通信、Wi-Fi/蓝牙、OTA 通道和云端服务共同构成的分布式计算平台。每增加一个对外接口，就增加一条潜在攻击路径；每增加一次软件更新，就增加一个供应链与信任链风险点。理解威胁 landscape，必须同时看三件事：攻击面在哪里、威胁模型如何抽象、真实攻击如何发生。

一、攻击面：从物理接口到云端链路

车载攻击面可以按“距离车辆核心控制网络的距离”分层理解。最外层是远程攻击面，包括蜂窝网络、Wi-Fi、蓝牙、GNSS、V2X 和 OTA 服务器；中间层是近场攻击面，包括 USB、OBD-II、诊断接口、充电口和 NFC；最内层是车载网络攻击面，包括 CAN、CAN FD、LIN、FlexRay 和车载以太网。攻击者通常不会一步直达动力控制，而是寻找“入口—跳板—目标”的路径。

例如，信息娱乐系统（IVI）往往同时具备蓝牙、Wi-Fi、USB 和蜂窝连接，一旦被攻破，就可能成为跳板，通过网关或域控制器向 CAN 总线发送伪造报文。OBD-II 接口虽然物理接触要求高，但可直接访问诊断服务，常用于刷写、读取故障码和注入报文。充电口在电动汽车中不仅是能量接口，还可能承载 PLC 通信和诊断数据，成为新的攻击面。

二、威胁模型：STRIDE 与攻击树在车内的落地

威胁模型的作用，是把“可能被攻击”转化为“谁、通过什么路径、达成什么后果、需要什么前提”。在车载场景中，常用 STRIDE 分类：Spoofing（伪造身份）、Tampering（篡改数据）、Repudiation（抵赖）、Information Disclosure（信息泄露）、Denial of Service（拒绝服务）、Elevation of Privilege（权限提升）。例如，CAN 报文没有内置认证，攻击者可以伪造车速、转速或刹车信号，属于 Spoofing 与 Tampering；OTA 包若未严格校验签名，攻击者可替换固件，属于 Tampering 与 Elevation of Privilege。

更贴近工程实践的是攻击树：根节点是“远程控制车辆”，子节点包括“入侵 IVI”“突破网关”“注入 CAN 报文”“绕过安全启动”等。每个子节点再分解为具体条件，如“蓝牙协议栈存在漏洞”“网关未做报文白名单”“诊断服务未鉴权”。攻击树的价值在于把防御资源优先投入到关键路径上，而不是平均用力。

三、典型攻击案例：远程控制、CAN 注入与 OTA 劫持

远程控制的经典案例是 2015 年 Jeep Cherokee 事件。研究人员通过蜂窝网络进入 Uconnect 信息娱乐系统，利用固件更新漏洞写入恶意代码，再通过 CAN 总线发送控制指令，最终实现远程减速、转向和刹车。该事件的关键不是单一漏洞，而是“远程入口 + 车内网络无隔离 + 关键报文无认证”的叠加。

CAN 注入更直接。CAN 总线采用广播式通信，报文 ID 越小优先级越高，且没有源地址认证。攻击者一旦接入总线，就可以持续发送高优先级报文，覆盖真实 ECU 的控制信号。例如，伪造车速信号可干扰仪表和 ADAS；伪造刹车信号可触发制动；伪造转速信号可影响动力输出。常见注入方式包括 OBD-II 直连、恶意诊断设备、被攻破的 IVI 转发，以及通过充电口或以太网网关横向移动。

OTA 劫持则瞄准软件更新链。OTA 流程通常包括：云端生成更新包、签名、下发、车端下载、校验、写入、激活。若签名校验被绕过、下载通道被中间人攻击、或回滚机制不严格，攻击者可推送恶意固件，获得持久化控制权。OTA 劫持的后果往往比单次 CAN 注入更严重，因为它可以修改 ECU 的底层逻辑，甚至关闭安全机制。

四、误区与复盘：不要只盯“入口”，要盯“路径”

复盘时，建议用“攻击路径图”而不是“漏洞清单”来组织防御。先画出从远程入口到关键执行器的所有可行路径，再在每条路径上标注现有控制措施和缺失控制措施。例如，路径“蜂窝 → IVI → 网关 → CAN → 制动 ECU”上，应依次检查：蜂窝防火墙、IVI 应用沙箱、网关白名单、CAN IDS、制动 ECU 安全启动。只有把威胁模型、攻击面和真实案例放在同一张图上，才能看清哪些是“单点漏洞”，哪些是“系统性缺陷”。