3、车联网通信基础：V2X、4G/5G、Wi-Fi、蓝牙、UWB等通信方式及其安全挑战
车联网（V2X）通信是智能网联汽车与外部世界交互的“神经末梢”，也是TARA（威胁分析与风险评估）分析的首要对象。在ISO 21434的框架下，通信信道是攻击面最广、攻击路径最复杂的组成部分。本章将系统梳理V2X、4G/5G、Wi-Fi、蓝牙、UWB等主流通信方式的技术特征、安全属性与典型攻击面，并给出面向TARA分析的通信安全评估方法。理解这些通信方式的物理层特性、协议栈结构以及应用场景，是后续进行威胁场景建模和风险值计算的前提。
上图展示了车载通信网关与各通信方式之间的连接关系以及各自面临的核心安全挑战。在实际TARA分析中，我们需要针对每一种通信链路分别建立威胁模型，因为它们的攻击面、攻击者能力假设和潜在影响差异显著。下面逐一展开分析。
3.1 V2X通信：广播信任与证书体系
核心原理
V2X（Vehicle-to-Everything）包括V2V（车对车）、V2I（车对基础设施）、V2P（车对行人）等场景，主要基于IEEE 802.11p（DSRC）或C-V2X（LTE-V2X/NR-V2X）技术。其核心特征是广播式通信，车辆周期性发送BSM（基本安全消息）或CAM（协作感知消息），包含位置、速度、加速度等实时数据。V2X消息采用PKI（公钥基础设施）体系进行签名，接收方需验证消息签名和证书有效性。
| 特性 | DSRC (802.11p) | C-V2X (LTE/NR) |
|---|---|---|
| 通信模式 | 直接短距通信 | 蜂窝+直连（PC5） |
| 时延 | <10ms | <10ms（PC5） |
| 覆盖范围 | 约300m | 约500m（PC5） |
| 安全机制 | IEEE 1609.2证书 | 3GPP TS 33.185 |
| 主要风险 | 信道拥塞、伪造消息 | 证书管理、网络依赖 |
判断方法与操作流程
在TARA分析中，对V2X通信的威胁评估应遵循以下流程：
- 资产识别：明确V2X消息类型（BSM、SPAT、MAP等）及其数据字段。
- 攻击路径分析：考虑攻击者可能通过伪造OBU（车载单元）发送虚假消息，或通过RSU（路侧单元）劫持广播。
- 影响评估：虚假V2X消息可能导致碰撞预警失效、交通拥堵诱导等后果。
- 安全措施映射：检查是否启用证书吊销列表（CRL）、消息频率检测、异常行为检测等。
常见误区
- 误区一：认为V2X消息有签名就安全，忽略了证书链验证中的时间戳和重放攻击防护。
- 误区二：只关注V2X应用层安全，忽略了底层PC5接口的物理层干扰和信道拥塞攻击。
- 误区三：未考虑隐私保护，车辆长期使用固定证书导致轨迹追踪风险。
3.2 4G/5G蜂窝通信：远程攻击的主要入口
核心原理
蜂窝网络是车联网远程服务的基础，承载OTA升级、远程诊断、实时导航、紧急呼叫（eCall）等业务。4G LTE和5G NR均采用USIM卡进行用户身份认证，网络侧通过核心网（EPC/5GC）进行接入控制。5G引入了更强的隐私保护（SUCI加密）和网络切片安全隔离。
判断方法与操作流程
针对蜂窝通信的TARA分析，需要特别关注以下攻击面：
- 伪基站（IMSI Catcher）：攻击者部署虚假基站，诱导车辆接入，窃取IMSI或下发恶意配置。
- 核心网信任边界：漫游场景下，拜访网络与归属网络之间的信令交互可能被利用。
- 应用层协议：基于TCP/IP的远程服务可能遭受中间人攻击，若未启用TLS或证书校验不严。
// 示例：TARA分析中蜂窝通信威胁场景描述
威胁场景：攻击者在高速公路上部署伪基站，迫使车辆从5G NR降级到4G LTE，并利用LTE的加密降级漏洞（如ALGONQUIN攻击）窃听通信内容。
影响：远程指令被篡改，可能导致非预期加速或制动。
风险值：攻击复杂度中等，影响严重，风险等级高。
缓解措施：启用5G的SUCI加密，配置网络侧异常降级检测。案例拆解
某OEM在车辆远程控制功能测试中发现，通过运营商APN（接入点名称）配置错误，攻击者可利用DNS劫持将远程控制服务器的域名解析到恶意IP。由于车辆端未启用证书固定（Certificate Pinning），攻击者成功实施了中间人攻击，获取了远程控制指令的明文。修复措施包括：在T-Box中内置服务器公钥哈希白名单，并启用双向TLS认证。
常见误区
- 认为5G网络安全，忽略了应用层和终端侧的安全配置。
- 未将eCall等紧急通信链路纳入TARA范围，导致紧急呼叫功能被滥用。
- 忽略SIM卡远程管理（eUICC）的配置安全，攻击者可能通过OTA修改SIM卡应用。
3.3 Wi-Fi与蓝牙：短距连接的隐藏风险
核心原理
Wi-Fi主要用于车载热点、无线CarPlay/Android Auto投屏、OTA下载加速等场景，通常基于802.11a/b/g/n/ac/ax。蓝牙（包括BLE）则用于免钥匙进入、胎压监测、蓝牙音频、手机钥匙等。两者均属于短距离无线通信，但安全机制差异较大：Wi-Fi依赖WPA2/WPA3加密，蓝牙依赖配对过程中的临时密钥（TK）和长期密钥（LTK）。
| 通信方式 | 典型应用 | 认证机制 | 主要漏洞 |
|---|---|---|---|
| Wi-Fi | 车载热点、投屏 | WPA2-PSK/802.1X | KRACK攻击、暴力破解PSK |
| 蓝牙经典 | 音频、电话 | PIN配对/SSP | BlueBorne、KNOB攻击 |
| BLE | 数字钥匙、传感器 | LESC配对 | 中继攻击、嗅探 |
判断方法与操作流程
在评估Wi-Fi/蓝牙安全时，建议按以下步骤操作：
- 确认Wi-Fi是否支持WPA3-SAE，是否禁用了WPS功能。
- 检查蓝牙配对模式是否强制使用安全连接（Secure Connections）和MITM保护。
- 验证BLE设备的白名单过滤和连接间隔随机化是否启用。
- 测试是否存在未授权GATT服务访问，例如通过BLE读写车辆状态。
案例拆解
某车型的BLE数字钥匙系统被研究人员发现存在中继攻击漏洞。攻击者使用两个廉价的BLE转Wi-Fi设备，将车主手机钥匙信号通过互联网中继到车辆附近，成功解锁并启动车辆。该攻击无需破解任何加密算法，仅利用了BLE的测距机制缺陷。修复方案是引入UWB（超宽带）进行安全测距，因为UWB具有纳秒级时间分辨率，能有效抵抗中继攻击。
常见误区
- 认为蓝牙配对时输入了PIN码就安全，忽略了传统配对（Legacy Pairing）的固定PIN码（如0000）风险。
- 未将Wi-Fi的AP隔离功能启用，导致连接同一热点的乘客设备可互相访问。
- 忽略蓝牙广播通道的隐私泄露，攻击者可通过MAC地址跟踪车辆位置。
3.4 UWB：高精度测距与中继攻击防御
核心原理
UWB（超宽带）技术通过发送纳秒级脉冲信号，利用飞行时间（ToF）实现厘米级测距。在车联网中，UWB主要用于数字钥匙（CCC标准）、车内儿童存在检测、自动泊车等场景。其安全优势在于物理层的时间分辨率极高，使得中继攻击（Relay Attack）难以实施，因为攻击者无法在纳秒级时间内转发信号而不引入延迟。
判断方法与操作流程
在TARA分析中，UWB的安全评估应关注：
- 测距协议完整性：是否采用加扰时间戳序列（STS）防止距离欺骗。
- 多路径干扰：攻击者是否可通过反射信号制造虚假测距结果。
- 共存干扰：UWB与Wi-Fi/蓝牙的频谱共存是否导致拒绝服务。
常见误区
- 认为UWB可以完全替代BLE，忽略了UWB的功耗较高且需要额外硬件成本。
- 未考虑UWB天线阵列的校准问题，导致测距精度下降，反而引入安全漏洞。
- 忽略UWB信号的物理层干扰，例如在停车场等金属反射环境中，测距结果可能被操纵。
3.5 通信安全评估综合框架
综合上述分析，在ISO 21434的TARA流程中，针对通信方式的评估应形成统一的威胁场景库。下表给出了不同通信方式的典型威胁场景与风险等级参考：
| 通信方式 | 典型威胁场景 | 攻击者能力 | 潜在影响 | 风险等级 |
|---|---|---|---|---|
| V2X | 伪造BSM消息导致碰撞预警失效 | 中等（需自制OBU） | 生命安全 | 高 |
| 4G/5G | 伪基站降级攻击窃听远程指令 | 高（需SDR设备） | 车辆控制 | 高 |
| Wi-Fi | 暴力破解热点密码接入车内网络 | 低（需靠近车辆） | 数据泄露/控制 | 中高 |
| 蓝牙 | BLE中继攻击非法解锁 | 中等（需双设备） | 财产损失 | 中 |
| UWB | 测距欺骗绕过数字钥匙认证 | 高（需专业设备） | 财产损失 | 中 |
在实际项目中，建议采用分层防御策略：在物理层采用UWB测距防护，在链路层启用加密和完整性校验，在网络层部署防火墙和入侵检测，在应用层实施双向认证和权限管理。同时，应定期更新通信模块的固件，并建立异常通信行为的监控机制。
最后，需要强调的是，通信安全不仅仅是技术问题，还涉及法规合规（如UN R155）、隐私保护（GDPR）和供应链安全。在TARA分析中，应明确通信模块供应商的安全责任边界，并要求提供安全配置指南和漏洞响应计划。通过系统化的威胁建模和风险评估，才能构建真正安全的车联网通信体系。