4、汽车网络安全威胁全景：常见攻击面、攻击类型（远程、近场、物理）、典型攻击案例（如Jeep Cherokee破解）

在ISO/SAE 21434与TARA（威胁分析与风险评估）框架下，理解攻击面与攻击类型是开展风险评估的前提。攻击面是攻击者能够触及的系统入口，攻击类型则描述了攻击发生的物理或逻辑距离。本章将系统梳理智能网联汽车的攻击面分类、攻击类型矩阵，并以2015年Jeep Cherokee破解事件为闭环案例，展示从攻击面识别到TARA影响评定的完整分析路径。

上图展示了汽车攻击面的三大分类与攻击类型矩阵。远程攻击面是攻击者最青睐的入口，因为其无需物理接触且可大规模利用；近场攻击面需要攻击者靠近车辆，但往往缺乏足够的访问控制；物理攻击面虽然成本最高，但一旦成功，攻击者可以获得最底层的信任根。在TARA分析中，我们需要对每个攻击面进行可达性、攻击难度、影响等级的评估。

4.1 攻击面分类与暴露度评估

核心原理：攻击面是系统暴露给潜在攻击者的所有入口点集合。在汽车领域，攻击面可以按照物理距离、通信协议、访问权限三个维度进行划分。ISO/SAE 21434中要求对每个攻击面进行可达性分析（Attack Feasibility），通常采用攻击潜力（Attack Potential）评估方法，考虑攻击时间、专业知识、知情程度、访问机会、设备资源等参数。

判断方法：在TARA实践中，我们使用攻击面清单（Attack Surface Inventory）进行系统化梳理。以下是一个典型的攻击面评估流程：

1. 系统边界定义：明确车辆的功能域（动力、底盘、车身、信息娱乐、远程通信、ADAS）
2. 接口枚举：列出所有物理端口、无线协议、逻辑接口（API、诊断服务）
3. 可达性分级：远程可达（攻击者可在任意位置）、近场可达（需在车辆10米内）、物理可达（需接触车辆或部件）
4. 访问权限评估：是否需要认证、是否需要密钥、是否默认开放
5. 攻击潜力计算：根据时间、专业度、知识、机会、设备五要素打分

攻击面	典型协议/接口	可达性	攻击潜力等级	典型影响
蜂窝通信模块	4G/5G, TCP/UDP	远程	高（低门槛）	远程控制、数据窃取
蓝牙/Wi-Fi	BLE, 802.11	近场	中	IVI入侵、恶意配对
OBD-II端口	CAN, UDS	物理	低（需物理接触）	ECU重编程、防盗绕过
无线钥匙	315/433MHz, LF	近场	中高	中继攻击、车辆盗窃
TPMS传感器	433MHz	近场	中	虚假胎压、CAN注入
调试接口	JTAG/SWD	物理	低（需拆解）	固件提取、密钥泄露

4.2 攻击类型深度解析：远程、近场与物理

核心原理：攻击类型决定了威胁场景的可行性与影响范围。远程攻击（Remote Attack）指攻击者通过网络协议从任意地理位置发起攻击，典型如利用蜂窝网络的漏洞；近场攻击（Proximity Attack）指攻击者需要在车辆附近（通常10米内）使用无线设备，如蓝牙、Wi-Fi、RFID中继；物理攻击（Physical Attack）指攻击者需要直接接触车辆硬件或电子控制单元（ECU），如使用JTAG调试器读取芯片固件。

判断方法：在TARA中，攻击类型直接影响攻击潜力（Attack Potential）的评分。远程攻击通常需要更高的技术能力，但攻击机会不受限制；物理攻击虽然需要接触，但攻击时间可以很长，且设备成本相对较低。下表对比了三种攻击类型的关键特征：

维度	远程攻击	近场攻击	物理攻击
攻击距离	任意（互联网）	≤10米	直接接触
攻击时间窗口	可反复尝试	需在车辆附近	需获得车辆访问权
所需设备	电脑、SDR、手机	便携设备、SDR	调试器、示波器、热风枪
攻击成功率	中低（需漏洞）	中	高（直接硬件访问）
隐蔽性	高（可远程操作）	中（需靠近）	低（可能留下痕迹）
典型目标	TCU、IVI、云端	钥匙、TPMS、蓝牙	ECU、存储芯片

案例拆解：以无钥匙进入系统（PEPS）为例，近场攻击中的中继攻击（Relay Attack）已成为车辆盗窃的主要手段。攻击者使用两个无线电设备，一个靠近车辆，一个靠近车主，通过放大信号绕过距离限制。这种攻击不需要破解任何加密算法，只需在物理层进行信号转发。在TARA分析中，该威胁场景的攻击潜力评分为：攻击时间（几分钟）、专业知识（低）、知情程度（公开知识）、访问机会（需靠近）、设备资源（约2000元设备），综合评定为高攻击潜力。

4.3 典型攻击案例拆解：Jeep Cherokee破解（2015）

案例背景与约束：2015年，安全研究员Charlie Miller和Chris Valasek在Jeep Cherokee上实现了远程代码执行，这是汽车网络安全史上里程碑式的事件。该车型搭载了Uconnect信息娱乐系统，通过蜂窝网络（Sprint 3G）提供远程服务。研究人员的约束是：不能对车辆造成永久性损坏，且需要在高速公路行驶中演示远程控制。

初始现象与目标：研究团队的目标是验证远程攻击者能否控制车辆的核心功能。他们首先从Uconnect系统的网络服务入手，发现其开放了端口6667（IRC协议）和端口80（HTTP）。通过扫描，他们确认了Uconnect的IP地址范围，并找到了一个可访问的D-Bus服务。

关键输入数据与参数：

• Uconnect系统固件版本：使用QNX操作系统
• 开放端口：6667（IRC）、80（HTTP）、22（SSH，但默认关闭）
• 漏洞点：D-Bus守护进程未正确配置访问控制，允许远程调用
• CAN总线连接：Uconnect通过CAN总线与车辆其他ECU通信

分析判断过程：攻击路径分为三步：第一步，通过蜂窝网络扫描发现Uconnect的IP地址；第二步，利用D-Bus漏洞获取Uconnect的root权限；第三步，通过Uconnect的CAN接口向其他ECU发送恶意消息。研究人员发现，Uconnect的CAN消息过滤机制存在缺陷，允许注入任意ID的CAN帧。

实际操作步骤：

# 步骤1：扫描网络，发现Uconnect设备
nmap -p 6667,80,22 <目标IP范围>

# 步骤2：利用D-Bus漏洞，执行远程命令
dbus-send --system --dest=org.freedesktop.DBus \
  --type=method_call /org/freedesktop/DBus \
  org.freedesktop.DBus.ListNames

# 步骤3：获取root shell后，通过CAN接口注入消息
echo "02 01 00 00 00 00 00 00" | cansend can0 -i 0x7E0

结果对比：研究人员成功在高速公路行驶中通过远程指令控制了空调、雨刷、收音机，并最终切断了变速箱，使车辆在低速时无法加速。这一事件导致FCA（菲亚特克莱斯勒）召回约140万辆汽车，并促使整个行业重新审视汽车网络安全。

风险与代价：该攻击的代价是研究人员花费了数月时间进行逆向工程，但攻击者一旦掌握方法，可以批量攻击所有同型号车辆。修复措施包括：关闭不必要的网络端口、加强D-Bus访问控制、在CAN网关增加消息过滤规则。

复盘经验：

• 远程攻击面是最高风险入口，必须最小化暴露面
• 信息娱乐系统与关键ECU之间必须设置安关
• CAN总线消息需要认证和完整性校验
• OTA更新机制必须支持快速漏洞修复

4.4 常见误区与总结复盘

常见误区一：只关注远程攻击面，忽视近场和物理攻击。实际上，近场攻击（如中继攻击）已成为车辆盗窃的主要手段，物理攻击（如芯片微探针）可以提取密钥，进而绕过所有安全机制。

常见误区二：将攻击面清单视为静态文档。车辆在生命周期内会新增功能、更新固件、增加外部连接，攻击面是动态演变的。ISO/SAE 21434要求在整个开发周期和运维阶段持续进行威胁分析。

常见误区三：低估攻击者能力。攻击者可以利用公开的漏洞库、逆向工程工具、AI辅助分析，攻击门槛正在降低。TARA评估中应使用保守的攻击潜力评分。

总结复盘：本章建立了汽车网络安全威胁全景的框架：攻击面是威胁的入口，攻击类型决定了攻击的可行性，典型案例揭示了攻击路径的复杂性。在后续章节中，我们将深入探讨TARA的具体方法，包括威胁场景建模、影响评级、攻击潜力计算和风险决策。请记住，威胁全景分析不是一次性的活动，而是伴随车辆全生命周期的持续过程。