3. 以太网安全威胁
车载以太网把动力、底盘、智驾、座舱、诊断与车云通道连成一张高带宽网络，带来线束减重与数据融合优势的同时，也把传统 IT 世界的攻击面引入了车内。理解威胁，是设计 MACsec 安全链路的前提：只有先明确“谁在什么位置、能对哪些帧做什么”，才能决定加密、完整性校验、防重放窗口和密钥更新策略的落点。
一、车载网络攻击面：从物理接口到车云边界
车载以太网的攻击面可按“接触距离”分层理解。物理层攻击面包括 OBD 诊断口、未锁定的以太网诊断端口、USB/Type-C 数据口、T-Box 外置天线与充电通信接口；链路层攻击面集中在交换机端口、VLAN 划分、TSN 时间同步与 MAC 地址表；网络与传输层攻击面则包括 IP 路由、DoIP、SOME/IP 服务发现、UDP 组播与 TCP 会话；应用与云端攻击面覆盖 OTA 升级通道、远程控车 API、数字钥匙与日志上传链路。
值得注意的是，车内以太网多为交换式全双工网络，攻击者一旦接入某个空闲端口，就可能通过镜像、泛洪或伪造报文横向移动。因此攻击面评估不能只看“外部能否连入”，还要看“内部节点被攻陷后能影响多大范围”。
二、四类常见攻击的机理与车载表现
窃听（Eavesdropping）：攻击者在共享介质或交换机镜像端口上捕获以太网帧。车载场景中，若 SOME/IP 或 DoIP 报文未加密，攻击者可读取诊断请求、传感器原始数据甚至密钥协商过程。MACsec 通过 AES-GCM 对帧载荷加密，使窃听者只能看到密文与部分头部信息。
篡改（Tampering）：攻击者修改帧内字段后重新发出，例如把制动请求的减速度值改大、把诊断响应中的故障码清除。MACsec 的 ICV（完整性校验值）基于整个帧计算，任何比特翻转都会导致接收端校验失败并丢弃帧。
重放（Replay）：攻击者不破解加密，只把之前捕获的合法帧原样重发，诱导接收端重复执行动作，如重复解锁、重复升级确认。MACsec 在 SecTAG 中携带 32 位 PN（Packet Number），接收端维护重放窗口，只接受 PN 递增且落在窗口内的帧。
拒绝服务（DoS）：攻击者以高速率泛洪广播帧、伪造大量 ARP/ND 或耗尽交换机 MAC 表，导致正常控制报文排队延迟甚至丢帧。MACsec 本身不直接消除 DoS，但可结合端口准入、流量监管与 TSN 队列保护，把攻击流量限制在低优先级队列。
四类攻击与 MACsec 防护能力的对应关系：窃听→加密；篡改→ICV 完整性校验；重放→PN 与重放窗口；DoS→需配合准入控制、限速与队列调度，MACsec 仅提供逐帧认证基础。
三、安全需求与法规标准
车载以太网安全需求通常从机密性、完整性、可用性、真实性与可审计性五个维度展开。机密性要求敏感报文不以明文传输；完整性要求接收端能检测任何未授权修改；可用性要求安全机制不能显著增加时延或丢包；真实性要求通信双方身份可信；可审计性要求密钥更新、异常丢弃等事件可记录。
法规与标准层面，ISO/SAE 21434 规定了道路车辆网络安全工程流程，要求从概念阶段开展 TARA（威胁分析与风险评估）；UN R155 要求整车厂建立 CSMS（网络安全管理体系）并通过型式认证；IEEE 802.1AE 定义 MACsec 帧格式与加密认证机制，IEEE 802.1X 提供端口接入认证，MKA（MACsec Key Agreement）负责密钥协商与更新。国内则参考 GB/T 40857、GB 44495 等标准对车载网络安全的测试与准入提出要求。
| 标准/法规 | 关注重点 | 与 MACsec 的关系 |
|---|---|---|
| ISO/SAE 21434 | 网络安全工程流程、TARA | 为 MACsec 部署范围与等级提供风险依据 |
| UN R155 | CSMS 与型式认证 | 要求证明链路防护措施有效且可审计 |
| IEEE 802.1AE | MACsec 帧格式、加密与 ICV | 定义链路层加密认证的具体实现 |
| IEEE 802.1X / MKA | 端口认证与密钥协商 | 为 MACsec 提供对端身份与密钥更新 |
| GB 44495 等 | 整车信息安全技术要求 | 约束车内通信防护与测试方法 |
四、场景案例与常见误区复盘
某车型在路试阶段发现，诊断仪通过 OBD 口接入后可直接读取智驾域控的原始感知数据。复盘发现该链路未启用 MACsec，且诊断交换机端口未做准入控制。整改方案为：在 OBD 与网关之间启用 MACsec，配合 802.1X 认证，仅允许授权诊断仪建立安全链路；同时对诊断流量限速，防止泛洪影响控制报文。
常见误区有三：其一，认为“车内网络是封闭的，不需要加密”，忽视了诊断口、T-Box 和 OTA 通道的暴露；其二，只做加密不做重放防护，导致旧帧仍可被利用；其三，把 MACsec 当成万能方案，忽略 DoS 与密钥管理。正确做法是把 MACsec 作为链路层基础防护，与准入控制、流量监管、TSN 队列保护和密钥生命周期管理组合使用。
排障提示：若 MACsec 链路出现大量 ICV 校验失败，优先检查两端密钥是否一致、PN 是否回绕、时钟同步是否异常；若出现重放丢弃计数增长，检查是否存在环路或镜像端口误接。
# 查看 MACsec 端口统计（示例）
show macsec interface eth0
Rx ICV Errors : 0
Rx Replay Errors : 12
Tx Protected Frames : 184230
Tx Encrypted Frames : 184230
CAK / CKN Match : yes
PN Window : 64
综上，车载以太网的安全威胁并非单一攻击，而是从物理接入到云端通道的多层组合。明确攻击面、识别四类攻击机理、对齐法规标准，才能为后续 MACsec 链路集成确定正确的防护边界与验证指标。