网联车辆的威胁分析与风险评估

白帽小野

已于 2025-07-12 14:31:04 修改

阅读量500

点赞数 20

CC 4.0 BY-SA版权

文章标签：威胁分析 TARA

于 2025-07-12 11:58:04 首次发布

本文链接：https://blog.csdn.net/baimaoxiaoye/article/details/149289691

网联车辆的TARA（Threat Analysis and Risk Assessment，威胁分析与风险评估）是ISO/SAE 21434标准的核心要求，旨在系统化识别车辆电子电气（E/E）架构和网络中的安全威胁，并评估其风险等级，从而指导安全措施的设计。以下结合车内E/E架构和网络特点，对TARA的关键步骤及分析方法进行详细拆解：

1. 理解车辆E/E架构与网络环境

典型架构分层

域集中式架构（如AUTOSAR Adaptive）：
- 功能域（动力、底盘、车身、信息娱乐、自动驾驶）通过域控制器（DCU）整合，依赖高速以太网（如Some/IP）和传统CAN/CAN FD混合通信。
- 关键组件：T-Box（远程通信）、IVI（用户交互）、ECU（控制执行）、网关（域间隔离）。
通信网络：
- CAN/CAN FD：低延迟但无加密，易受注入攻击（如伪造车速信号）。
- 以太网：支持IP协议栈，但面临DoS或协议漏洞（如TCP/IP堆栈溢出）。
- 无线通道：蜂窝网（5G）、蓝牙/BLE、Wi-Fi（如密钥协商漏洞CVE-2023-35843）。

攻击面枚举

入口点：OBD-II接口、USB诊断口、无线接口（T-Box）、第三方APP集成。
数据流路径：传感器→ECU→网关→云端（如自动驾驶数据上传）。

2. TARA核心步骤分析

(1) 资产识别（Assets Identification）

高价值资产：
- 功能安全相关：制动/转向控制ECU、自动驾驶决策算法。
- 隐私相关：用户生物特征、行驶轨迹、VIN码。
- 系统完整性：OTA更新包、ECU固件、数字证书。

(2) 威胁场景建模（Threat Scenarios）

方法论：
- STRIDE模型（欺骗、篡改、抵赖、信息泄露、拒绝服务、权限提升）映射到车用场景。
- 攻击树分析（Attack Trees）细化攻击路径（如从T-Box渗透到CAN总线）。

典型威胁示例：

威胁类型	具体场景	关联资产
欺骗	伪造V2X消息诱导紧急刹车	自动驾驶系统
篡改	恶意刷写ECU固件禁用ABS	制动控制ECU
信息泄露	通过未加密CAN总线窃取车速数据	CAN通信数据
DoS	洪泛以太网导致ADAS延迟	车载以太网交换机

(3) 攻击可行性评估（Attack Feasibility）

影响因素：
- 攻击复杂度：是否需要物理接触（如OBD-II攻击 vs. 远程5G漏洞利用）。
- 技术门槛：逆向CAN协议（工具普及） vs. 破解HSM（需专业设备）。
- 公开情报：漏洞利用代码（如Metasploit模块）是否可用。
参考标准：
- CVSS评分：评估漏洞严重性（如CVE-2022-4123影响T-Box认证机制，CVSS 8.1）。
- SAE J3061：针对汽车行业的威胁概率分级（如"Probable"需历史事件支撑）。

(4) 影响分析（Impact Assessment）

三个维度：
- 功能安全：ISO 26262 ASIL等级（如转向失效可能导致ASIL D）。
- 隐私合规：GDPR/CCPA下的数据泄露罚款风险。
- 商业声誉：大规模OTA攻击导致召回损失。

(5) 风险等级判定（Risk Level）

风险矩阵：结合攻击可能性（Likelihood）和影响程度（Impact）划分等级（如High/Medium/Low）。
- 示例：
  - 高风险：远程通过T-Box漏洞控制动力系统（高可能性+高影响）。
  - 中风险：本地篡改IVI系统界面（需物理接触+低安全影响）。

3. 针对车内网络的TARA实例

案例：CAN总线攻击风险评估

资产：CAN总线传输的制动指令（如0x123报文）。
威胁：攻击者注入虚假制动信号（篡改）。
攻击路径：
- 物理接入OBD-II → 嗅探CAN ID → 重放恶意报文。
- 远程渗透IVI → 利用网关路由漏洞转发到CAN。
可行性：
- 工具（CANalyzer）普及，但需物理接触或跨域渗透能力。
影响：
- 可能导致碰撞（ASIL D）。
风险等级：High（若结合远程漏洞则升级为Critical）。

缓解措施：

技术层：CAN总线加密（如AES-128）、入侵检测（基于报文频率检测）。
架构层：域间隔离（网关防火墙过滤跨域CAN报文）。

4. TARA输出与安全需求导出

关键交付物：
- 威胁清单（Threat Catalog）：结构化记录所有威胁场景。
- 安全目标（Security Goals）：如“确保ECU固件完整性”。
- 技术需求（TSR）：如“OTA更新需使用ECDSA签名验证”。
关联标准：
- ISO 21434：要求TARA贯穿整车开发生命周期（V模型）。
- UN R155：强制要求车企建立CSMS（网络安全管理系统），TARA是核心输入。

5. 行业实践挑战

动态更新：新攻击技术（如AI对抗样本）需迭代TARA。
供应链协作：TARA需覆盖第三方组件（如Tier1提供的ECU）。
权衡取舍：安全措施（如加密）可能增加通信延迟，影响实时性。

总结

车辆的TARA需紧密结合E/E架构的分层特性和通信协议弱点，通过系统化的威胁建模（如STRIDE+攻击树）和量化评估（CVSS+ASIL），最终导出可落地的安全需求。随着架构向区域控制（Zone Architecture）演进，TARA需重点关注跨域通信（如以太网TSN）的安全边界划分。