车联网身份及密钥管理应用方案

---明确车厂车联网运营商的防护责任和要求
1.2 车联网国内相关密码应用标准
5
国 内
序号
名称
负责机构
发布时间
1
《国家车联网产业标准体系建设指南（智能网联汽车）》
工业部、国标委
2017/12/27
2
T/ITS《基于公众电信网的联网汽车信息安全技术要求》
智能交通产业联盟
2017/12/10
3
《车联网信息安全防护指南》
假名CA
长期证书
签名者ID:长期证书ID私钥
假名证书
签名者ID:假名证书ID私钥
分发长期CA证书
14
分发
分发
分发
3.2.2车联网身份及密钥管理应用--身份管理
为所有通信实体颁发身份配合主机厂产线系统进行匹配配合零配件供应商进行流程定制配合4S店进行在线管理
车载 T-BOX
车厂
车厂根证书车厂原根证 书（第三方/自建CA签 发）
移动终端APP
根证书模块证书
汽车控制中心
根证书模块证书
汽车ECU单元
根证书
模块证书
安全加密通道
操作指令
核心单元控制指令
非核心单元控制指令
ECU单元操作指令
娱乐系统指令
汽车启动关闭指令
远程系统升级指令
车窗控制指令
汽车状态查看指令
安全加密通道
强身份认证 车厂/第三方服务 强身份认证
端到端强身份认证，保证接入安全性；分层实施有机结合，解决各子系统的安全问题；基于数字证书的双向身份认证，提供身份合法性依据；核心单元控制指令和非核心单元控制指令须智能区分；核心单元指令必须由车厂数据中心监管并下发；某些涉及系统娱乐等非核心单元指令可由第三方服务商下发；
舒适与灵活性
应用
管理
设施
网络传输
接入
内部通信
外部通信
安全
安全通信
内部通信
外部通信
安全信息
安全软件
数据一致性和有效性
安全存储
隐私保护
安全管理
证书管理
安全设施管理
安全分析
审计
监控分析
日志分析
安全和隐私策略
策略存储
策略管理
策略执行
22
密 码 操 作
4.5车联网应用案例汇总及公司简介
覆盖政府、金融电信、军工军队、央企等车联网密码应用先行者：长春一汽车联网PKI项目长安汽车智能网联数字证书项目威马汽车车联网PKI项目江铃车联网PKI安全项目泛亚汽车ECU 软件签名系统项目比亚迪密码应用标准项目东风汽车密码应用标准项目…. ……
供应商可拿到身份标识证书进行备份，将证书导入任 意T-BOX，无法标识T-BOX的唯一性，且无法形成对T-BOX的有效管理
指令易被破解，影响行车安全（易被黑客冒充控制中心发布恶意指令）
ECU安全 •影响正品配件销售（车主自行破解升级）
车机HU
FOTA
远程接收非法或恶意软件/更新包，间接影响汽车/行车安全手机与车机双向控制指令截获、篡改，影响行车安全获取虚假车辆控制单元状态
OTA系统
MES系统
密钥管理
通信加密
指令鉴别
数据完整
设备和身 份识别
非对称/对称密钥管理PKI/KMS系统
车联网联接平台
9
2.车联网安全应用通用框架
四级框架：根据安全防护涉及车联网业务划分
10
移动终端
服务平台
移动终端
路边单元
Level 4: ECU/传感器/执行器
Level 3： 网关（OTA）
Level1: 云服务/移动终端/路边单元
9
GB/T《车辆总线信息安全技术要求》
10
智能交通 ：《数字证书应用接口》、《数字证书格式》
交通部
2018年
1.3 密钥在车联网应用中的意义
6
密钥协商非对称协商密钥
OTA升级包
合法性和完整性
终端和云端安全 通信和身份认证
终端和终端安全通
信和身份认证
敏感数据
公钥加密
用户控车指令 不可否认性
空中升级数据完整性/真实性
空调送风
T-BOX Server运营商
物联网网络
核心
业务Level 2
身份标识表达、管理混乱（自建，第三方）
第三方CA签发的身份标识通用，离线签发和导入，易被 用于其他车企；且标识变更依赖第三方第三方CA合规、合法性不确定
远程通 信
认证方式简单，易被破解缺乏终端对车厂外联服务的身份校验网络易被入侵，遭受恶意代码攻击
内部通信：如传感器数据、命令 和信号等，需要进行安全传输以 确保数据不会被篡改；外部通信：接收方至少需要验证 发送方的真实性和授权特性，以 及所传输数据的完整性；安全信息：对车辆和路侧设施存 储、交换的数据进行保护，包括 安全存储、安全软件、隐私保护、 数据一致性、数据合理性等。
道路安全
道路交通效率
车联网身份及密钥管理应用方案
目录
1. 国家政策和规范
车联网安全框架车联网密码应用方案车联网案例应用汇总
1.1 车联网安全性事件
南卡罗莱纳大 学实现对TMPS系统的 攻击与实现利 用OBD接口控 制汽车
USENIX安全会 议汽车攻击面分 析报告DEFCON短信解 锁斯巴鲁傲虎
DEFCON会议上，通过OBD 控制福特翼虎， 丰田普锐斯
车端/总线数据传输机密性
车端及零配件 身份认证
对称/非对称 密钥基础设施
1.4 密钥应用形态
常见的密码模块
加密芯片
智能密码钥匙
明确的边界
加密机
加密软件
OpenSSLCrypto Module
数据输入 数据输出 控制输入 状态输出电源 模块边界
7
1.4 密钥应用等级要求（1-4级）
参见国家标准：《GMT 0028-2014 密码模块安全技术要求》
18
SE Provider 安全元件提供商
4.3数字钥匙应用架构
TSM：可信服务管理器，创建管理连接移动UI：OEM/TSM和智能设备之间的接口安全组件SE：安全存储在智能设备上SE Provider: SE的所有者，它提供对TSM的SE访问。SE提供商代理：SE提供商的SE访问接口。SE提供商可以通过专有接口/功能访问它。
2013
2014
2015
2016/2017
1.2 车联网安全的相关规范
国家法规 及政策
行业标准及建议
国际标准 参考
国家标准（密码相关）GM/T 0009《SM2密码算法使用规范》GM/T 0015 《基于SM2密码算法证书格式规范GM/T 0031《安全电子签章密码技术规范》GM/T 0034《基于SM２的证书认证技术规范》GM/T 0054《信息系统密码应用基本要求》
安全目标
安全功能授权控制非授权访问的检测运行状态指示核准的工作模式错误检测敏感参数保护设计分发和实现
11个安全域 (元素)密码模块规格密码模块接口角色、服务和鉴别软件/固件安全运行环境物理安全非入侵式安全敏感安全参数管理自测试生命周期保障对其他攻击的缓解
8
1.4 密钥应用与车联网平台的关系
TSP系统
网关
ADAS感知Level 2: 接口设备/外部感知
ADAS感知
服务平台
2.车联网安全防护框架安全防护的基本要求
11
3.1车联网密码应用方案的基本思路
Level 1
Level 4
Level 2
Level 3
Level 3
外联服务
TSP/
控制中心CAN总线
终端T-BOX
互联网
3G/4G
远程解锁
自动升降窗
软件提供商：原始固件升级软件包发布者。
安全服务平台：为OTA服务平台提供安全 服务，包括密钥证书管理服务，数据加密 服务，数字签名服务等。
软件升级包
OTA 服务平台
软件提供商
安全服务平台
加密机
T-Box
OTA安全组件
网关
OTA安全组件
软件升级包
ECU ECU ECU
……
软件升级包
FOTA
CAN
CAN
国际相关标准（密码相关）美国RSA相关PKCS系列规范国际电信联盟的ITU-T X.509规范IETF组织的公钥基础设施PKIX规范等
4
影响车联网密码应用的相关法律和政策《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》---定义交通相关领域属于关键基础设施《中共中央办公厅2015年4号文件》---推进国密算法在交通相关领域应用《中华人民共和国密码法草案》---明确密码的应用方法和主管机构《网络安全等级保护基本要求》《智能网联汽车信息安全白皮书》
BLACKHAT曝光多款汽车的 电子系统存在 安全风险360破解特斯 拉
Jeep Cherokee被远 程控制USENIX上，实现利 用OBD设备对汽车的 远程控制360公司破解比亚迪汽车
科恩实验室实现对 特斯拉的远程入侵DEFCON上，360公司实现对特斯拉汽车自动驾驶系统的攻击
2010
2011
2012
TIAA
2017/02/28
4
《2017年智能网联汽车信息安全白皮书》
中国汽车工程协会
2017/6/12
5
GB《汽车信息安全通用技术规范 》
汽车标委会(NTCAS)
2018年
6
GB/T《汽车远程信息服务通信终端安全规范》
7
GB/T《车载T-BOX信息安全技术要求》
2019-2020
8
GB/T《汽车软件升级安全防护规范》
广域无线 (移动)通信
基础设施点对点通信
车| 车 通 信
车辆 板载设备
安全子系统
硬件安全模块
车| 路 通 信
路边单元 板载设备
安全子系统
硬件安全模块
服务平台
应用更新服务……安全基础设施公钥基础设施(PKI)根证书管理(RCA)
长期证书管理(LTCA)假名证书管理(PCA)
21
4.4.3 V2X安全应用框架
车厂根证书 车厂原根证书 新身份标识证
旧书身份标识证
外联服务书
车厂根证书车厂原根证书签名（身份标识） 证加书密证书旧身份标识证书
Байду номын сангаас
车机 HU
T-BOXServer
车厂根证书 车厂原根证书签名（身份标识） 证加书密证书旧身份标识证书
车厂根证书 车厂原根证书 新身份证书 旧身份证书
15
16
3.2.3 车联网身份及密钥管理应用—认证加密
TUI：可信用户界面。它通常是TEE的一部分。
TEE：可信执行环境。在主机应用程序处理器上安全的应用程序
OEM Backend 主机厂后台
可信执行环境
TUI
SEprovider Agent
安全元件（eSE，eUICC）
可信服务管理
移
动应用UI
SE ProviderProprietary
主机厂私有协议
根一般离线，而面向车联网各类实体的CA在线运行。
V2X互联PKI/CA设计： 考虑不同实体通信过程中 的隐私保护问题，还会额外考虑建设假名类信任域，防止相关信息泄露。
公钥
根CA证书
签名者ID:根CA证书的ID私钥
根CA
签名者ID:长期CA证书ID私钥
长期CA
假名CA证书
签名者ID:假名CA证书ID私钥
---中国密码应用领航者IDC数据：IAM密码市场占有率连续十年第一密码应用案例5000+以上国内首批商用密码定点生产单位之一国内唯一通过云PKI密码项目的主要承建单位国家公民因私电子护照、国家互联网身份认证项 目的主要承建单位、国家密码标准的主要召集单位国家强制视频安全标注GB35114的主要参与单位国家级信息安全共性实验室组建单位、国家视频实验室成员单位、云安全联盟理事单位
服务端和客户端无法确认双方真实身份传输非法指令；正常指令被获取、篡改
链路安全
12
3.2车联网身份及密钥管理的应用方案
OTA防护
ECU安全
数字钥匙
非对称/对称密码 基础设施标准化车载 安全网关
安全方案群下行指令安全
其他方案
13
3.2.1PKI/CA信任体系设计
传统PKI/CA设计：一般采用两级信任域设计，
4G模组 WIFI
车载 娱乐 系统
无线 模块
全球 定位
APN1
APN2
远程通信模块
通用异
步收发传输器
通用输 入/输出
接口
4G天线
安全数字输
入输出卡
通用异步收发传输器
通用串 行总线
GPS天线 车身、基础数据、控制指令 娱乐、导航数据
4.2车载OTA应用方案
OTA服务平台：为车载终端提供OTA服务。 终端OTA安全组件：对升级包进行合法性 验证，适配安全升级流程
23
谢谢！
24
基于强身份认证建立安全加密通道，最终实现移动终端对车的安全远程控制指令安全下发
4.1车机安全应用架构
一是系统本身可能存在内核漏洞；二是系统存在被攻击者安装恶意应用的风险；
17
三是第三方应用可能存在安全漏洞，存在信息 泄露、数据存储、应用鉴权等风险
微控制单元
汽车电子开放系统及 其接口
Linux
主机厂私有协议
19
4.4.1V2X应用目标和规范
LTE-V2X/ 3GPP Release 14
PC5
DSRC/IEEE 1609
密码应用范围：DSRC短程通信应用LTE蜂窝通信应用LTE车车直连通信应用
20
4.4.2V2X安全应用框架
通信由三个组成部分：车辆、路侧设施和后台服务安全子系统为车载通信和外部的V2X通信提供保护，并通过硬件安全模块（HSM）存储密码证书、加速密码算法。路侧设施与车辆具有相同的架构，为车辆通信和固定点之间的通信提供网关功能