|
現(xiàn)在談汽車，都得掛個智能二字，即智能汽車，但更學術(shù)、更完整的叫法應(yīng)該是智能網(wǎng)聯(lián)汽車，而智能網(wǎng)聯(lián)進一步會分為“智能”和“網(wǎng)聯(lián)”兩部分。 在《GB/T 44373-2024 智能網(wǎng)聯(lián)汽車：術(shù)語與定義》中，智能功能被定義為“環(huán)境感知、智能決策、自動控制等功能”，網(wǎng)聯(lián)功能被定義為“利用通信技術(shù)實現(xiàn)車輛與外界（車外的車輛、行人、云端、基礎(chǔ)設(shè)施等）信息交互的功能”。
汽車安全探討中，傳統(tǒng)意義上的被動安全是大家最具共識性的，也是消費者最易理解的，但被動安全已經(jīng)足夠得成熟和足夠得不必爭論。 所以，老百姓不太理解，但理論體系和實踐經(jīng)驗更為充實的功能安全實際上成了當下事實上的核心安全主題（注意是當下）。 我們不妨先從功能安全講起，來引出信息安全的內(nèi)涵。 這里有3點要注意。 (1) 安全即風險夠低 第一，這世上沒有絕對的安全。所謂安全與否，是指風險高低，只要風險夠低就是安全，如圖1所示。 進一步問，高與低的界線在哪里呢？在“老百姓”心里。不過，對“老百姓”更精準的表達應(yīng)該是State of the Art，即當前技術(shù)水平。 也就是說，功能安全的目標是將風險降低到大眾可接受的水平。這有很大的倫理意味，這也是目前自動駕駛要考慮的課題。
圖1 風險與安全的含義 (2) 本質(zhì)安全 第二，雖然這世上沒有絕對安全，但有本質(zhì)安全，本質(zhì)安全是消除內(nèi)在的風險。舉個例子。 小的時候，離家不遠的地方有一條鐵軌，橫穿過離家的小路，這不僅僅讓行人車輛經(jīng)常與火車擦肩而過，也是我們小孩子壓硬幣和鐵釘?shù)臉穲@，自是十分危險。 后來不知是誰在鐵軌之間加裝了方便快速通過的木板，并且增加了簡易欄桿，火車快到時，還有紅色警示燈...... 不過，還是不夠，直到有一次，還是出了一次慘烈的事故。再后來，鐵軌下深挖了一個小的隧道，路口附近的鐵軌也都被圍欄圍了起來，盡管下雨總是聚水，但再沒聽說過什么事故...... 這個小事例說了兩個安全，鐵軌下挖隧道就屬于從根本上規(guī)避風險的本質(zhì)安全，而加裝木板、欄桿及警示燈等安全機制屬于無法實現(xiàn)本質(zhì)安全后的功能安全的范疇，如圖2所示。
圖2 本質(zhì)安全與功能安全 (3) 以人為本 第三，功能安全以人為本，關(guān)注的是人身安全的傷害，包括駕駛員、乘客、行人及其他車輛內(nèi)的人員，并不關(guān)注財產(chǎn)的安全。 2.3 功能安全解決什么問題 功能安全雖然帶有功能二字，但不能解決功能不足、性能不好的問題（屬于SOTIF），也就是不改變系統(tǒng)的標稱特性，而是正向指導我們?nèi)绾瓮ㄟ^降低系統(tǒng)失效風險達到安全目標，并最終來減少對人的傷害。 比如，電子手剎，功能安全是要實現(xiàn)“避免非預(yù)期剎車失靈”的安全目標，關(guān)注的是整個電子手剎回路某一環(huán)節(jié)發(fā)生失效時的診斷、監(jiān)控及處理行為，不是增加卡鉗設(shè)計夾緊力改變功能與性能。 再進一步看，功能安全要處理的失效來源于哪里呢？兩方面。
2.4 功能安全如何處理這些失效 失效很重要，但不是最重要的。我們要關(guān)注失效給人身安全帶來的風險。風險也很重要，但依然不是最重要的，因為沒有100%的零風險與安全。所以我們要識別出不可接受的風險，然后通過一些安全機制（過程與技術(shù)）將其降低到可接受的程度。不那么精準的說法就是足夠的“功能安全”。 這里其實引出了功能安全方法論的核心目的是，通過增加安全機制將不可接受的風險降低到可接受的程度。 本節(jié)通過對比功能安全來看信息安全的特點。 3.1 從“傷人”到“傷心” 功能安全的指向很明確，就是關(guān)注對人的傷害，且限于肉體的傷害，姑且稱之為“傷人”，為什么說信息安全是“傷心”呢？這不得不引出第一節(jié)也提到的信息安全的一個核心概念——資產(chǎn)，“資產(chǎn)”的破壞將導致“傷心”。 (1) 資產(chǎn) 在中文的語境里，提到資產(chǎn)，很容易想到錢，錢和資產(chǎn)有部分關(guān)系，但不能用錢來直接代替，這里的資產(chǎn)的概念更加寬泛。 接下來，我們從更學術(shù)的角度看，先串一下21434中資產(chǎn)及附屬概念的含義。
(2) 信息安全的目的 對應(yīng)地，我們來尋找信息安全要解決的問題，汽車E/E系統(tǒng)或組件（即item）擁有一些對人有價值的資產(chǎn)，這資產(chǎn)里的一些屬性被損害后，會對人造成一些不良后果。 信息安全要做的就是，通過保護資產(chǎn)的屬性盡可能不被破壞，來讓這不良后果的風險達到可以接受的程度，讓相關(guān)人不要太“傷心”（傷人也屬于一種傷心，即信息安全也會關(guān)注對人的傷害），如圖3所示。
圖3 汽車信息安全的基本目的 3.2 從“HARA”到“TARA” 再回顧下功能安全的開發(fā)邏輯，大體是從危害事件來識別risk大小，并定義ASIL及對應(yīng)的安全目標，從而獲得功能安全的大目標和總標準，隨后通過拆解而進入V模型的常規(guī)開發(fā)中。對于功能安全而言，HARA是核心的增量方法。 現(xiàn)在來看信息安全，大家大的指引方向都是，讓對人不好的東西的發(fā)生被控制在較低的水平。于是，信息安全引出了一個核心方法論——TARA（Threat Analysis and Risk Assessment，威脅分析與風險評估）。 看到這個詞，大家首先會注意到其中威脅，延伸一點，威脅其實是來源于威脅場景這個概念，它可以類似對應(yīng)于功能安全中的危害，即潛在的危險（在26262中也明確指出，可以從功能安全角度將信息安全威脅作為危害進行分析，以支持危害分析和風險評估以及安全目標的完整性）。而前述的損害場景相當于功能安全中的傷害，即由潛在的危險轉(zhuǎn)化而成的實際發(fā)生的后果。后面的風險評估又和HARA在字面上完全一致（具體方法會有些不同）。 這樣一對比，TARA和HARA有著高度緊密的映射關(guān)系，基本的方法論邏輯是一致的。類似于HARA，TARA也是信息安全的主要增量內(nèi)容，我們也可以TARA來牽引出信息安全開發(fā)的脈絡(luò)。 寫到這里，大約是對汽車信息安全是什么有了一個模糊的輪廓，但很多細節(jié)還未展開，比如，威脅的源頭是什么，資產(chǎn)主要包括什么，屬性里的機密性、完整性及可用性怎么理解，怎么保護，不良后果的影響有哪些，形成的概率高低，相應(yīng)的風險等級如何評定，TARA如何將這些東西串聯(lián)起來......關(guān)于這些問題將在下面回答。 TARA主要分為7個部分，逐個來展開。但要注意一點，在21434中，整體并不具有明確的線性化次序，包含TARA中7個部分在內(nèi)的各個部分都會有一定的獨立性，輸入輸出相互交織。 4.1 資產(chǎn)識別 資產(chǎn)的識別有一定的事后性與動態(tài)性，也就是說資產(chǎn)不會全部清清楚楚擺在一個列表里（一般會有一部分參考，但不是唯一來源），需要分析、確認、更新。 其他渠道有哪些呢？一般，可以在相關(guān)項定義中識別、從威脅場景中獲取，以及通過不良后果的影響評級來判斷。 當然，這種泛泛之談會讓人不明就里，我們通過一個實例來理解下這個邏輯。 先回顧下有關(guān)資產(chǎn)的定義，資產(chǎn)是有價值或?qū)r值有貢獻的對象（有形的或無形的），它具有一個或多個值得保護的屬性，其違背可能導致一個或多個不良后果。 (1) 潛在資產(chǎn)識別 于是，第一步，在相關(guān)項定義中識別研究對象時，我們可以先粗略劃定一個有價值對象的范圍。比如，分析到軟件中的剎車CAN報文，它的被篡改可能會造成功能的缺失，顯然面向價值，這就可以被劃歸為潛在的資產(chǎn)范圍。 (2) 威脅與損害場景識別 再進一步，還提到了資產(chǎn)的3個屬性——機密性、完整性與可用性，對應(yīng)于剎車CAN報文的篡改，它可劃歸為完整性的違背，它會首先形成一個威脅場景。 那么，這個威脅場景會帶來什么呢？或許會造成剎車失靈，乃至車毀人亡，這種后果就是所謂的損害場景。 (3) 影響評級 可是這損害場景的影響真的如此嚴重嗎？我們需要再進行影響評級，如果評下來發(fā)現(xiàn)，確實挺嚴重，那這時就可以將這條“剎車CAN報文”作為資產(chǎn)了，或者說有必要開展進一步信息安全活動的資產(chǎn)。 所以說，資產(chǎn)的識別對應(yīng)著一個認識的過程。為了更具象地理解什么是資產(chǎn)，舉一些典型的例子，如表1所示。 表1 信息安全資產(chǎn)示例  看得出來，這些資產(chǎn)和錢有關(guān)系，但不那么緊密。 最后，總結(jié)一下，在該環(huán)節(jié)需要輸出的內(nèi)容包含：資產(chǎn)、資產(chǎn)的信息安全屬性及違反相關(guān)屬性導致的“損害場景”。 4.2 威脅場景識別 威脅場景是損害場景的潛在來源，其識別是對技術(shù)根因的向上溯源。 通常，需要體現(xiàn)出什么信息安全屬性被違背及違背的原因是什么，比如，對EPS轉(zhuǎn)向助力CAN報文進行欺騙篡改會導致CAN報文的完整性被違背，從而導致轉(zhuǎn)向助力功能的異常。
當然，也可以有其他合理的分類方式，但需要在開發(fā)供應(yīng)鏈中達成共識。 從級別的角度看，每個類別可以從以下4個等級展開：
其中，safety的部分在功能安全中有較為全面的、詳細的論述，完全可以參考，必要時，也可以結(jié)合暴露度與可控度來綜合定義，相對而言，safety的評價會更充分。對于其余類別，基于經(jīng)驗的、基于團隊評價的模式居多。 4.4 攻擊路徑分析 走到這里，我們還沒有談到另一個重要的因素，究竟是誰造成了這種后果？信息安全本質(zhì)是人與人的攻防較量，我們需要知道攻擊者是如何執(zhí)行攻擊的，是如何造成威脅場景的，而這攻擊者的一系列有預(yù)謀的蓄意行為就是攻擊路徑的概念。比如，對于第2部分威脅場景識別處的示例，黑客通過網(wǎng)關(guān)轉(zhuǎn)發(fā)反向助力信號就是一條攻擊路徑。 形式上，攻擊路徑的分析可以按照“自上而下”和“自下而上”的方式展開。
在確定好各個參數(shù)的取值并相加后，再根據(jù)預(yù)先定義的取值范圍進行等級評定。 (2) 基于CVSS的方法 21434中選擇了CVSS評估框架中的可利用度指標來評價可行性等級，而可利用度指標是將以下4個參數(shù)的取值代入特定公式中進行計算得到的。
(3) 基于攻擊向量的方法 僅利用攻擊向量評價也是一種簡單粗暴的方法，這種方式常用于項目早期或其他還沒有充足信息的階段的粗略估計。 基于風險值高低，需要確認下一步的應(yīng)對策略，一般分以下4種：
由于后兩種并沒有針對風險本身做什么處理，整個供應(yīng)鏈的風險并未得到處理，所以需要特定的聲明或監(jiān)管。 在這里，我們會發(fā)現(xiàn)一個情況，就是風險值實際上是隨著應(yīng)對舉措的執(zhí)行而變化的。 那么，我們用什么目標線來確定該做什么和做到什么程度，類似于功能安全中的ASIL和預(yù)期功能安全中的兩層接受準則。信息安全中增加了一個邏輯類似ASIL的概念——CAL（Cybersecurity Assurance Level，信息安全保證等級），它會作為一個固定的指標來牽引要做的信息安全活動及嚴格程度。
      
圖5 信息安全保護對象模型 車內(nèi)系統(tǒng)分為軟件系統(tǒng)、電子電氣硬件、車內(nèi)數(shù)據(jù)、車內(nèi)通信（即車內(nèi)系統(tǒng)、組件之間的CAN、LIN、以太網(wǎng)通信等）?？偨Y(jié)常見信息安全威脅如下。
6.2 車外通信 車外通信，即整車與車外終端的通信，具體分為車外遠距離通信（蜂窩移動通信、衛(wèi)星導航等）、車外近距離通信（藍牙、NFC和Wi-Fi等）?？偨Y(jié)常見信息安全威脅如下。 （1）遠距離通信
8.2 智能網(wǎng)聯(lián)系統(tǒng)（T-BOX）
8.4 智能駕駛系統(tǒng)
8.5 手機APP
8.6 智能鑰匙
|
|
|
