況博裕 李雨澤 顧芳銘 蘇 铓 付安民,

1（南京理工大學(xué)網(wǎng)絡(luò)空間安全學(xué)院 南京 210094）

2（空天地一體化綜合業(yè)務(wù)網(wǎng)全國重點(diǎn)實(shí)驗(yàn)室（西安電子科技大學(xué)） 西安 710071）

3（南京理工大學(xué)計(jì)算機(jī)科學(xué)與工程學(xué)院 南京 210094）

隨著對道路和車內(nèi)狀態(tài)監(jiān)控等需求的不斷提升，現(xiàn)代智能汽車搭載了越來越多的智能系統(tǒng)、遠(yuǎn)程通信應(yīng)用和傳感器.同時(shí)，現(xiàn)代智能汽車配備了強(qiáng)大的處理單元和大型存儲(chǔ)設(shè)備，不僅被視為移動(dòng)的網(wǎng)絡(luò)節(jié)點(diǎn)，而且是一個(gè)具有智能處理能力的計(jì)算和存儲(chǔ)中心[1].由此，通過將現(xiàn)代智能汽車與先進(jìn)的遠(yuǎn)程信息處理技術(shù)相結(jié)合，傳統(tǒng)的車輛自組織網(wǎng)絡(luò)（vehicular ad hoc network,VANET）逐漸演化成了車聯(lián)網(wǎng)（Internet of vehicles,IoV）.車聯(lián)網(wǎng)產(chǎn)業(yè)是汽車、電子、信息通信、道路交通運(yùn)輸?shù)刃袠I(yè)深度融合的新型產(chǎn)業(yè)形態(tài)[2]，能夠?qū)崿F(xiàn)車內(nèi)、車際、車與路、車與人、車與服務(wù)平臺(tái)的全方位網(wǎng)絡(luò)連接，提升汽車智能化水平和自動(dòng)駕駛能力，從而提高交通效率、改善駕乘感受[3].目前，車聯(lián)網(wǎng)已經(jīng)成為汽車產(chǎn)業(yè)不可逆轉(zhuǎn)的發(fā)展方向，預(yù)計(jì)到2025 年，中國市場75.9%的新車型將具備自動(dòng)駕駛和聯(lián)網(wǎng)功能.

然而，車聯(lián)網(wǎng)高速發(fā)展的同時(shí)，車聯(lián)網(wǎng)中的安全隱患也愈發(fā)嚴(yán)重，各類車聯(lián)網(wǎng)安全攻擊事件頻頻發(fā)生，給用戶隱私、財(cái)產(chǎn)、駕駛安全等多個(gè)方面帶來了極大的威脅[4-6].2021 年，英國網(wǎng)絡(luò)安全公司揭露網(wǎng)聯(lián)汽車充電器及其API 中存在的多個(gè)安全漏洞可能導(dǎo)致賬戶劫持、電費(fèi)竊取、充電故障等多種嚴(yán)重后果[7].2022 年，研究人員發(fā)現(xiàn)一個(gè)存在了10 年之久的現(xiàn)代汽車APP 重大安全漏洞，黑客可以利用其遠(yuǎn)程啟動(dòng)、停止、鎖定和解鎖車輛[8].同年，NCC 組織發(fā)現(xiàn)攻擊者可以利用藍(lán)牙連接發(fā)起中繼攻擊，解鎖并操作特斯拉Model 3 或Model Y 型號(hào)的車輛[9].可見，基礎(chǔ)設(shè)施、移動(dòng)應(yīng)用、通信協(xié)議等車聯(lián)網(wǎng)中的各個(gè)組成部分都成為了攻擊者的目標(biāo).

車聯(lián)網(wǎng)中攻擊方式紛繁多樣，其根本原因在于車聯(lián)網(wǎng)本身處于一個(gè)開放的網(wǎng)絡(luò)環(huán)境，車—路—云—移動(dòng)設(shè)備相互連接，很多設(shè)備本身安全性不足且存在著大量漏洞，設(shè)備本身、通信連接和上層應(yīng)用都提供了極多的攻擊面.因此，本文總結(jié)了2018—2023 年5 月在網(wǎng)絡(luò)安全頂級(jí)會(huì)議（ACM CCS，USENIX Security，NDSS，IEEE S&P）和其他高水平安全期刊/會(huì)議上發(fā)表的車聯(lián)網(wǎng)安全相關(guān)文獻(xiàn)，對車聯(lián)網(wǎng)架構(gòu)進(jìn)行了細(xì)粒度的劃分，并基于該架構(gòu)對車聯(lián)網(wǎng)安全威脅和對策進(jìn)行全面地分析.圖1 展示了近5 年網(wǎng)絡(luò)安全頂級(jí)會(huì)議中車聯(lián)網(wǎng)安全相關(guān)文獻(xiàn)的發(fā)表情況，近年來車聯(lián)網(wǎng)安全文獻(xiàn)數(shù)量有不同程度的增長，說明車聯(lián)網(wǎng)安全開始逐步受到企業(yè)和學(xué)術(shù)界的關(guān)注，對車聯(lián)網(wǎng)安全展開系統(tǒng)化的研究勢在必行.

Fig.1 IoV security related literature statistics in top cybersecurity conferences in recent 5 years圖1 近5 年網(wǎng)絡(luò)安全頂級(jí)會(huì)議車聯(lián)網(wǎng)安全相關(guān)文獻(xiàn)統(tǒng)計(jì)

目前，面向車聯(lián)網(wǎng)安全的綜述研究[4-5]還較少，本文在深入總結(jié)現(xiàn)有工作的基礎(chǔ)上，將車聯(lián)網(wǎng)分為車內(nèi)網(wǎng)和車外網(wǎng)2 個(gè)部分，并且進(jìn)一步將其細(xì)粒度地劃分為不同子層，然后深入分析每個(gè)子層所面臨的攻擊威脅以及能夠采取的安全對策.本文的主要貢獻(xiàn)有3 個(gè)方面：1）系統(tǒng)總結(jié)了近5 年車聯(lián)網(wǎng)安全相關(guān)文獻(xiàn)，對車聯(lián)網(wǎng)架構(gòu)提出了更細(xì)粒度的層次劃分；2）基于所提的車聯(lián)網(wǎng)分層架構(gòu)，深入分析了每層所面臨的攻擊威脅和能采取的安全對策；3）基于對攻擊威脅和安全對策的分析，歸納了車聯(lián)網(wǎng)安全的關(guān)鍵技術(shù)，并提出了對車聯(lián)網(wǎng)安全研究的展望.

1 車聯(lián)網(wǎng)架構(gòu)

車聯(lián)網(wǎng)可以分為車內(nèi)網(wǎng)和車外網(wǎng)2 大組成部分，如圖2 所示.車內(nèi)網(wǎng)實(shí)現(xiàn)了車輛內(nèi)部的數(shù)據(jù)采集、通信、處理和執(zhí)行，以總線通信作為主要的通信方式.車外網(wǎng)中，車輛本身作為一個(gè)通信實(shí)體，參與構(gòu)建了車、路邊基礎(chǔ)設(shè)施、云服務(wù)器、移動(dòng)設(shè)備等各個(gè)設(shè)備間的交互協(xié)作體系.同時(shí)，這些設(shè)備之間的通信方式也各不相同，包括了3G/4G/5G、WiFi、藍(lán)牙、LTE-V等多種通信方式.

Fig.2 IOV architecture圖2 車聯(lián)網(wǎng)架構(gòu)

1.1 車內(nèi)網(wǎng)架構(gòu)

車內(nèi)網(wǎng)是指汽車內(nèi)部的網(wǎng)絡(luò)結(jié)構(gòu)，包含了車輛內(nèi)部各種硬件、子系統(tǒng)及其通信，實(shí)現(xiàn)車內(nèi)數(shù)據(jù)傳輸、通信和控制功能，為用戶提供智能、舒適、高效的多種服務(wù).如圖2 所示，車內(nèi)網(wǎng)系統(tǒng)架構(gòu)主要包括固件層、車內(nèi)通信層和應(yīng)用決策層.

1.1.1 固件層

車內(nèi)固件層由車輛內(nèi)部的所有部件及車載設(shè)備組成.除了傳統(tǒng)的汽車固件以外，智能汽車主要還包含了大量的傳感器和電子控制單元（electronic control unit,ECU），這些組件是車輛智能化的基礎(chǔ).固件層組件構(gòu)成了智能汽車的基本單元，完成數(shù)據(jù)采集、部分的數(shù)據(jù)處理和車輛控制等功能.

傳感器負(fù)責(zé)感知車輛周圍環(huán)境和數(shù)據(jù)采集，如道路情況、附近車輛位置、速度及車輛內(nèi)部的環(huán)境等，并將物理量轉(zhuǎn)化為電信號(hào)，交由其他層進(jìn)行處理.常見的傳感器包括車載攝像頭、激光雷達(dá)(LiDAR)、全球定位系統(tǒng)(GPS)、車速傳感器、超聲波傳感器和行車記錄儀等.其中，攝像頭、LiDAR 和GPS 這3 類傳感器因?yàn)槠涔δ?、結(jié)構(gòu)以及采集數(shù)據(jù)的關(guān)鍵性，在車聯(lián)網(wǎng)安全中尤為重要.攝像頭能夠采集大范圍的圖像信息，將圖像轉(zhuǎn)換為二維數(shù)據(jù)，但容易受光照和雨霧等環(huán)境因素的影響；LiDAR 通過快速激光脈沖的反射光來測量車輛與周圍環(huán)境的距離，同時(shí)可以生成對周圍3D 環(huán)境的輪廓信息，形成所謂的“點(diǎn)云”（每個(gè)點(diǎn)由其三維坐標(biāo)及強(qiáng)度信息組成），進(jìn)而實(shí)現(xiàn)高精準(zhǔn)定位和障礙物檢測；GPS 能夠精準(zhǔn)定位車輛的地理位置并測算出車輛的實(shí)時(shí)行駛速度.在車內(nèi)網(wǎng)中，這些種類多樣的車載傳感器分布在車輛的各個(gè)關(guān)鍵部位，監(jiān)測和測量實(shí)時(shí)數(shù)據(jù)，提供給ECU 和其他部件進(jìn)行進(jìn)一步的判斷和處理.

ECU 是車輛的核心控制單元，內(nèi)部組件包括微控制器（microcontroller unit,MCU）、存儲(chǔ)單元、輸入/輸出接口（I/O）和模數(shù)轉(zhuǎn)換器（A/D）等，是汽車專用的微機(jī)控制器，能夠直接控制車輛發(fā)動(dòng)機(jī)、雨刮器、制動(dòng)器等多個(gè)固件.一般來說，ECU 具有2 大功能：1）控制車輛功能.ECU 能夠接收傳感器數(shù)據(jù)并進(jìn)行簡單處理，然后對車輛的各個(gè)功能（如制動(dòng)、驅(qū)動(dòng)、變速等）進(jìn)行控制.2）故障診斷與保護(hù).當(dāng)系統(tǒng)發(fā)生故障時(shí)，ECU 負(fù)責(zé)記錄故障代碼并采取相應(yīng)措施對車輛進(jìn)行保護(hù).此外，ECU 也不都是獨(dú)立運(yùn)行的，隨著智能汽車的逐步發(fā)展，車內(nèi)ECU 的數(shù)量迅速增多，多個(gè)ECU 協(xié)作實(shí)現(xiàn)的功能也在逐漸增多.

1.1.2 車內(nèi)通信層

車內(nèi)通信層負(fù)責(zé)實(shí)現(xiàn)車內(nèi)的數(shù)據(jù)傳輸和通信功能，通過汽車總線協(xié)議、以太網(wǎng)技術(shù)、無線網(wǎng)絡(luò)等通信方式將車輛內(nèi)部各組件連接起來，構(gòu)成一個(gè)局域網(wǎng)絡(luò)，實(shí)現(xiàn)信息共享.

總線技術(shù)是車內(nèi)通信層中最常見的一種技術(shù)，也是目前研究關(guān)注的重點(diǎn).車內(nèi)總線協(xié)議包括控制器局域網(wǎng)絡(luò)（controller area network,CAN）、本地互聯(lián)網(wǎng)絡(luò)（local interconnect network,LIN）、FlexRay 和媒體導(dǎo)向的系統(tǒng)傳輸（media oriented system transport,MOST）等.如表1 所示，CAN 總線是一種串行總線通信協(xié)議，通過差分信號(hào)對數(shù)據(jù)進(jìn)行傳輸，支持點(diǎn)對點(diǎn)通信和廣播通信2 種模式，旨在進(jìn)行快速、可靠的通信.CAN 總線連接的各ECU 采取競爭方式向總線傳輸數(shù)據(jù)，通過報(bào)文標(biāo)識(shí)符決定優(yōu)先級(jí)，較高優(yōu)先級(jí)的節(jié)點(diǎn)先發(fā)送報(bào)文，其余節(jié)點(diǎn)等待總線空閑后再次競爭.值得一提的是，CAN 總線是目前應(yīng)用最廣、最成熟的車內(nèi)通信協(xié)議，現(xiàn)有的車內(nèi)網(wǎng)通信安全的研究也聚焦于CAN 總線的規(guī)則、策略和漏洞利用.LIN 總線是一種低成本串行通信協(xié)議，由1 個(gè)主節(jié)點(diǎn)和若干從節(jié)點(diǎn)構(gòu)成，可靠性及性能較低.LIN 總線報(bào)文發(fā)送的順序是確定的，不是事件驅(qū)動(dòng)的，即沒有總線仲裁，常應(yīng)用于車窗、雨刮器和空調(diào)等模塊上.FlexRay總線具有高帶寬、高容錯(cuò)和靈活的拓?fù)浣Y(jié)構(gòu)等特性，它采用周期通信的方式，但是成本和復(fù)雜性較高，被廣泛應(yīng)用于高性能實(shí)時(shí)應(yīng)用，如車身電子系統(tǒng)、驅(qū)動(dòng)控制系統(tǒng)和安全控制系統(tǒng)等.MOST 總線是一種專為車載多媒體應(yīng)用設(shè)計(jì)的總線標(biāo)準(zhǔn)，使用光纖作為物理傳輸介質(zhì)，具有極高的傳輸速率，并提供自動(dòng)配置和網(wǎng)絡(luò)管理功能，為車載多媒體數(shù)據(jù)的傳輸和共享提供了高效、穩(wěn)定和高質(zhì)量的解決方案.

Table 1 Intra-Vehicle Bus Protocols Feature Comparison表1 車內(nèi)總線協(xié)議特征對比

隨著高級(jí)駕駛輔助系統(tǒng)的發(fā)展，車內(nèi)ECU、傳感器的數(shù)量大規(guī)模提升，智能汽車迎來從分布式向域集中式的過渡，面對大量的高速傳輸需求，對車載網(wǎng)絡(luò)帶寬的需求也越來越高.在這種情況下，相比于CAN 等傳統(tǒng)網(wǎng)絡(luò)，車載以太網(wǎng)顯示出了更強(qiáng)的優(yōu)勢.首先，車載以太網(wǎng)僅使用一根雙絞線同時(shí)傳輸和接收數(shù)據(jù)，使得車內(nèi)布線復(fù)雜度降低，這意味著更低的安裝及維護(hù)成本.其次，車載以太網(wǎng)能夠用最少的帶寬傳輸最多的數(shù)據(jù)量，允許實(shí)時(shí)通信和低優(yōu)先級(jí)的事件觸發(fā)通信共存.最后，車載以太網(wǎng)還具備極佳的安全功能，能夠?yàn)楦叨然ヂ?lián)的車輛提供更強(qiáng)的安全防護(hù)能力.因此，車內(nèi)以太網(wǎng)或?qū)⒋娆F(xiàn)有串行網(wǎng)絡(luò)，成為未來車載網(wǎng)絡(luò)通信的主要方式.

1.1.3 應(yīng)用決策層

應(yīng)用決策層負(fù)責(zé)根據(jù)采集到的實(shí)時(shí)數(shù)據(jù)規(guī)劃決策車輛行為，其涵蓋了多個(gè)功能和模塊，以實(shí)現(xiàn)智能化駕駛和安全性增強(qiáng)，具體包括了輔助駕駛、能源管理和各種車載娛樂等功能.

在所有的車內(nèi)應(yīng)用中，自動(dòng)駕駛系統(tǒng)是其最為關(guān)鍵的應(yīng)用之一，也是目前車內(nèi)網(wǎng)安全研究的重點(diǎn).自動(dòng)駕駛系統(tǒng)依賴人工智能（artificial intelligence,AI）技術(shù)對感知數(shù)據(jù)進(jìn)行分析和處理，根據(jù)不斷變化的駕駛場景實(shí)時(shí)地調(diào)整決策，在遵守交通規(guī)則的同時(shí)保證乘客的安全性.自動(dòng)駕駛系統(tǒng)主要可分為2 個(gè)步驟：場景理解和決策規(guī)劃.1）場景理解是系統(tǒng)通過各傳感器對周圍環(huán)境的感知，包括道路檢測、定位與地圖構(gòu)建、目標(biāo)檢測與分類、動(dòng)態(tài)跟蹤等；2）決策規(guī)劃則是在場景理解的基礎(chǔ)上，對車輛當(dāng)前行為的控制，包括路徑規(guī)劃、駕駛決策、車輛制動(dòng)及轉(zhuǎn)向等.

值得一提的是，自動(dòng)駕駛系統(tǒng)本身包含了非常多的子模塊，包括目標(biāo)檢測、目標(biāo)跟蹤、自動(dòng)車道居中、路徑規(guī)劃、運(yùn)動(dòng)控制系統(tǒng)等，這些子系統(tǒng)完成單一的目標(biāo)任務(wù)，然后協(xié)同構(gòu)建整個(gè)自動(dòng)駕駛系統(tǒng).目標(biāo)檢測的任務(wù)是在一張圖像中進(jìn)行各種物體的分類任務(wù)，在單幀下對物體定位識(shí)別.目標(biāo)跟蹤則主要是針對視頻流，根據(jù)視頻第1 幀圖像所帶有的目標(biāo)信息，在后續(xù)的視頻幀中進(jìn)行目標(biāo)定位.自動(dòng)車道居中系統(tǒng)可自動(dòng)轉(zhuǎn)向車輛以使其保持在行車道的中心，其最關(guān)鍵的步驟是車道檢測，通常使用前置攝像頭執(zhí)行.路徑規(guī)劃系統(tǒng)根據(jù)目標(biāo)位置和當(dāng)前車輛位置等信息，除確定車輛行駛的整體路徑，還需要考慮到交通規(guī)則、道路限制和用戶偏好等因素.運(yùn)動(dòng)控制系統(tǒng)將決策轉(zhuǎn)換為具體的控制指令，通常涉及到底層的車輛控制系統(tǒng)，例如轉(zhuǎn)向、加速和制動(dòng)等.

1.2 車外網(wǎng)架構(gòu)

車外網(wǎng)借助新一代的移動(dòng)通信技術(shù)，實(shí)現(xiàn)了車輛與外部環(huán)境通信和互聯(lián)的系統(tǒng)架構(gòu)，即車聯(lián)萬物（vehicle to everything,V2X），涵蓋了車輛與車輛（vehicle to vehicle,V2V）、車輛與基礎(chǔ)設(shè)施（vehicle to infrastructure,V2I ）、車輛與行人（vehicle to pedestrian,V2P）、車輛與網(wǎng)絡(luò)（vehicle to network,V2N ）等之間的通信.通過車輛和外部設(shè)備之間的通信，實(shí)現(xiàn)交通信息的共享、管理優(yōu)化、安全升級(jí)等功能.車外網(wǎng)為智能交通系統(tǒng)的發(fā)展和車輛互聯(lián)的實(shí)現(xiàn)提供了基礎(chǔ)框架，可分為設(shè)備層、車外通信層、應(yīng)用與數(shù)據(jù)層3個(gè)部分，如圖2 所示.

1.2.1 設(shè)備層

設(shè)備層是指車外網(wǎng)中所有的通信實(shí)體，是車外網(wǎng)組成的基本單元，主要包括云服務(wù)器、基站（base station,BS）、路側(cè)單元（road side unit,RSU）、移動(dòng)應(yīng)用節(jié)點(diǎn)和網(wǎng)聯(lián)汽車本身等.

1）云服務(wù)器.云服務(wù)器用于存儲(chǔ)、處理和管理車聯(lián)網(wǎng)數(shù)據(jù).它是車聯(lián)網(wǎng)技術(shù)中的核心組件之一，提供了強(qiáng)大的計(jì)算能力和存儲(chǔ)資源，是車輛、用戶和應(yīng)用程序之間的橋梁，為智能交通、車輛管理和車輛服務(wù)等應(yīng)用提供了強(qiáng)有力的支持.

2）基站.基站用于提供無線通信服務(wù)，基站負(fù)責(zé)接收和發(fā)送無線信號(hào)，使車輛能夠與云服務(wù)器或其他設(shè)備進(jìn)行通信，并實(shí)現(xiàn)諸如實(shí)時(shí)導(dǎo)航、車輛追蹤、交通信息傳輸?shù)裙δ?

3）路側(cè)單元.路側(cè)單元可收集道路信息并與車輛實(shí)現(xiàn)數(shù)據(jù)交互，引導(dǎo)車輛安全行駛，是車路協(xié)同、智慧交通的關(guān)鍵設(shè)施.

4）移動(dòng)應(yīng)用節(jié)點(diǎn).移動(dòng)應(yīng)用節(jié)點(diǎn)通常是指用戶手機(jī)和無線車鑰匙等設(shè)備.當(dāng)用戶需要與網(wǎng)聯(lián)汽車建立連接時(shí)，可以通過移動(dòng)應(yīng)用節(jié)點(diǎn)向服務(wù)器發(fā)送請求信息，從而遠(yuǎn)程控制車輛.

5）網(wǎng)聯(lián)汽車.在車外網(wǎng)中，整個(gè)網(wǎng)聯(lián)汽車也是一個(gè)非常重要的與其他設(shè)備進(jìn)行通信的實(shí)體，同時(shí)是車外網(wǎng)交互的核心.

1.2.2 車外通信層

車外通信層提供了車輛之間，車輛與基礎(chǔ)設(shè)施、移動(dòng)設(shè)備、云平臺(tái)等通信實(shí)體的交互能力.通過車外通信層，可以實(shí)現(xiàn)實(shí)時(shí)數(shù)據(jù)的交換與共享，從而支撐智能交通系統(tǒng)的高效運(yùn)行和車輛之間的協(xié)同行駛.此外，由于車外網(wǎng)場景的需求，無線通信是最常用的通信技術(shù)，例如3G，4G，5G，Wi-Fi 等移動(dòng)通信網(wǎng)絡(luò)提供了廣域范圍內(nèi)的車輛通信能力.根據(jù)交互實(shí)體的不同，車外網(wǎng)中主要包含了4 種主要的通信：

1）V2V 通信.是指車輛之間的通信方式，一般采用C-V2X 通信協(xié)議，使車輛能夠共享交通信息、協(xié)同行駛和避免碰撞.

2）V2I 通信.是指車輛與基礎(chǔ)設(shè)施之間的通信，一般也采用C-V2X 通信協(xié)議，其中包括車輛與交通信號(hào)燈、路邊設(shè)備等的連接，以優(yōu)化交通流量和提供實(shí)時(shí)導(dǎo)航信息.

3）V2P 通信.是指車輛與行人隨身攜帶的手機(jī)等便攜設(shè)備通過WiFi、Zigbee、蜂窩網(wǎng)絡(luò)等技術(shù)進(jìn)行的交互，多用于保障行人安全及車輛行駛安全，降低交通事故發(fā)生率.

4）V2N 通信.是指車輛與云端網(wǎng)絡(luò)之間的連接，一般采用3G/4G/5G 通信，使車輛能夠獲取遠(yuǎn)程服務(wù)和云計(jì)算資源，例如車輛的診斷信息、行駛記錄、電池狀態(tài)等.這些數(shù)據(jù)可以用于車輛的遠(yuǎn)程監(jiān)控、維護(hù)和分析，為車輛管理和服務(wù)提供支持.

1.2.3 應(yīng)用與數(shù)據(jù)層

數(shù)據(jù)作為車聯(lián)網(wǎng)的核心要素，具有巨大的應(yīng)用潛力和價(jià)值，應(yīng)用與數(shù)據(jù)層承擔(dān)著數(shù)據(jù)處理、存儲(chǔ)、傳輸和應(yīng)用的功能.各個(gè)通信實(shí)體收集到的數(shù)據(jù)通過交互和共享，被應(yīng)用于交通管理、智能駕駛、車輛安全等多個(gè)方面，比如駕駛員可以獲取到實(shí)時(shí)的導(dǎo)航信息和交通狀況，從而提升駕駛體驗(yàn)和安全性，云端也可以收集車輛、路邊單元和用戶傳輸?shù)臄?shù)據(jù)，以支持智能交通系統(tǒng)的優(yōu)化和決策制定.其中，車聯(lián)網(wǎng)應(yīng)用與數(shù)據(jù)層的主要功能包括3 個(gè)方面：

1）數(shù)據(jù)存儲(chǔ)與管理.大規(guī)模的車聯(lián)網(wǎng)系統(tǒng)需要存儲(chǔ)和管理龐大的數(shù)據(jù)量，這就需要車聯(lián)網(wǎng)應(yīng)用與數(shù)據(jù)層將車輛數(shù)據(jù)存儲(chǔ)在云平臺(tái)服務(wù)器中，并進(jìn)行有效的管理.

2）應(yīng)用開發(fā)與集成.車聯(lián)網(wǎng)應(yīng)用與數(shù)據(jù)層提供開發(fā)接口和工具，以支持車聯(lián)網(wǎng)應(yīng)用的開發(fā)和集成.開發(fā)者可以利用這些接口和工具，基于車輛數(shù)據(jù)開發(fā)各種應(yīng)用程序，如智能導(dǎo)航、遠(yuǎn)程診斷、車輛共享等，實(shí)現(xiàn)更多智能化的車聯(lián)網(wǎng)服務(wù).

3）用戶體驗(yàn)與個(gè)性化服務(wù).車聯(lián)網(wǎng)應(yīng)用與數(shù)據(jù)層通過對車輛數(shù)據(jù)的分析和應(yīng)用開發(fā)，為用戶提供個(gè)性化的車聯(lián)網(wǎng)服務(wù)和體驗(yàn).例如，根據(jù)用戶的偏好和行為習(xí)慣，提供定制化的導(dǎo)航建議、車輛健康報(bào)告、駕駛行為評(píng)估等.

2 車聯(lián)網(wǎng)攻擊威脅

車聯(lián)網(wǎng)作為一個(gè)龐大而復(fù)雜的系統(tǒng)，其中的攻擊威脅也紛繁多樣.因此，本文基于第1 節(jié)所劃分的車聯(lián)網(wǎng)架構(gòu)，依次對車內(nèi)網(wǎng)和車外網(wǎng)內(nèi)不同層級(jí)所面臨的攻擊威脅逐一地闡述分析.

2.1 車內(nèi)網(wǎng)攻擊威脅

根據(jù)1.1 節(jié)所述，車內(nèi)網(wǎng)可分為固件層、車內(nèi)通信層和應(yīng)用決策層，事實(shí)上每一層都可能作為攻擊者的目標(biāo)，造成車輛失竊、故障、失控等嚴(yán)重后果，圖3 展示了車內(nèi)網(wǎng)中的主要攻擊威脅手段.

Fig.3 Threats of intra-vehicle network attacks圖3 車內(nèi)網(wǎng)攻擊威脅

2.1.1 固件層攻擊威脅

車內(nèi)網(wǎng)固件層主要由各種車載傳感器及大量ECU 組成，它們對于汽車的功能、性能和安全都起著舉足輕重的作用.車載傳感器與外部環(huán)境相連接，感知并獲取車輛周圍環(huán)境信息；各ECU 通過車內(nèi)總線相連接，管理并控制車輛功能.然而由于車聯(lián)網(wǎng)的開放性與連接性，以及車內(nèi)總線協(xié)議缺少安全機(jī)制等原因，固件層設(shè)備經(jīng)常遭到攻擊者的覬覦.攻擊者可以通過網(wǎng)絡(luò)攻擊、物理接入或者利用軟件漏洞等方式入侵車載傳感器和ECU，進(jìn)而損害車輛功能.根據(jù)各部件的功能與其所遭受攻擊的不同，本節(jié)將分別介紹車載傳感器和ECU 中存在的安全威脅.

1）車載傳感器的安全威脅

車載傳感器包括相機(jī)、LiDAR、GPS 等，用于感知車輛周圍環(huán)境，獲取當(dāng)前環(huán)境與交通情況的信息.大部分傳感器與外部環(huán)境直接相連，且其自身大都缺少安全驗(yàn)證與防御機(jī)制，獲取的數(shù)據(jù)直接交由汽車感知應(yīng)用層進(jìn)行處理，因此能夠間接影響駕駛系統(tǒng)的控制決策.車載傳感器的安全威脅主要包含3 個(gè)方面：

①網(wǎng)絡(luò)入侵.攻擊者利用傳感器上存在的漏洞，通過網(wǎng)絡(luò)入侵傳感器設(shè)備，達(dá)到操控傳感器或者干擾傳感器正常運(yùn)行的目的.更嚴(yán)重的是，這些受損的傳感器還可能成為攻擊者入侵整個(gè)車輛的跳板，向其他良性的固件或者應(yīng)用發(fā)起攻擊.

② 信號(hào)欺騙.傳感器需要從周圍環(huán)境中采集數(shù)據(jù)，而傳感器本身往往缺乏辨別輸入可信度的能力，所以如果其接受了惡意的輸入，就可能會(huì)引發(fā)嚴(yán)重的安全問題.這種通過偽造或篡改傳感器信號(hào)來欺騙車輛控制系統(tǒng)的攻擊方式被稱為“欺騙攻擊”.欺騙攻擊也是目前車聯(lián)網(wǎng)最主流的攻擊方式之一，在眾多車載傳感器中，車載攝像機(jī)、GPS 與LiDAR 能夠直接影響車輛自動(dòng)駕駛系統(tǒng)，因而成為了攻擊者的主要目標(biāo).

車載攝像機(jī)是采集信息和分析圖像的主要途徑，然而由于感知系統(tǒng)嚴(yán)重依賴攝像機(jī)獲取的圖片作為輸入，因此攻擊者如果使用投影圖像或者電子圖片，讓感知系統(tǒng)將虛假物體誤認(rèn)為真實(shí)物體，就會(huì)導(dǎo)致車輛做出錯(cuò)誤的判斷和決策，即瞬時(shí)幻影攻擊[10].此外，攻擊者也可以通過在視頻幀中引入的惡意噪聲來改變目標(biāo)對象的分類結(jié)果[11].同時(shí)，車載攝像機(jī)還容易遭受一些不可見光的影響，例如通過紅外光能夠改變攝像機(jī)的感知結(jié)果，使其環(huán)境感知、同步定位和映射過程產(chǎn)生錯(cuò)誤[12].

針對GPS 的欺騙攻擊，現(xiàn)有的工作主要為隨意更改用戶位置信息上，但是這種攻擊方式通常會(huì)使導(dǎo)航指令與實(shí)際路線相矛盾.而更加隱蔽的攻擊方式[13]通過使虛假導(dǎo)航線路與實(shí)際行駛線路保持一致，逐步地引導(dǎo)受害者到錯(cuò)誤的目的地.此外，GPS 欺騙攻擊還能夠使自動(dòng)駕駛系統(tǒng)中多傳感器融合（multisensor fusion,MSF）機(jī)制的結(jié)果偏差呈指數(shù)級(jí)增長.MSF 是一種車內(nèi)網(wǎng)常用的安全對策，能夠?qū)⒍鄠€(gè)傳感器所采集的信息進(jìn)行集成和融合，進(jìn)而彌補(bǔ)單個(gè)傳感器的局限性，獲得更全面、準(zhǔn)確和健壯的感知結(jié)果.不過GPS 欺騙攻擊FusionRipper[14]則能夠使MSF只接收GPS 輸入源.

LiDAR 能夠生成高精度的3D 點(diǎn)云數(shù)據(jù)，為自動(dòng)駕駛汽車提供更準(zhǔn)確的環(huán)境感知能力.LiDAR 對外部環(huán)境的干擾非常敏感，其面臨的攻擊主要可分為基于激光的攻擊和基于對象的攻擊.基于激光的攻擊方法使用激光信號(hào)向目標(biāo)LiDAR 注入偽造的點(diǎn)云數(shù)據(jù)來欺騙感知模型[15]；Cao 等人[16]提出一種物理移除攻擊，通過在LiDAR 附近注入不可見激光脈沖，選擇性地去除真實(shí)障礙物的點(diǎn)云數(shù)據(jù)，欺騙自動(dòng)駕駛汽車的障礙物探測器；Hallyburton 等人[17]進(jìn)一步提出在保留攝像機(jī)與LiDAR 數(shù)據(jù)的語義一致性的同時(shí)，隱蔽且持續(xù)不斷地對系統(tǒng)進(jìn)行欺騙攻擊，從而破壞應(yīng)用決策層的物體跟蹤模塊，并對端到端自動(dòng)駕駛控制產(chǎn)生不利影響.基于對象的攻擊使用具有對抗形狀的物體來攻擊LiDAR.例如Zhu 等人[18]提出在車輛附近一些特定位置周圍放置具有反射表面的物體，以欺騙LiDAR 并達(dá)到對抗攻擊的目的；Cao 等人[19]提出生成物理上可實(shí)現(xiàn)的、對抗性的、能夠逃避LiDAR 感知檢測的3D 打印物體，使車輛產(chǎn)生碰撞.

③物理破壞.攻擊者通過物理接觸的方式損害傳感器元件或干擾傳感器信號(hào)來破壞傳感器的正常功能.例如，攻擊者可以通過扭轉(zhuǎn)攝像頭的角度，使得其采集的畫面發(fā)生形變.

2）車內(nèi)ECU 的安全威脅

ECU 是車輛電子系統(tǒng)中最為重要的部件之一，通常由1 塊或多塊微控制器芯片組成，能夠控制車輛系統(tǒng)的各種功能，如引擎管理、變速器控制、防抱死剎車等.但是，由于ECU 本身并沒有過多地考慮安全問題，導(dǎo)致攻擊者能夠經(jīng)過CAN 總線、傳感器或者物理方式直接入侵ECU，使安全關(guān)鍵型ECU 功能受損，進(jìn)而造成車輛敏感信息泄露、運(yùn)行受阻、車輛失竊等嚴(yán)重后果.例如，攻擊者可以利用汽車MCU的外圍時(shí)鐘門控功能，遠(yuǎn)程地使用軟件凍結(jié)受損ECU 的輸出，以便在總線上插入任意位，達(dá)到關(guān)閉ECU的效果[20].此外，攻擊者還可以利用偽裝攻擊來操縱和模仿受害ECU 的電壓指紋，在不被車輛入侵檢測系統(tǒng)（intrusion detection system,IDS）檢測到的情況下破壞系統(tǒng)所記錄的總線電壓[21].

2.1.2 車內(nèi)通信層攻擊威脅

車輛內(nèi)部各部件通常會(huì)使用汽車總線協(xié)議進(jìn)行通信，而其中CAN 總線應(yīng)用范圍最廣，成為了攻擊者的首要目標(biāo).CAN 主要被設(shè)計(jì)用于可靠和快速的通信，但因其缺少安全認(rèn)證和防御機(jī)制，所以抵抗消息偽造、篡改、拒絕服務(wù)以及物理訪問攻擊等其他安全威脅的能力較弱，攻擊者能夠輕易地通過受損ECU 訪問CAN 總線，發(fā)送和刪除消息，誤導(dǎo)車輛做出錯(cuò)誤決策，甚至可以截獲CAN 總線上的消息進(jìn)行篡改，影響車輛正常運(yùn)行等.CAN 總線的脆弱性主要體現(xiàn)在：缺乏加密、身份驗(yàn)證和完整性檢查，以及協(xié)議規(guī)則不完善導(dǎo)致的協(xié)議漏洞.CAN 總線上的報(bào)文采用明文廣播的通信方式，報(bào)文幀分為標(biāo)準(zhǔn)幀和擴(kuò)展幀2 種類型，具體格式如圖4 所示.值得注意的是，報(bào)文并不提供發(fā)送方地址和接收方地址，其ID位只表明消息優(yōu)先級(jí)，在總線仲裁階段優(yōu)先級(jí)高的報(bào)文獲得總線通信權(quán)，且報(bào)文只提供簡單的CRC 校驗(yàn)位.

Fig.4 CAN frame format圖4 CAN 幀格式

近年來，許多針對車聯(lián)網(wǎng)CAN 總線協(xié)議脆弱性的攻擊也不斷被提出.Serag 等人[22]提出利用CAN協(xié)議的漏洞構(gòu)建一種多階段攻擊，該攻擊能夠識(shí)別出車輛中的關(guān)鍵ECU，通過制造總線沖突使ECU 進(jìn)入總線關(guān)閉狀態(tài)并防止其恢復(fù).CANflict[23]則提出一種純軟件的攻擊方案，利用微控制器外圍設(shè)備之間存在的引腳沖突來制作多語言幀，在數(shù)據(jù)鏈路層操縱CAN 總線.Groza 等人[24]則提出了一種針對CAN 的拒絕服務(wù)（denial of service,DoS）攻擊，向CAN 發(fā)送大量高優(yōu)先級(jí)幀導(dǎo)致傳輸錯(cuò)誤，使目標(biāo)ECU 進(jìn)入總線關(guān)閉狀態(tài).

2.1.3 應(yīng)用決策層攻擊威脅

應(yīng)用決策層遭受的外部攻擊主要針對車內(nèi)網(wǎng)中不同的車載應(yīng)用，例如自動(dòng)駕駛系統(tǒng)、交通標(biāo)志識(shí)別系統(tǒng)、車載娛樂系統(tǒng)等.其中自動(dòng)駕駛系統(tǒng)是目前智能網(wǎng)聯(lián)汽車攻擊者的主要目標(biāo)，其原因主要有2 方面：1）自動(dòng)駕駛系統(tǒng)需要大量采集周邊環(huán)境數(shù)據(jù)，因此攻擊者在無法直接入侵車內(nèi)網(wǎng)絡(luò)時(shí)可以借此達(dá)到攻擊目的；2）自動(dòng)駕駛系統(tǒng)直接關(guān)聯(lián)車輛的行駛安全，一旦遭受破壞，具有極大的危害性.

目前，研究者們已經(jīng)提出了很多針對自動(dòng)駕駛系統(tǒng)的攻擊方式.Cao 等人[25]提出將攻擊任務(wù)作為優(yōu)化問題來欺騙自動(dòng)駕駛目標(biāo)檢測算法的機(jī)器學(xué)習(xí)模型.Jing 等人[26]利用車道檢測模塊過度敏感的特性，在路面上引入小標(biāo)記，使過度敏感的車道檢測模塊將其視為有效車道.Muller 等人[27]根據(jù)3D 點(diǎn)云數(shù)據(jù)確定可用于物理擾動(dòng)的有效區(qū)域，再利用Siamese 跟蹤器的熱圖生成算法來控制感知系統(tǒng)中產(chǎn)生的物體邊界框，以破壞目標(biāo)跟蹤算法中對象跟蹤器的正常運(yùn)行.Wan 等人[28]利用現(xiàn)有自動(dòng)駕駛系統(tǒng)為了行駛安全而制定的過度保守的執(zhí)行規(guī)則（即任何一個(gè)微小的問題都將導(dǎo)致車輛緊急減速甚至停止）設(shè)計(jì)了語義DoS 漏洞，可能導(dǎo)致車輛當(dāng)前執(zhí)行任務(wù)失敗或車輛性能顯著降低.Sato 等人[29]提出了一種適用于自動(dòng)駕駛模型的物理對抗樣本攻擊——臟路補(bǔ)丁攻擊，通過在車道上部署路面污漬圖案作為物理對抗樣本，攻擊車道居中系統(tǒng)，從而使車輛偏離其行駛車道.

2.2 車外網(wǎng)攻擊威脅

隨著車輛智能化和網(wǎng)絡(luò)化的程度不斷提升，車輛與外部網(wǎng)絡(luò)的交互能力與通信量也急劇增加.然而這種趨勢還帶來了愈加嚴(yán)重和復(fù)雜的車外網(wǎng)安全威脅，導(dǎo)致車輛面臨被遠(yuǎn)程攻擊、惡意控制、車輛位置隱私泄露等安全隱患，甚至可能出現(xiàn)大量網(wǎng)聯(lián)汽車被批量控制，從而造成重大社會(huì)安全事件，如圖5所示.根據(jù)第1.2 節(jié)所提出的車聯(lián)網(wǎng)架構(gòu)，本文分別從設(shè)備層、車外通信層和應(yīng)用與數(shù)據(jù)層來闡述車外網(wǎng)的攻擊威脅.

Fig.5 Threats of extra-vehicle network attacks圖5 車外網(wǎng)攻擊威脅

2.2.1 設(shè)備層攻擊威脅

在車外網(wǎng)中，各類網(wǎng)絡(luò)設(shè)備和車輛各自都是一個(gè)獨(dú)立信息源，建立了車、路、云、人（移動(dòng)設(shè)備）之間交互的車聯(lián)網(wǎng)環(huán)境，然而這些設(shè)備都暴露在開放的網(wǎng)絡(luò)環(huán)境中，且部分設(shè)備（如無線車鑰匙）受到設(shè)備體積和計(jì)算資源的影響，設(shè)備安全性不高，因而容易遭受到各類外部攻擊.本節(jié)我們將設(shè)備層的安全威脅分為網(wǎng)絡(luò)終端設(shè)備安全威脅和惡意車輛安全威脅.

1）網(wǎng)絡(luò)終端設(shè)備安全威脅

車內(nèi)網(wǎng)中的終端設(shè)備主要包括路邊單元、移動(dòng)控制設(shè)備、診斷設(shè)備等.這些設(shè)備本身就可能存在一些可利用的漏洞，攻擊者通過這些漏洞不僅能夠入侵這些設(shè)備，甚至還能夠以其為跳板，基于設(shè)備間的安全信任關(guān)系入侵其他的良性設(shè)備.例如，Dongle-Scope[30]發(fā)現(xiàn)可利用加密狗漏洞通過廣播的通信方式與車輛檢測系統(tǒng)OBD-II 建立連接，從而可以遠(yuǎn)程進(jìn)入內(nèi)部車輛系統(tǒng)，獲取車載網(wǎng)絡(luò)的內(nèi)部通信信息，威脅汽車行駛安全.

此外，攻擊者還可能偽裝成一個(gè)良性的網(wǎng)絡(luò)終端設(shè)備，通過與目標(biāo)設(shè)備的交互來達(dá)到攻擊目的，引發(fā)嚴(yán)重的安全后果.例如，Xie 等人[31]提出通過中繼攻擊等方式竊取大量目標(biāo)車輛的通信數(shù)據(jù)，從中提取分析出認(rèn)證和密鑰算法，并利用這些信息假冒已有的良性設(shè)備，進(jìn)而能導(dǎo)致用戶在不知情的情況下解鎖車門或者啟動(dòng)車輛.

2）惡意車輛安全威脅

在車外網(wǎng)中，車輛本身就是一個(gè)信息發(fā)送、接收、處理的主體，是車聯(lián)網(wǎng)信息交互的核心，因而一個(gè)惡意的/虛假的車輛可能會(huì)對其他良性的車聯(lián)網(wǎng)設(shè)備造成難以預(yù)計(jì)的安全損害.根據(jù)具體的攻擊方式，惡意車輛安全威脅主要包括為3 個(gè)方面：

①虛假身份.在車聯(lián)網(wǎng)這種無中心的網(wǎng)絡(luò)中，車輛節(jié)點(diǎn)在缺少固定基礎(chǔ)設(shè)施下也能直接通信，雖然無線通信中網(wǎng)絡(luò)節(jié)點(diǎn)有唯一的標(biāo)識(shí)符來證實(shí)車輛身份，但由于車聯(lián)網(wǎng)環(huán)境中的車輛和路邊設(shè)備繁多，車輛節(jié)點(diǎn)還是容易受攻擊者偽造的虛假身份節(jié)點(diǎn)攻擊[32].例如，惡意車輛在同一時(shí)刻或連續(xù)的時(shí)間段內(nèi)聲稱有多個(gè)身份后，散布虛假消息或拒絕消息服務(wù)，甚至還可能引發(fā)其他類型的攻擊[33]；此外，攻擊者還能夠通過劫持車輛和云服務(wù)提供商（cloud service provider,CSP）之間的身份驗(yàn)證會(huì)話，進(jìn)而冒充其他車輛與CSP 建立共享密鑰[34].

② 隱私泄露.如果車輛在身份認(rèn)證中使用真實(shí)身份ID 進(jìn)行認(rèn)證，那么車輛不但會(huì)暴露自身位置和軌跡隱私，還可能被攻擊者冒充其真實(shí)身份[35].此外，攻擊者還能夠通過收集并分析這類數(shù)據(jù)，進(jìn)一步推斷出車主的個(gè)人隱私.

③惡意移動(dòng)車輛.車聯(lián)網(wǎng)中，部分惡意車輛會(huì)以合法身份完成接入認(rèn)證，在被其他設(shè)備發(fā)現(xiàn)其惡意行為后，再借助網(wǎng)聯(lián)汽車高速移動(dòng)的特性來逃避后續(xù)的追責(zé).甚至，這些惡意車輛會(huì)繼續(xù)入侵其他良性網(wǎng)絡(luò)，造成更嚴(yán)重的災(zāi)害[36-37].

2.2.2 車外通信層攻擊威脅

在車外網(wǎng)中，車聯(lián)網(wǎng)系統(tǒng)利用車作為信息源，建立以車為節(jié)點(diǎn)，車—路—云交互的V2X 網(wǎng)絡(luò)系統(tǒng).而系統(tǒng)內(nèi)的實(shí)體在交互過程中會(huì)采用WiFi、移動(dòng)通信網(wǎng)絡(luò)（3G/4G/5G 等）、藍(lán)牙等多種通信方式，但是這些通信方式中又存在著各種安全性問題，導(dǎo)致車輛在通信過程中面臨著各種潛在的安全威脅和攻擊.根據(jù)車輛通信交互的實(shí)體類型，我們將車外通信層安全威脅分為車與車通信安全威脅和車與其他設(shè)備通信安全威脅2 個(gè)方面.

1）車與車通信安全威脅

車與車的通信主要是指V2V 通信，該技術(shù)用于構(gòu)建無線數(shù)據(jù)傳輸網(wǎng)絡(luò)通信結(jié)構(gòu)，以實(shí)現(xiàn)車輛間的信息共享和協(xié)作，并廣泛應(yīng)用于智能網(wǎng)聯(lián)汽車的半自動(dòng)/自動(dòng)駕駛車隊(duì)（vehicle platoon）場景中.然而這些通信協(xié)議本身往往就存在各種漏洞，一旦被攻擊者利用，極有可能危及車輛行車安全.例如Hu 等人[38]發(fā)現(xiàn)網(wǎng)聯(lián)汽車網(wǎng)絡(luò)堆?？捎眯赃`規(guī)的設(shè)計(jì)級(jí)缺陷可導(dǎo)致網(wǎng)聯(lián)汽車遭受嚴(yán)重的DoS 攻擊.Xu 等人[39]發(fā)現(xiàn)公開密鑰體系(PKI)無法將車輛的數(shù)字身份與車輛的物理位置和狀態(tài)綁定，允許攻擊者假冒“幽靈”車輛，進(jìn)而遠(yuǎn)程注入虛假數(shù)據(jù)，最終危及車隊(duì)安全與效率.V-Range[40]提出攻擊者利用5G 協(xié)議漏洞篡改了傳輸信號(hào)，進(jìn)而導(dǎo)致安全測距系統(tǒng)出錯(cuò)，最后實(shí)現(xiàn)距離和位置操縱攻擊，威脅汽車安全.

2）車與其他設(shè)備通信安全威脅

除了V2V 車際通信以外，車與設(shè)備通信也是攻擊者的目標(biāo)，比如車輛與路邊基礎(chǔ)設(shè)施、云、移動(dòng)設(shè)備等的通信.車與其他設(shè)備通信會(huì)應(yīng)用一些現(xiàn)有的通信方式（如藍(lán)牙、WiFi 等），這些通信方式本身存在的安全風(fēng)險(xiǎn)在車聯(lián)網(wǎng)中仍然無法避免，例如中繼攻擊[9].甚至，車聯(lián)網(wǎng)的部署和應(yīng)用還會(huì)產(chǎn)生一些新的通信場景，并引發(fā)一些新的安全風(fēng)險(xiǎn).例如，K?hler等人[41]就提出一種組合攻擊方式Brokenwire，其利用了電力線通信（power line communication,PLC）對特定電磁干擾的敏感性、無屏蔽的充電電纜以及低級(jí)通信協(xié)議中應(yīng)用避免碰撞機(jī)制三大特征，中斷了車輛和充電器之間必要的控制通信，導(dǎo)致充電過程終止.

2.2.3 應(yīng)用與數(shù)據(jù)層攻擊威脅

車聯(lián)網(wǎng)作為一個(gè)為車、路、人、云等不同實(shí)體提供信息服務(wù)的集成網(wǎng)絡(luò)，存在大量的應(yīng)用和數(shù)據(jù)交互，旨在提升交通管理規(guī)劃的能力和效率.然而，這些應(yīng)用的部署和車內(nèi)數(shù)據(jù)的外流又產(chǎn)生了新的安全威脅，主要包括3 個(gè)方面：應(yīng)用安全威脅、數(shù)據(jù)安全威脅和數(shù)據(jù)隱私威脅.

1）應(yīng)用安全威脅

應(yīng)用安全威脅是指應(yīng)用本身存在的安全漏洞可能遭受攻擊者的利用，從而影響系統(tǒng)的正常運(yùn)行，甚至可能影響系統(tǒng)內(nèi)其他良性實(shí)體的安全.比如最常見的DoS 攻擊，攻擊者通過惡意實(shí)體向應(yīng)用服務(wù)器發(fā)送大量的虛假信息，從而干擾、降低服務(wù)器的工作效率，嚴(yán)重時(shí)甚至?xí)?dǎo)致服務(wù)器停止工作.Chen 等人[42]發(fā)現(xiàn)利用數(shù)據(jù)欺騙可以破壞自己或他人車輛上的車側(cè)設(shè)備，然后向智能交通信號(hào)系統(tǒng)發(fā)送惡意的信息，最終就能夠影響系統(tǒng)中的交通控制決策.

2）數(shù)據(jù)安全威脅

車外網(wǎng)中存在大量的數(shù)據(jù)交互行為，但是數(shù)據(jù)的真實(shí)性、可信性和及時(shí)性將直接影響數(shù)據(jù)接收方的相應(yīng)行為.惡意攻擊者可能利用真實(shí)的身份信息偽裝為可信節(jié)點(diǎn)，通過共享虛假的路況信息來掩蓋其惡意行為.更嚴(yán)重的是，車外網(wǎng)中攻擊者可能部署大量惡意節(jié)點(diǎn)進(jìn)行共謀攻擊，比如利用多個(gè)惡意節(jié)點(diǎn)（車輛）共謀向路邊單元發(fā)送虛假信息，就能直接影響實(shí)時(shí)路況信息的正確性[43].

3）數(shù)據(jù)隱私威脅

智能汽車作為車聯(lián)網(wǎng)中一個(gè)最重要的數(shù)據(jù)來源，不可避免地需要將本車數(shù)據(jù)與外部實(shí)體進(jìn)行交互共享，以提升車載服務(wù)質(zhì)量、改善駕乘體驗(yàn)，但是這些信息中可能直接或間接包含著用戶自身的隱私數(shù)據(jù)，因此就產(chǎn)生了隱私泄露[44].例如，在用戶使用網(wǎng)約車系統(tǒng)時(shí)需要向其提交位置信息，這就可能直接引發(fā)了嚴(yán)重的隱私問題[45-46].此外，Zhou 等人[47]利用車輛的速度信息和環(huán)境信息（比如實(shí)時(shí)交通和交通法規(guī)）能夠間接推導(dǎo)出車輛的行駛軌跡.

3 車聯(lián)網(wǎng)安全對策

面對車聯(lián)網(wǎng)攻擊威脅，研究者們提出了不同的安全對策以實(shí)現(xiàn)對攻擊的檢測或者系統(tǒng)安全性的增強(qiáng).本節(jié)依據(jù)第1 節(jié)所劃分的車聯(lián)網(wǎng)架構(gòu)，進(jìn)一步歸納車聯(lián)網(wǎng)每層中所能采取的安全對策.值得注意的是，每層中的攻擊威脅與安全對策并不是完全對應(yīng)的關(guān)系，比如固件層中惡意ECU 的檢測通常在車內(nèi)通信層才能實(shí)現(xiàn).

3.1 車內(nèi)網(wǎng)安全對策

車內(nèi)網(wǎng)的安全對策直接關(guān)系到車主的切身利益，對車輛架構(gòu)安全、行駛安全都至關(guān)重要.按照1.1 節(jié)車內(nèi)網(wǎng)架構(gòu)我們將分別從固件層、車內(nèi)通信層和應(yīng)用決策層來描述車內(nèi)網(wǎng)的安全對策.

3.1.1 固件層安全對策

由2.1.1 節(jié)固件層安全威脅分析可知，智能網(wǎng)聯(lián)汽車固件層面臨的安全問題主要出現(xiàn)在車載傳感器和車內(nèi)ECU 上，于是研究者們也提出了與之對應(yīng)的安全對策.

對于車載傳感器，可采取的安全對策主要包含3 點(diǎn)：1）多傳感器融合.將多個(gè)傳感器采集的數(shù)據(jù)進(jìn)行融合，提高感知結(jié)果的準(zhǔn)確性和可靠性，但是目前也存在針對多傳感器融合機(jī)制的攻擊方式[14].2）改進(jìn)傳感器內(nèi)部結(jié)構(gòu).以LiDAR 為例，可以通過減少接收角度和過濾不需要的光譜等方式降低攻擊面，但這也降低了LiDAR 測量反射激光脈沖的能力，限制了設(shè)備的使用范圍和靈敏度.3）改進(jìn)傳感器的運(yùn)行策略.比如提高LiDAR 發(fā)射激光脈沖方式的隨機(jī)性，每個(gè)周期發(fā)射一組隨機(jī)的激光脈沖、隨機(jī)化激光脈沖波形、隨機(jī)關(guān)閉發(fā)射器以驗(yàn)證是否有任何意外輸入信號(hào)，但這也大大增加了系統(tǒng)復(fù)雜性，并犧牲部分性能[25].此外，除了利用固件層安全對策來增強(qiáng)傳感器安全性以外，現(xiàn)有的研究者更傾向于在應(yīng)用決策層通過改進(jìn)模型與算法，基于軟件的方法來彌補(bǔ)傳感器自身的缺陷（見3.1.3 節(jié)）.

對于ECU 上存在的安全威脅問題，現(xiàn)有的安全對策包含2 個(gè)方面：1）改進(jìn)ECU 架構(gòu)，以增強(qiáng)其安全性，比如Poudel 等人[48]提出一種新型ECU 架構(gòu)，其結(jié)合了安全性和可靠性的原語，使ECU 響應(yīng)時(shí)間、能源效率和錯(cuò)誤恢復(fù)能力顯著提升.2）對ECU 進(jìn)行身份驗(yàn)證，檢測惡意ECU.車內(nèi)的入侵檢測系統(tǒng)IDS能檢測受損ECU、不受監(jiān)控的ECU 和其他ECU 的攻擊，是目前最主流的ECU 安全增強(qiáng)對策.但是值得注意的是，由于CAN 協(xié)議的特性，接收器無法識(shí)別幀的發(fā)送者，而且CAN 的帶寬、有效載荷和計(jì)算資源有限，使得一些身份驗(yàn)證方式如消息驗(yàn)證碼（message authentication code,MAC）等只能在有限的范圍能被采用，因此ECU 的身份驗(yàn)證具有很大的挑戰(zhàn)性，只能通過一些其他特征來輔助IDS 判斷，如硬件引起的信號(hào)特征差異[49].當(dāng)然，這類基于流量的ECU 安全對策都是在車內(nèi)通信層實(shí)施的，我們將在3.1.2 節(jié)中進(jìn)行更細(xì)致的討論和分析.

3.1.2 車內(nèi)通信層安全對策

如3.1.1 節(jié)所述，車內(nèi)通信層的安全對策除了對車內(nèi)協(xié)議（如CAN 總線）進(jìn)行安全增強(qiáng)外，還包括了對ECU 的身份識(shí)別，表2 對近5 年車內(nèi)通信層代表性的安全對策進(jìn)行了比較分析.

1）CAN 總線安全增強(qiáng)

目前主流的CAN 總線安全增強(qiáng)對策是基于對CAN 報(bào)文、幀格式、規(guī)則等特征的提取，設(shè)計(jì)入侵檢測系統(tǒng)IDS 來檢測外部的惡意攻擊.例如，Jedh 等人[50]設(shè)計(jì)了一種消息-序列圖，用以標(biāo)識(shí)ECU 消息之間的序列關(guān)系，進(jìn)而利用消息-序列圖的相似性度量檢測CAN 總線消息注入攻擊.Xue 等人[51]提出一種消息注入攻擊的防御方案SAID，根據(jù)傳入消息對當(dāng)前消息上下文和車輛狀態(tài)是否造成安全隱患，來判斷該消息是否異常.Bhatia 等人[21]通過對幀格式進(jìn)行協(xié)議兼容的修改，生成獨(dú)特的“方言”，以檢測所有ECU的偽裝攻擊.Han 等人[52]提出基于CAN 消息的周期性事件觸發(fā)間隔來檢測和識(shí)別車輛網(wǎng)絡(luò)異常的方法.

此外，學(xué)者們也提出在CAN 總線上實(shí)施物理防御措施，比如物理隔離、電磁干擾檢測和電流監(jiān)測等.這些措施主要針對CAN 總線的物理結(jié)構(gòu)和傳輸介質(zhì)進(jìn)行保護(hù)，以減少攻擊者對CAN 總線的訪問和干擾.例如，Groza 等人[24]提出一種基于反應(yīng)式防御的總線修改方案，通過在總線上放置繼電器，使網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)在遭受攻擊時(shí)發(fā)生改變，并能夠隔離部分節(jié)點(diǎn)和重定向流量，防止攻擊者完全控制總線.

2）ECU 身份識(shí)別

由于攻擊者對CAN 或ECU 展開攻擊的最終目的通常是控制關(guān)鍵的ECU 以損害車輛功能，因此許多研究重點(diǎn)在于設(shè)計(jì)一個(gè)確定發(fā)送者ECU 身份的方法[53].對每個(gè)ECU 身份的精準(zhǔn)識(shí)別不僅能抵御ECU身份模擬和篡改攻擊，還能夠防止未經(jīng)授權(quán)的ECU介入通信，進(jìn)而增強(qiáng)車輛整體的安全性.目前，主流的ECU 身份識(shí)別方法都是基于ECU 指紋實(shí)現(xiàn)的，CAN 上的一些特征（如報(bào)文頻率、報(bào)文發(fā)送時(shí)間間隔和時(shí)序等信息）都可以作為ECU 指紋，進(jìn)而對ECU 身份進(jìn)行識(shí)別.例如，Choi 等人[54]對CAN 上的信號(hào)進(jìn)行采樣作為ECU 指紋來設(shè)計(jì)入侵檢測系統(tǒng)，以檢測總線關(guān)閉攻擊.此外，Popa 等人[55]認(rèn)為單一特征可能不足以區(qū)分大量的ECU，提出對平均電壓、最大電壓、位時(shí)間和平臺(tái)時(shí)間4 個(gè)特征進(jìn)行綜合考量，以增強(qiáng)ECU 身份識(shí)別的準(zhǔn)確性.

3.1.3 應(yīng)用決策層安全對策

車內(nèi)網(wǎng)應(yīng)用決策層安全對策研究主要集中在2個(gè)方面：1）針對自動(dòng)駕駛整體系統(tǒng)的漏洞檢測；2）針對環(huán)境感知系統(tǒng)模型的安全研究.

攻擊者可能利用感知或決策功能的漏洞和弱點(diǎn)對自動(dòng)駕駛系統(tǒng)進(jìn)行攻擊，因此目前一般采用模糊測試的方法來自動(dòng)化挖掘自動(dòng)駕駛系統(tǒng)中的漏洞.PlanFuzz[28]提出了一種漏洞挖掘框架，將“計(jì)劃不變量”作為特定問題的測試預(yù)言（test oracles），引入了一種動(dòng)態(tài)測試方法來生成攻擊輸入數(shù)據(jù)，能有效發(fā)現(xiàn)自動(dòng)駕駛系統(tǒng)的語義DoS 漏洞.DriveFuzz[56]則提出了一種自動(dòng)化模糊測試框架，利用高保真度駕駛模擬器生成和變異駕駛場景，并基于真實(shí)世界的交通規(guī)則構(gòu)建測試預(yù)言，旨在全面測試整個(gè)自動(dòng)駕駛系統(tǒng)而非系統(tǒng)中的單個(gè)層次以發(fā)現(xiàn)潛在漏洞.

此外，針對傳感器欺騙攻擊等造成的環(huán)境感知系統(tǒng)錯(cuò)誤，研究者們也更多選擇從模型和算法的角度增強(qiáng)系統(tǒng)的安全性，而不需要對現(xiàn)有固件做出較多修改.針對攝像機(jī)欺騙攻擊，現(xiàn)有方案提出特征檢測和在模型的訓(xùn)練數(shù)據(jù)中添加對抗性示例的方法，以辨別攻擊者添加擾動(dòng)后的攝像機(jī)圖像[26]；Nassi 等人[10]使用4 個(gè)輕量級(jí)神經(jīng)網(wǎng)絡(luò)評(píng)估物體真實(shí)性，驗(yàn)證檢測到的對象以抵御瞬時(shí)幻影攻擊；PercepGuard[11]利用檢測到的物體的時(shí)空屬性，并交叉檢查軌跡和類預(yù)測之間的一致性來檢測錯(cuò)誤分類攻擊；Wang 等人[12]提出一種基于軟件的方法，通過識(shí)別和過濾光源模塊和反射檢測模塊，檢測攻擊者故意發(fā)射的紅外光.

針對LiDAR 欺騙攻擊，Sun 等人[15]提出將被忽略的遮擋模式作為不變的物理特征來檢測虛假車輛，并提出順序視圖融合的方法，通過順序融合LiDAR點(diǎn)云的前視圖和3D 表示，使得模型能夠更充分地利用前視圖的特征，進(jìn)一步降低欺騙攻擊成功率；Cao等人[16]考慮了2 種檢測方法：假陰影檢測和基于方位角的檢測，其中，假陰影檢測通過比較圖中點(diǎn)云陰影區(qū)域和計(jì)算得到的區(qū)域來檢測物理移除攻擊；基于方位角的檢測計(jì)算場景中所有點(diǎn)云的方位角值以找尋缺失的點(diǎn)云數(shù)據(jù)；Xiao 等人[57]提出一種即插即用的防御模塊，利用一個(gè)結(jié)合物體深度信息的局部物體關(guān)系預(yù)測器對深度與點(diǎn)密度之間的關(guān)系進(jìn)行建模，幫助LiDAR 感知系統(tǒng)、排除偽造的障礙物.

3.2 車外網(wǎng)安全對策

車外網(wǎng)安全對策旨在保護(hù)車輛外部通信安全、車外網(wǎng)系統(tǒng)安全以及數(shù)據(jù)安全與隱私等方面.我們將根據(jù)第1.2 節(jié)車外網(wǎng)架構(gòu)，即設(shè)備層、車外通信層和應(yīng)用與數(shù)據(jù)層來闡述車外網(wǎng)的安全對策.

3.2.1 設(shè)備層安全對策

目前，車外網(wǎng)設(shè)備層安全對策主要致力于解決車輛身份安全威脅，因此車聯(lián)網(wǎng)密鑰協(xié)商和身份認(rèn)證協(xié)議成為了研究的重點(diǎn).但是根據(jù)2.2.1 節(jié)所述，在解決車輛身份認(rèn)證問題，實(shí)現(xiàn)對虛假身份識(shí)別的同時(shí)，還需要考慮2 方面的挑戰(zhàn)：1）對車輛身份、位置等隱私信息的保護(hù)；2）對惡意車輛的追蹤.為了克服這2 個(gè)挑戰(zhàn)，現(xiàn)有研究采用了各種方法，如同態(tài)加密[32]、橢圓曲線[35]、屬性加密[36]、物理不可克隆函數(shù)（physical unclonable function,PUF）[37]等，表3 從核心方法、隱私保護(hù)、溯源性、特征、場景5 個(gè)角度對現(xiàn)有方法進(jìn)行了比較.

Table 3 Comparisons of Extra-Vehicle Device Layer Security Countermeasures表3 車外設(shè)備層安全對策對比

韓牟等人[32]提出了一種面向移動(dòng)邊緣計(jì)算車聯(lián)網(wǎng)的車輛假名管理方案，該方案利用邊緣云替代中心云以提高身份認(rèn)證效率，并采用同態(tài)加密技術(shù)解決邊緣云車輛假名信息泄露問題.此外，姚海龍等人[35]針對匿名性和前向安全性的脆弱問題和主密鑰泄露問題，使用橢圓曲線密碼和Hash 函數(shù)設(shè)計(jì)了認(rèn)證密鑰協(xié)商協(xié)議.考慮到身份驗(yàn)證開銷難以被資源受限的車載單元接受的問題，侯琬鈺等人[37]提出了一種基于PUF 的輕量級(jí)5G 車聯(lián)網(wǎng)匿名認(rèn)證和密鑰協(xié)商協(xié)議，精簡了車輛通信中的認(rèn)證和密鑰協(xié)商過程，降低了通信開銷和時(shí)延.Feng 等人[58]發(fā)現(xiàn)現(xiàn)有的身份驗(yàn)證方案需要多次提供新的證書，從而增加了通信開銷和存儲(chǔ)開銷，提出了一種新穎的隱私保護(hù)認(rèn)證協(xié)議P2BA，實(shí)現(xiàn)了高效通訊和存儲(chǔ)，提升了車聯(lián)網(wǎng)的認(rèn)證效率和隱私保護(hù)水平.

3.2.2 車外通信層安全對策

對于車外通信層的安全，目前主流的安全對策都是通過對協(xié)議的安全性增強(qiáng)來實(shí)現(xiàn)，比如漏洞挖掘與修復(fù)[38]、改進(jìn)協(xié)議的格式[39]或者改進(jìn)信號(hào)傳輸方式[40]等.具體而言，Hu 等人[38]針對網(wǎng)聯(lián)汽車網(wǎng)絡(luò)堆棧中的設(shè)計(jì)缺陷，提出了一種協(xié)議級(jí)別的漏洞挖掘方案，并通過系統(tǒng)化的安全結(jié)果量化評(píng)估，揭示了網(wǎng)聯(lián)汽車網(wǎng)絡(luò)協(xié)議的4 個(gè)新型DoS 漏洞以及2 個(gè)網(wǎng)聯(lián)汽車車隊(duì)管理協(xié)議的14 個(gè)新型DoS 漏洞.此外，Xu 等人[39]提出了一種針對車隊(duì)通信的新型訪問控制協(xié)議PoF，用于驗(yàn)證候選方與驗(yàn)證方之間的跟蹤距離.PoF 將候選車輛的數(shù)字身份與驗(yàn)證方的屬性和車隊(duì)距離綁定，以實(shí)現(xiàn)安全的車輛間通信.Singh 等人[40]提出了第一個(gè)5G-NR 無線電架構(gòu)的安全測距系統(tǒng)VRange，通過縮短正交頻分復(fù)用技術(shù)中的符號(hào)長度，在短時(shí)間內(nèi)聚集能量，保障了距離估計(jì)的正確性.

3.2.3 應(yīng)用與數(shù)據(jù)層安全對策

應(yīng)用與數(shù)據(jù)層安全對策主要集中在對數(shù)據(jù)安全和數(shù)據(jù)隱私的保護(hù)方向.其中數(shù)據(jù)共享作為數(shù)據(jù)隱私保護(hù)的一種重要場景，受到了非常多的關(guān)注.因此，我們將從數(shù)據(jù)安全、數(shù)據(jù)隱私、數(shù)據(jù)共享3 個(gè)方面分別闡述現(xiàn)有的安全對策.

數(shù)據(jù)安全的關(guān)鍵在于確保通信數(shù)據(jù)的完整性、真實(shí)性和正確性.例如，玄世昌等人[43]提出了一個(gè)信譽(yù)積分管理機(jī)制，利用區(qū)塊鏈技術(shù)對共享數(shù)據(jù)進(jìn)行可信驗(yàn)證，有效地防止了惡意節(jié)點(diǎn)的操縱和攻擊行為，并檢測車聯(lián)網(wǎng)中共謀節(jié)點(diǎn)發(fā)出的虛假路況信息.

針對數(shù)據(jù)隱私保護(hù)，研究者們目前主要考慮車聯(lián)網(wǎng)中基于位置的服務(wù)需要用戶上傳具體的位置信息，進(jìn)而引發(fā)的隱私泄露問題，目前主流的方法是使用一些先進(jìn)的加密、混淆、緩存、匿名等方法來保護(hù)位置/軌跡隱私信息.例如，吳宣夠等人[59]提出了一種最大化路徑覆蓋的數(shù)據(jù)上報(bào)方案，在保障用戶單點(diǎn)位置隱私的基礎(chǔ)上，進(jìn)一步保護(hù)了移動(dòng)用戶的軌跡隱私.徐川等人[60]利用差分隱私方法設(shè)計(jì)了一個(gè)位置隱私保護(hù)方案，能夠滿足用戶個(gè)性化隱私需求的同時(shí)提供基于位置的服務(wù).

除了位置隱私以外，車聯(lián)網(wǎng)中的不同實(shí)體間還需要實(shí)現(xiàn)其他數(shù)據(jù)的共享，這些數(shù)據(jù)也可能導(dǎo)致一些關(guān)鍵信息的泄露，比如車輛控制系統(tǒng)的參數(shù).莫梓嘉等人[61]結(jié)合了區(qū)塊鏈和聯(lián)邦學(xué)習(xí)方法，將激勵(lì)機(jī)制引入聯(lián)邦學(xué)習(xí)架構(gòu)中，實(shí)現(xiàn)了分布式高效的數(shù)據(jù)共享.Nekouei 等人[62]提出了一種隨機(jī)濾波框架，能夠防止車輛的共享數(shù)據(jù)遭受推斷攻擊所導(dǎo)致的主動(dòng)轉(zhuǎn)向控制系統(tǒng)的控制器增益值泄露.

4 車聯(lián)網(wǎng)安全關(guān)鍵技術(shù)

車聯(lián)網(wǎng)是一個(gè)復(fù)雜的多實(shí)體、多協(xié)議的集成網(wǎng)絡(luò)，存在大量攻擊面，因此為了保障車聯(lián)網(wǎng)安全，研究者們提出了不同的安全對策以增強(qiáng)每個(gè)層級(jí)的安全性.其中協(xié)議逆向、漏洞挖掘、固件仿真和模型安全保護(hù)4 種技術(shù)在車聯(lián)網(wǎng)安全領(lǐng)域尤為關(guān)鍵.

4.1 協(xié)議逆向

目前，汽車主流的通信總線主要包括4 種：CAN、LIN、FlexRay、MOST，其中CAN 是使用最廣泛的汽車通信總線.不同的車輛通常具有差異化的CAN 消息語法規(guī)范，從而阻礙相同規(guī)范對不同車輛設(shè)置和型號(hào)的適用性，并且這些正式規(guī)范通常由汽車制造商保密[63].然而，這些CAN 消息的“未知性”不僅給很多安全分析技術(shù)帶來一定困難，還可能成為安全威脅的“防護(hù)衣”.例如，汽車制造商通過這些未記錄的CAN 消息，悄無聲息地收集用戶的隱私數(shù)據(jù)[64].因此，逆向分析技術(shù)[65]不僅有助于防御各類汽車網(wǎng)絡(luò)攻擊和提高安全分析能力，而且能夠有助于保護(hù)用戶隱私數(shù)據(jù)等權(quán)益.

目前，學(xué)者們已經(jīng)提出了多個(gè)針對CAN 消息的協(xié)議逆向方法.READ[63]通過分析具有相同ID 的CAN 消息有效載荷的有序序列，計(jì)算有效載荷中每個(gè)比特的翻轉(zhuǎn)率和比特翻轉(zhuǎn)幅度，進(jìn)一步識(shí)別信號(hào)邊界以自動(dòng)提取信號(hào).LibreCAN[66]對READ 算法的信號(hào)提取機(jī)制進(jìn)行改進(jìn)，將提取出的信號(hào)與收集自O(shè)BD-Ⅱ和智能手機(jī)傳感器的信息進(jìn)行匹配，進(jìn)而提取信號(hào)語義.AutoCAN[64]則利用了“不同的信號(hào)能夠表現(xiàn)出明顯不同的行為”這一特征，對所劃分的各類信號(hào)的合理性進(jìn)行分析，并通過窮舉法挖掘各信號(hào)間的數(shù)據(jù)關(guān)系.DP-Reverser[67]提出了基于CAN 的應(yīng)用層診斷協(xié)議進(jìn)行逆向分析的工具，借助攝像機(jī)自動(dòng)觸發(fā)和捕獲診斷協(xié)議的消息，能夠準(zhǔn)確提取出車輛診斷協(xié)議中的信號(hào)，并實(shí)現(xiàn)對信號(hào)語義的推斷.CANHunter[68]提出一種跨平臺(tái)CAN 消息逆向系統(tǒng)，僅通過分析車載移動(dòng)應(yīng)用程序而不需要真實(shí)汽車就能夠逆向CAN 總線命令.

4.2 漏洞挖掘

車聯(lián)網(wǎng)中的漏洞挖掘技術(shù)目前主要針對2 類漏洞：系統(tǒng)漏洞和協(xié)議漏洞.系統(tǒng)漏洞主要是指自動(dòng)駕駛系統(tǒng)中存在的漏洞，而協(xié)議漏洞則是指車聯(lián)網(wǎng)通信協(xié)議漏洞.

自動(dòng)駕駛系統(tǒng)漏洞挖掘方法代表性的成果是PlanFuzz[28]和DriveFuzz[56]，主流的漏洞挖掘技術(shù)主要可以分為白盒測試、黑盒測試和灰盒測試3 種類型.1）白盒測試.在了解目標(biāo)程序內(nèi)部結(jié)構(gòu)、實(shí)現(xiàn)和運(yùn)行機(jī)制的基礎(chǔ)上進(jìn)行，主要針對自動(dòng)駕駛系統(tǒng)中的各個(gè)模塊進(jìn)行測試，可以深入了解系統(tǒng)內(nèi)部的工作原理，但是無法全面覆蓋所有可能的場景和情況.2）黑盒測試.在不了解目標(biāo)應(yīng)用程序內(nèi)部結(jié)構(gòu)和實(shí)現(xiàn)的情況下進(jìn)行，只能根據(jù)輸入和輸出觀察系統(tǒng)行為，主要通過構(gòu)建真實(shí)場景來測試自動(dòng)駕駛系統(tǒng)的性能和安全性，可以覆蓋更多的場景和情況，但是無法深入了解系統(tǒng)內(nèi)部的工作原理.3）灰盒測試.在只能部分了解應(yīng)用程序的內(nèi)部結(jié)構(gòu)和實(shí)現(xiàn)信息的情況下進(jìn)行，設(shè)計(jì)針對性的自動(dòng)駕駛測試用例，既能夠發(fā)現(xiàn)明顯的漏洞和異常行為，又能夠探索更復(fù)雜的邏輯漏洞和系統(tǒng)缺陷.此外，按具體的技術(shù)可以劃分為符號(hào)執(zhí)行、隨機(jī)測試、模糊測試和混合測試等，這些方法在車聯(lián)網(wǎng)場景上同樣得到了充分的運(yùn)用，但仍然存在一些挑戰(zhàn)，例如符號(hào)執(zhí)行方法需要解決路徑爆炸問題.

此外，車聯(lián)網(wǎng)中使用的通信協(xié)議同樣存在許多漏洞，因此在考慮車聯(lián)網(wǎng)特性的基礎(chǔ)上可以引入傳統(tǒng)的安全分析方法.例如，Hu 等人[38]針對車聯(lián)網(wǎng)中存在的漏洞與攻擊，如DoS 攻擊、消息欺騙和數(shù)據(jù)篡改等，提出了一種自動(dòng)化漏洞發(fā)現(xiàn)系統(tǒng)CVAnalyzer，該系統(tǒng)能夠及時(shí)發(fā)現(xiàn)協(xié)議漏洞并加以修復(fù).CVAnalyzer 使用模型檢測技術(shù)來分析協(xié)議棧中可能存在的漏洞，并生成攻擊序列以驗(yàn)證漏洞是否真實(shí)存在.

4.3 固件仿真

智能網(wǎng)聯(lián)汽車中包含了大量的ECU，而無論是針對這些ECU 的安全分析還是攻擊，理解其內(nèi)部架構(gòu)或運(yùn)行原理都是關(guān)鍵的第一步，因此固件仿真成為一種重要的車聯(lián)網(wǎng)安全技術(shù).

然而，針對網(wǎng)聯(lián)汽車ECU 的固件仿真存在著2 方面的挑戰(zhàn)：1）難以使用現(xiàn)有的仿真工具模擬ECU 架構(gòu).不同于嵌入式設(shè)備常見的ARM 或MIPS 架構(gòu)，ECU通常會(huì)使用一些更加復(fù)雜的架構(gòu)，例如V850/RH850或C166，使得其難以被現(xiàn)有的仿真環(huán)境（如QEMU[69]和Unicorn[70]）所支持，很多ECU 的仿真只能依賴于手工操作[71].2）難以實(shí)現(xiàn)外設(shè)支持.外設(shè)支持是傳統(tǒng)固件仿真技術(shù)中的一個(gè)難點(diǎn)，在車聯(lián)網(wǎng)環(huán)境中這一點(diǎn)變得更為重要.網(wǎng)聯(lián)汽車內(nèi)，多個(gè)ECU 通過CAN總線連接，每個(gè)ECU 可能有多個(gè)外設(shè).而之前的固件仿真器大多以設(shè)備為中心，缺乏對外設(shè)的支持，但是在車內(nèi)網(wǎng)中，許多ECU 需要其他ECU 和外設(shè)的存在才能成功地初始化和運(yùn)行.

目前，MetaEmu[72]提出了一個(gè)面向汽車固件的仿真框架，利用Ghidra 的語言定義實(shí)現(xiàn)了多架構(gòu)融合的虛擬執(zhí)行環(huán)境，支持對汽車固件的動(dòng)態(tài)分析以及對多個(gè)組件間的交互分析.

4.4 模型安全保護(hù)

AI 和深度神經(jīng)網(wǎng)絡(luò)技術(shù)在車聯(lián)網(wǎng)中被大量地應(yīng)用，特別是在一些計(jì)算機(jī)視覺任務(wù)中，如交通標(biāo)志符檢測、車道檢測、行人識(shí)別等.然而，神經(jīng)網(wǎng)絡(luò)模型的可靠性和安全性將直接影響車輛的行駛安全，因此AI 模型的安全問題也變得更加尖銳.例如，Sato 等人[29]提出了一種新的物理對抗樣本攻擊，利用骯臟的道路作為對抗樣本，當(dāng)車載攝像頭掃描到此類對抗樣本時(shí)，便會(huì)影響模型生成的駕駛決策，使汽車偏離軌道中心.此外，針對交通標(biāo)志識(shí)別系統(tǒng)的對抗樣本攻擊[73-74]將會(huì)導(dǎo)致車輛對交通標(biāo)志的誤分類.

面對這些模型安全攻擊，可行的安全對策可以分為2 大類：1）系統(tǒng)改進(jìn).修改整體系統(tǒng)的運(yùn)行規(guī)則，比如不再依賴單個(gè)傳感器（如攝像頭）作為輸入的唯一來源，而采用多數(shù)據(jù)融合（如LiDAR、地圖）的方式，提高攻擊者生成可用對抗樣本的難度.2）模型安全性增強(qiáng).目前主流的模型防御方法包括3 種類型：輸入圖像預(yù)處理[75]、對抗樣本檢測[76]和模型增強(qiáng)[77].具體來說，輸入圖像預(yù)處理[75]通過對感知層收集的圖像進(jìn)行壓縮、消除對抗特征等方式來保證圖像輸入的正確性.對抗樣本檢測[76]直接檢測對抗特征，從而區(qū)分良性樣本和對抗樣本，阻止對抗樣本進(jìn)入AI 模型.模型增強(qiáng)[77]則是在訓(xùn)練階段增強(qiáng)AI 模型，使用知識(shí)蒸餾、梯度優(yōu)化等方法來提高模型的魯棒性，從而大幅度削弱對抗樣本的攻擊效果.

5 未來展望

車聯(lián)網(wǎng)是由傳統(tǒng)的車輛自組織網(wǎng)絡(luò)演變而成的，經(jīng)歷長期的發(fā)展過程，以及高帶寬低時(shí)延的5G 通信時(shí)代的到來，使得車聯(lián)網(wǎng)進(jìn)入了新的高速發(fā)展階段.然而有大量的車聯(lián)網(wǎng)安全問題值得關(guān)注與研究，車聯(lián)網(wǎng)中存在極多的安全場景需要探索.

1）車聯(lián)網(wǎng)協(xié)議逆向

目前，車聯(lián)網(wǎng)協(xié)議逆向算法針對下層CAN 協(xié)議逆向工程的分析相對較多，上層協(xié)議的分析較少，而且協(xié)議分析的精度也有進(jìn)一步提升的空間.具體包括3 個(gè)方面：

①高精度的信號(hào)分割算法.對于數(shù)據(jù)段只存在信號(hào)值的CAN 幀，目前大多都是基于比特翻轉(zhuǎn)率分割信號(hào)，然而其算法特征會(huì)導(dǎo)致精度偏低，難以精確地識(shí)別各個(gè)信號(hào).因此，探究出一個(gè)精度更高的信號(hào)分割算法將是一個(gè)重要的研究方向.

②針對診斷協(xié)議的協(xié)議逆向研究.診斷協(xié)議作為車載協(xié)議的重要組成部分，可以訪問和操控汽車組件.但目前的車聯(lián)網(wǎng)協(xié)議逆向技術(shù)大多用于恢復(fù)CAN 幀數(shù)據(jù)段的信號(hào)，不能適用于上層的診斷協(xié)議.因此，診斷協(xié)議逆向工程也是未來研究方向之一.

③對其它通信總線協(xié)議的逆向分析.除了CAN，車內(nèi)通信總線還有LIN、MOST 和FlexRay，但目前的研究都是對CAN 的逆向分析，針對其它通信總線的協(xié)議逆向也是未來值得研究的內(nèi)容.

2）實(shí)時(shí)通信場景安全防護(hù)

車聯(lián)網(wǎng)通信對實(shí)時(shí)性的要求極高，這是車輛能夠迅速獲取數(shù)據(jù)并做出決策的基本前提.因此，車外網(wǎng)中短程的車際通信和車路通信，以及車內(nèi)以太網(wǎng)通信都將會(huì)是未來的發(fā)展重點(diǎn).然而，在車外網(wǎng)中，目前仍然存在很多安全與隱私的問題，具體包括：①通信數(shù)據(jù)的可信性.設(shè)備在收到外部數(shù)據(jù)時(shí)不僅需要判斷數(shù)據(jù)來源的身份的真實(shí)性，還需要判斷數(shù)據(jù)本身的完整性和正確性.②數(shù)據(jù)的隱私保護(hù).設(shè)備之間的數(shù)據(jù)傳輸是車聯(lián)網(wǎng)的必然要求，但是數(shù)據(jù)隱私泄露也是巨大的威脅.一方面，需要使用加密、差分隱私、匿名等方法對關(guān)鍵的隱私信息進(jìn)行隱藏；另一方面，還需要防范推理攻擊等間接獲取用戶隱私.③通信協(xié)議的安全性.目前車聯(lián)網(wǎng)協(xié)議仍然存在很多漏洞，給通信帶了安全隱患.此外，目前車內(nèi)通信安全的研究大都關(guān)注于CAN 總線協(xié)議，但是對車內(nèi)以太網(wǎng)的安全性研究還非常有限，是未來值得考慮的方向.

3）車聯(lián)網(wǎng)模型安全與隱私

AI 是車聯(lián)網(wǎng)的核心要素之一，除了傳統(tǒng)的集中式模型訓(xùn)練方法外，聯(lián)邦學(xué)習(xí)等新型模型訓(xùn)練方式也在被應(yīng)用于車聯(lián)網(wǎng)場景中[61].而AI 模型的安全性和整體系統(tǒng)安全息息相關(guān)，這在自動(dòng)駕駛系統(tǒng)中顯得尤為突出，現(xiàn)有的車聯(lián)網(wǎng)模型安全問題主要集中于對抗樣本攻擊，利用物理對抗樣本引發(fā)模型的誤分類.但是，已有研究表明針對AI 模型還存在大量的攻擊方式，比如后門攻擊[78-79]能夠在模型訓(xùn)練過程中植入觸發(fā)器，使得模型在面對特定輸入時(shí)會(huì)將其分類到攻擊者指定的類型.

此外，聯(lián)邦學(xué)習(xí)等新技術(shù)的引入也會(huì)導(dǎo)致新的模型隱私攻擊，比如成員推理攻擊[80]、屬性推理攻擊[81]和偏好分析攻擊[82]等，攻擊者能夠通過分布式訓(xùn)練的過程獲取到目標(biāo)數(shù)據(jù)集的隱私信息[83].

4）車聯(lián)網(wǎng)漏洞挖掘

車聯(lián)網(wǎng)的固件、通信和應(yīng)用中都存在著大量已知/未知的漏洞，這些潛在的漏洞一旦遭到攻擊者利用，將造成無法估量的風(fēng)險(xiǎn).現(xiàn)有的車聯(lián)網(wǎng)漏洞挖掘工作還較少，存在很大的發(fā)展與提升空間.未來可以從4 個(gè)方面做出進(jìn)一步地研究：①覆蓋率提升.進(jìn)一步提高測試用例生成算法的多樣性和覆蓋率，以更全面地挖掘潛在漏洞.②可擴(kuò)展的測試環(huán)境.車聯(lián)網(wǎng)場景復(fù)雜多樣，因此需要開發(fā)更加真實(shí)、可擴(kuò)展、可重復(fù)使用的測試環(huán)境構(gòu)建工具，以更好地模擬真實(shí)世界中復(fù)雜多變的駕駛場景.③海量數(shù)據(jù)分析.車聯(lián)網(wǎng)的數(shù)據(jù)非常龐大，因此探索新型數(shù)據(jù)收集和分析技術(shù)，如深度學(xué)習(xí)、強(qiáng)化學(xué)習(xí)等，有助于更好地處理大規(guī)模、高維度、復(fù)雜結(jié)構(gòu)的數(shù)據(jù).④規(guī)范化測試.研究自動(dòng)駕駛系統(tǒng)測試的標(biāo)準(zhǔn)化和規(guī)范化，以確保測試結(jié)果的可靠性和可重復(fù)性，并為自動(dòng)駕駛系統(tǒng)的商業(yè)化應(yīng)用提供技術(shù)支持.

6 結(jié)束語

本文結(jié)合現(xiàn)有的車聯(lián)網(wǎng)安全相關(guān)文獻(xiàn)研究，針對復(fù)雜多樣的車聯(lián)網(wǎng)場景，對車聯(lián)網(wǎng)架構(gòu)進(jìn)行了細(xì)粒度的劃分，從車內(nèi)網(wǎng)和車外網(wǎng)2 個(gè)部分考量，劃分出固件層、車內(nèi)通信層、應(yīng)用決策層、設(shè)備層、車外通信層和應(yīng)用與數(shù)據(jù)層6 個(gè)層級(jí).基于該細(xì)粒度架構(gòu)，本文詳細(xì)總結(jié)了每一層中存在的攻擊威脅，同時(shí)分析歸納了每層目前采用的安全對策.此外，針對性地介紹了目前車聯(lián)網(wǎng)安全所需要的4 類關(guān)鍵技術(shù)，指出了其作用、挑戰(zhàn)和現(xiàn)有工作.最后，在總結(jié)當(dāng)前研究的基礎(chǔ)上，展望了未來車聯(lián)網(wǎng)安全技術(shù)的研究方向，為后續(xù)研究提供參考.

作者貢獻(xiàn)聲明：況博裕負(fù)責(zé)撰寫論文；李雨澤負(fù)責(zé)文獻(xiàn)收集和整理，以及論文修訂；顧芳銘負(fù)責(zé)部分文獻(xiàn)收集和整理；蘇铓負(fù)責(zé)部分論文修訂；付安民負(fù)責(zé)整體架構(gòu)規(guī)劃，以及論文修訂.