汽车网络安全 CyberSecurity ISO/SAE 21434 测试之四

一、ISO/SAE 21434 第9章

从第9章至第14章，21434 描述了车辆从概念设计到退役的全生命周期各阶段的网络安全要求。

第9章概念阶段（Concept phase），这是整个车辆网络安全生命周期的起点，简单来说，概念阶段的核心是从相关项定义出发，通过TARA分析找出威胁场景和风险，最终形成初步的网络安全目标 和声明 ，为后续设计和验证提供依据。

1. 相关项定义：先搞清楚“保护谁”

• 活动目的：定义相关项及其运行环境，以及在网络安全环境下与其他要素的交互，是后续活动的基础。
• 活动输入：有关相关项和运行环境的现有信息。
• 活动输出：相关项定义报告。
• 活动要求：相关项定义应包括：相关项边界，相关项功能，相关项初步架构，与网络安全相关的运行环境信息等。

首先，需要明确我们要保护的对象（也就是“相关项”），把它和周围环境划清界限。

• 边界划分 ：比如这个ECU（电子控制单元）和其他系统之间的接口在哪？
• 功能描述 ：它在车里干啥？比如刹车系统的ECU负责接收传感器信号并控制刹车。
• 初步架构：它由哪些部分组成？和外部系统怎么交互？比如它通过CAN总线和其他ECU通信。
• 运行环境：它装在车里的哪个位置？运行时会遇到什么场景？这些信息对识别威胁场景和攻击路径非常重要。

举个栗子 ：如果某车载娱乐系统安装在副驾侧，它可能更容易被黑客通过无线网络入侵，这就是运行环境的影响。

2. 网络安全目标：用TARA分析“找风险”

• 活动目的：明确网络安全目标和网络安全声明。
• 活动输入：相关项定义，持续性网络安全活动的网络安全事件也可用于更新TARA。
• 活动输出：TARA分析报告（包括网络安全目标和网络安全声明），评审报告。
• 活动要求：基于相关项定义，利用TARA完整进行威胁分析和风险评估。

网络安全目标分析的关键工具 ：用第15章的TARA方法（威胁分析与风险评估）来识别潜在威胁，并制定应对方案。

一般有三种策略 ：

• 避免风险 ：比如直接去掉某个功能（改设计）。
• 降低风险 ：比如加防火墙、加密通信，目标是让攻击变得更难。
• 分担或保留风险：比如买保险或者监控风险，但这需要写成“网络安全声明”，作为后续持续监控的重点。

举个栗子 ：
假设你的车载系统依赖公钥基础设施（PKI），那就得假设证书颁发机构是可信的。如果发现这个假设不成立，就得重新调整网络安全目标。

3. 网络安全概念：把目标变成“具体措施”

• 活动目的：基于相关项定义和网络安全目标，明确网络安全要求和对运行环境的要求。
• 活动输入：相关项定义、TARA分析报告（主要是网络安全目标和网络安全声明）。
• 活动输出：网络安全概念报告，评审报告。
• 活动要求：网络安全概念应包括以下内容：

  • 确定技术层面或运行层面的网络安全控制措施和技术实现方式，要结合功能间的依赖性、网络安全声明，这个将用于后续设计评估和网络安全确认过程目标确定，应包含以下：

    • 达到网络安全目标的条件（安全控制措施），如防止入侵、监控入侵；
    • 专门处理威胁场景的技术（技术实现方式），如使用保密通信通道；

  • 基于以上网络安全要求，明确对运行环境的要求。取决于或包括相关项的特定功能，如在运行过程获得用户同意的能力；对运行环境的要求是相关项之外实现的，但同样会在网络安全确认过程，以确认实现了相应的网络安全目标；如果其他相关项作为运行环境一部分，也可以对其他相关项提网络安全要求；

  • 网络安全要求应分配给相关项，如适用，可进一步分配到对应的组件。

其实就是三步走 ：

• 技术层面 ： 制定具体的防护措施，比如防止黑客入侵、监控异常行为。 明确技术实现方式，比如使用加密通信通道、定期更新密钥。
• 运行层面： 对运行环境提出要求，比如用户同意隐私条款后才能启用某些功能。如果其他系统是运行环境的一部分，也可以给它们提要求（比如要求另一个ECU也支持加密通信）。
• 分配任务 ：就是把网络安全要求分配到各个组件上，比如某个传感器负责数据加密，某个ECU负责入侵检测。

举个栗子 ：
如果自动驾驶系统的目标是“防止刹车指令被篡改”，那就要给刹车ECU分配任务：必须支持加密通信，同时实时监控异常指令。

以下是一个例子：

总结来说，第9章就是教会我们如何从“模糊的需求”到“清晰的网络安全目标”，而TARA分析是整个过程的核心工具！

二、ISO/SAE 21434 第10章

产品开发阶段，这个阶段主要分为两部分：设计阶段 和 集成与验证阶段 。

• 活动目的

  • 定义网络安全规范
  • 验证定义的网络安全规范和架构设计符合更高层级的网络安全规范；
  • 识别组件的弱点；
  • 证明组件实施和集成结果符合网络安全规范。

• 活动输入

  • 更高层级的网络安全规范，如：分配的网络安全要求；组件的外部接口规范；组件运行环境的信息；
  • 相关项定义；
  • 网络安全概念。

• 活动输出

  • 网络安全规范，评审报告；
  • 建模、设计或编程语言和编码指南的文件；
  • 开发分析和测试得到的弱点；
  • 集成和验证规范，报告。

• 活动要求

  • 设计：应用成熟和可信的设计和实现原则，以避免或减少弱点的引入。架构设计应识别弱点并进行漏洞分析和管理。
  • 集成与验证：功能测试、漏洞扫描、模糊测试、渗透测试。

• 总结来说，设计阶段是从“规范”到“实现”的过程。

• 第一步：定义网络安全规范

  • 网络安全规范是设计的基础，得基于更高层级的要求来细化。比如： 明确子组件之间的接口规范；
  • 考虑开发后的安全需求（比如关闭调试接口）。

• 第二步：选择编程语言和规则

  • 编程语言的选择很重要，得挑成熟、可信的语言。
  • 编码规则也得补充好，比如避免使用容易出问题的函数（如GOTO）。

• 第三步：避免弱点和漏洞

  • 在架构设计时就得提前识别可能的弱点，并进行漏洞分析和管理。
  • 如果复用了一些老组件，可以直接用已知的弱点或漏洞信息；如果准备通过改设计解决问题，就不用再单独分析了。

举个栗子 ：
假设你在设计一个车载娱乐系统，就得考虑：
它和其他ECU怎么通信？接口是不是加密的？
开发完成后会不会留下调试接口？如果留下，黑客可能利用它入侵系统。

• 集成与验证阶段：测试“有没有问题”

• 关键点 ：验证所有组件是否满足网络安全规范。

• 测试方法 ：

  • 功能测试 ：检查系统能不能正常工作。
  • 漏洞扫描：用工具扫一遍，看看有没有已知漏洞。
  • 模糊测试 ：给系统输入一堆随机数据，看它会不会崩溃。
  • 渗透测试：模拟黑客攻击，看看能不能找到漏洞组合，拿到更多权限。

举个栗子 ：
漏洞扫描 ：比如发现某个车载系统用了过时的加密算法，那就得赶紧换掉。
模糊测试 ：如果输入一堆乱码数据后系统直接挂了，说明代码里有隐患，得修复。
渗透测试 ：比如模拟黑客通过蓝牙入侵车载系统，看看能不能控制刹车指令。

• 渗透测试和漏洞扫描：黑客视角找问题

  • 渗透测试 ： 就是用黑客的方式攻击自己的系统，看看能不能找到漏洞组合。比如：单独一个漏洞可能没啥危害，但多个漏洞组合起来，可能让黑客拿到管理员权限。
  • 漏洞扫描 ：用工具检查系统有没有已知漏洞，比如编码错误、协议漏洞等。 可以针对硬件、软件、网络协议等不同层面进行扫描。

举个栗子 ：
如果漏洞扫描发现某个车载系统的Wi-Fi模块有未修复的漏洞，那黑客可能利用它入侵整个车辆网络。

网络安全的开发阶段就是“从规范到实现、从设计到验证”的完整闭环，确保每个环节都安全无虞！