Cruise自動(dòng)駕駛車型與外界的溝通方式

C&C的專長(zhǎng)是實(shí)施遠(yuǎn)程攻擊并獲取車輛系統(tǒng)的物理控制權(quán)?；谧陨斫?jīng)驗(yàn)加上借鑒其他團(tuán)隊(duì)的研究成果，他們?yōu)镃ruise自動(dòng)駕駛車型設(shè)計(jì)了一套防護(hù)策略，戰(zhàn)略性地利用現(xiàn)有資源，有針對(duì)性地提升關(guān)鍵攻擊難度。

2015年，Chris Valasek和Charlie Miller（自稱C&C組合）成功入侵某友商車型，在黑客圈一戰(zhàn)成名。后來他們被通用汽車旗下自動(dòng)駕駛技術(shù)公司Cruise收入麾下，主導(dǎo)建立了Cruise的安全團(tuán)隊(duì)。近期，他們透露了設(shè)定自動(dòng)駕駛車型安全優(yōu)先級(jí)的方法和思路。

C&C在加入Cruise十幾個(gè)月時(shí)間里，他們最重要的任務(wù)是打造有史以來最安全的車型（注：這里的“安全secure”指的是系統(tǒng)安全）。最近幾個(gè)論壇上頻頻出現(xiàn)的話題就是安全，包括27日的Auto-E2019中國(guó)汽車技術(shù)青年學(xué)者論壇上，國(guó)家市場(chǎng)監(jiān)管總局缺陷產(chǎn)品管理中心肖凌云博士就自動(dòng)駕駛汽車安全問題，展開廣泛的討論。那么面對(duì)自動(dòng)駕駛汽車集成的大量硬件和軟件系統(tǒng)，面對(duì)這些可能存在的bug，面對(duì)搭載的數(shù)百萬行代碼，面對(duì)沒有方向盤和制動(dòng)踏板的自動(dòng)駕駛車輛，自動(dòng)駕駛安全如何保證？而就職于Cruise的C&C又是如何設(shè)定自動(dòng)駕駛安全項(xiàng)目?jī)?yōu)先級(jí)的呢？

背景閱讀

Cruise自動(dòng)駕駛車型與外界的溝通方式

首先，要先了解Cruise自動(dòng)駕駛車型與外界的溝通方式，才能更好的理解他們自動(dòng)駕駛安全優(yōu)先級(jí)設(shè)定。

每輛Cruise自動(dòng)駕駛汽車都會(huì)配備一個(gè)通信電子控制單元（electronic control unit簡(jiǎn)稱ECU），負(fù)責(zé)與內(nèi)部的基礎(chǔ)設(shè)施實(shí)現(xiàn)通信。該通信電子控制單元ECU同時(shí)也與車輛的主計(jì)算機(jī)模塊保持通信，該計(jì)算機(jī)模塊就像是自動(dòng)駕駛車型的「大腦」。

對(duì)于安全從業(yè)者來說，這樣的結(jié)構(gòu)關(guān)系看上去可能有點(diǎn)驚人，但C&C設(shè)計(jì)的多層級(jí)安全控制機(jī)制能夠有效降低持續(xù)入侵和獲取車輛物理控制權(quán)的可能性。

網(wǎng)絡(luò)層面，他們使用專有的APNs和IPSec通道。并且，他們的自動(dòng)駕駛系統(tǒng)底層架構(gòu)可以確保即便外部攻擊者能夠看到他們的信息流，也仍然可以保證車輛處于安全狀態(tài)。

現(xiàn)實(shí)威脅模型Realistic Threat Model

C&C的專長(zhǎng)是實(shí)施遠(yuǎn)程攻擊并獲取車輛系統(tǒng)的物理控制權(quán)?；谧陨斫?jīng)驗(yàn)加上借鑒其他團(tuán)隊(duì)的研究成果，他們?yōu)镃ruise自動(dòng)駕駛車型設(shè)計(jì)了一套防護(hù)策略，戰(zhàn)略性地利用現(xiàn)有資源，有針對(duì)性地提升關(guān)鍵攻擊難度。

此文章將從以下三個(gè)方面，詳解分析。第一，哪些攻擊類型的影響和規(guī)模級(jí)別最高？第二，執(zhí)行這些攻擊的難易程度如何？第三，不同攻擊類型可能對(duì)自動(dòng)駕駛車輛的物理控制產(chǎn)生何種影響？

C&C判斷當(dāng)下的工作重點(diǎn)是那些可能獲取車輛物理控制權(quán)的遠(yuǎn)程攻擊上。更具體來說，他們會(huì)著重防御那些可以遠(yuǎn)距離實(shí)施的攻擊類型，因?yàn)樗鼈兊挠绊懛秶赡軘U(kuò)展到整個(gè)車隊(duì)。

主動(dòng)防御

首先，他們會(huì)確保車輛只建立出站鏈接（Outbound connections），也就是說Cruise自動(dòng)駕駛系統(tǒng)只會(huì)主動(dòng)發(fā)起與外界建立鏈接，而不會(huì)對(duì)入站鏈接（Inbound connections）做出響應(yīng)。同時(shí)，他們還移除了包括藍(lán)牙和Wi-Fi在內(nèi)可能成為潛在攻擊對(duì)象的車載功能。

通過減少可能遭受攻擊的代碼數(shù)量，他們消除了對(duì)潛在惡意入站數(shù)據(jù)代碼固有風(fēng)險(xiǎn)的擔(dān)憂，提升了自動(dòng)駕駛車型的整體安全等級(jí)。如果后期在投放應(yīng)用時(shí)仍需搭載藍(lán)牙和Wi-Fi，他們會(huì)為這些功能構(gòu)建獨(dú)立的網(wǎng)絡(luò)和設(shè)備。

除此之外，他們采用的安全啟動(dòng)（和更新）機(jī)制以及只讀文件系統(tǒng)能夠確保通信設(shè)備抵御那些成功發(fā)起的外部攻擊。過往的黑客職業(yè)生涯（專黑那些看起來功不可破的系統(tǒng)）教會(huì)他們一件事——不可能完全消除網(wǎng)聯(lián)設(shè)備受侵入的風(fēng)險(xiǎn)。然而，當(dāng)侵入事件發(fā)生時(shí)，他們必須確保入侵者無法實(shí)現(xiàn)持續(xù)性攻擊。

那么，如何保障自動(dòng)駕駛車型主計(jì)算機(jī)模塊和車載通信單元之間的通信安全呢？

這個(gè)是個(gè)好問題?？偟膩碚f，自動(dòng)駕駛車型的主計(jì)算機(jī)模塊默認(rèn)不信任所有通信電子控制單元（ECU），僅向其開放最基礎(chǔ)的權(quán)限。即便是他們自己的通信設(shè)備，主計(jì)算機(jī)模塊也不允許來自它們的入站通信（inbound communication）。二者間的通信將全部由自動(dòng)駕駛車型的主計(jì)算機(jī)模塊發(fā)起，由此確保通信設(shè)備難以向控制車輛的關(guān)鍵模塊發(fā)出單邊指令。

自動(dòng)駕駛車型的安全不能一刀切，幫助自動(dòng)駕駛車型抵御外界入侵遠(yuǎn)不止設(shè)置一個(gè)防火墻這么簡(jiǎn)單。事實(shí)上，他們會(huì)通過分層策略（layered approach）確保以下兩件事：

1. 通過蜂窩網(wǎng)絡(luò)遠(yuǎn)程侵入他們的車型是及其困難的；

2. 即便發(fā)生侵入事件，攻擊者也難以獲取車輛的實(shí)際控制權(quán)。

任何針對(duì)Cruise自動(dòng)駕駛車型的攻擊都必須繞過他們構(gòu)建的多層防御機(jī)制。

值得一提的是，C&C稱，他們時(shí)常收到人們轉(zhuǎn)發(fā)的關(guān)于GPS欺騙干擾（GPS spoofing）或激光雷達(dá)欺騙干擾（LIDAR spoofing）的文章，并詢問如何確保Cruise自動(dòng)駕駛車型能夠抵御這類攻擊。其中不少文章認(rèn)為由于自動(dòng)駕駛車型使用了GPS和激光雷達(dá)等技術(shù)，所以自然成為了這類攻擊的高風(fēng)險(xiǎn)對(duì)象，可能導(dǎo)致其被截停甚至發(fā)生碰撞事故。Cruise表示，這類攻擊目前不會(huì)影響他們車輛的正常運(yùn)行，不過，從長(zhǎng)遠(yuǎn)來看，考慮到攻擊方式的不斷演進(jìn)，他們將來會(huì)把這類攻擊列入考慮范圍。