汽车跨域安全框架
摘要
本白皮书提出“汽车跨域安全”框架，通过严格分隔通信通道建立不同域，确保功能模块独立运行且相互连接，为下一代汽车应用提供安全灵活架构。框架借鉴企业IT跨域解决方案经验，采用虚拟机（VM）和虚拟网络通道实现差异化安全响应，适用于软件定义汽车（SDV）演进过程，降低未经授权访问风险。通过真实车辆计算机攻击案例，展示可信执行环境（TEE）与硬件安全模块（HSM）结合优势，并阐述如何利用该框架建立零信任（Zero Trust）模式，实现完全安全车载计算机。
核心观点
-
行业背景
- 汽车行业向SDV演进，需在创新速度与安全要求间平衡，车载计算机面临安全挑战。
- 借鉴企业IT跨域解决方案（CDS）原则，通过隔离通信通道确保汽车安全性。
-
车载计算机安全挑战
- 传统汽车软件开发独立性导致安全测试复杂，外部访问通道增加风险。
- 新架构需简化开发部署，同时保持高安全性和可靠性。
-
安全相关功能
- 传统安全组件（制动、发动机管理）仍通过独立ECU控制，但部分功能（传感器控制、ADAS）转移至车载计算机。
-
跨域方法借鉴
- 企业IT通过虚拟化隔离单元、实时威胁检测和外部化控制实现安全，适用于车载计算机。
- 单车视为复杂企业网络，需平衡灵活性与安全。
-
汽车跨域安全框架
- 四个域设计：
- 安全域：核心安全组件（HSM、TEE）和通信网关，通过防火墙和IDS进行流量分析。
- 质量管理（QM）静态域：非安全关键但必不可少功能，检测到操纵时切换至备用VM。
- QM按需域：支持非关键服务和边缘计算，可挂起以遏制攻击。
- 域间通过星型拓扑虚拟网络连接，安全域位于中心，确保数据流经网关并受多重防护。
-
安全域深入解析
- 安全域承载关键组件，管理访问策略，通过HSM和TEE实现加密与隔离。
- TEE优势在于利用CPU硬件安全功能，支持灵活策略评估和密钥管理。
- 零信任平台通过虚拟网络通道、HSM和TEE实现服务级身份验证与权限控制。
-
实际场景用例
- 以DoS攻击为例，攻击者通过VM3（远程信息处理服务）影响VM2（防盗功能）的HSM访问，导致服务瘫痪。
- 框架响应机制：
- 服务级响应：TEE强制访问策略，限制请求速率或禁止访问。
- 虚拟机管理程序级响应：CDS重启VM3，禁用服务或阻塞外部端口。
- 安全VM不受影响，实现多层级防御和功能隔离。
研究结论
- 汽车跨域安全框架通过借鉴企业IT经验，结合VM、HSM和TEE技术，实现灵活且安全的架构。
- 该框架支持零信任模式，为SDV提供高防护能力，保障道路使用者安全。
关键数据
- 安全域需满足10-20微秒低延迟要求，HSM提供硬件级加密支持。
- 域间通信通过防火墙、IDS和协议隔离器实现多层防护。
技术方案
- ESCRYPT车载计算机安全套件提供即插即用软件包和即用型安全传感器，包括：
- 应用处理器ESCURET CycurSoC
- 基于主机的/网络IDPS模块
- ESCURET CycurHSM硬件安全模块
- ESCURET Trusted OS可信操作系统
