摘要

現代車輛包含數百個電子控制單元（ECU）和傳感器，以增強眾多與安全和舒適性相關的功能。電子控制單元（ECU）通過控制器局域網（CAN）總線執行實時信息交換，例如汽車指令傳輸。然而，CAN 總線架構僅支持非常有限的安全功能，因此，通過 CAN 進行的車載通信易受嚴重安全威脅。此外，由于 ECU 本質上資源受限，若認證方案不具備成本效益，ECU 間通信過程中的持續消息傳輸會導致能量耗盡。本文提出一種輕量級方案 AutoSec，該方案利用低成本的按位異或（XOR）和連接（concatenation）運算，為聯網車輛提供安全高效的車載通信。定性分析表明，AutoSec 能夠保障消息完整性、用戶認證和消息機密性等安全屬性。我們在樹莓派 3B+（Raspberry Pi 3B+）上實現了 AutoSec，并通過大量實驗驗證了其安全穩健性和輕量性。結果顯示，AutoSec 將計算時間減少了約 99%，能量消耗降低了約 99%。

1、引言

控制器局域網（CAN）總線技術通過廣泛部署，已在車載網絡（IVN）中變得相當普及。CAN 為現代車輛中不同電子控制單元（ECU）之間的廣播通信提供支持。近年來的技術發展使現代車輛能夠訪問云服務，并通過移動蜂窩網絡與其他車輛進行通信。這些接口不僅提供實用服務，還可能引入新的攻擊面，導致車輛 ECU 的安全漏洞增加。攻擊者可通過被攻陷的 ECU 控制車輛，造成嚴重后果，例如更改車輛速度或使車輛完全停止。

研究工作表明，CAN 缺乏安全機制，導致車載網絡（IVN）暴露于攻擊者之下。例如，研究人員在吉普切諾基（Jeep Cherokee）上進行的實驗表明，遠程攻擊者可輕易從被攻陷的 ECU 發送偽造消息，從而控制車輛的不同功能。另一項研究揭示了不同寶馬（BMW）車型存在的安全威脅，包括通過 CAN 遠程控制聯網 ECU 的能力。由于缺乏加密技術且訪問控制不足，CAN 極易受到攻擊者攻擊。此外，CAN 總線的廣播特性使其更易遭受攻擊，且訪問控制難度加大。ECU 與外部網絡之間的通信應采用穩健的加密技術設計，以保護車載網絡（IVN）免受內部和外部攻擊者的威脅。在車載通信中，ECU 通過 CAN 總線廣播消息，以管理自動駕駛汽車的運行操作。此外，自動駕駛車輛通過專用短程通信（DSRC）、4G/5G 或 Wi-Fi 技術與其他車輛、行人、無線傳感器和其他智能設備等不同組件連接，確保車輛在道路上平穩行駛。因此，在向 ECU 傳遞關鍵消息以使其采取進一步行動時，保障關鍵安全屬性至關重要；否則，可能會對車載運行操作造成嚴重損害。因此，本研究旨在解決車載消息傳輸中的重要安全挑戰，即（i）發送方驗證、（ii）消息機密性和（iii）數據正確性。我們明確了與 CAN 相關的主要安全問題如下：?由于 CAN 中發送方身份未知且無法驗證發送方真實性，攻擊者可偽裝成任何具有相似消息標識符的 ECU。因此，所有連接到 CAN 總線的 ECU 都可能在系統中發起偽裝攻擊，從而影響車輛功能。ECU 通過 CAN 總線連接，為車輛提供各種汽車服務。CAN 通過網關 ECU（GECU）與無線接口關聯，這使得攻擊者無需接觸車輛即可發起攻擊。此外，CAN 無法保證對被攻陷的 ECU 或其他 ECU 進行持續監控。因此，攻擊者可發送虛假消息，誤導 CAN 總線。

?CAN 中的消息廣播未采用任何加密措施。所有連接到 CAN 總線的 ECU 都能監聽任何消息，這可能導致數據機密性問題，或使攻擊者能夠向系統注入虛假數據 [13]。考慮到 CAN 的安全缺陷，攻擊者可能試圖盜竊車輛、停用汽車系統、發送錯誤消息以及掩蓋故障功能。因此，在自動駕駛車輛的消息交換過程中，保障重要安全屬性至關重要。

研究貢獻

我們提出一種用于自動駕駛車輛 CAN 數據傳輸的安全輕量級方案。本文的貢獻主要體現在以下三個方面：

1. 提出一種安全輕量級方案 AutoSec，用于 CAN 上的安全數據傳輸，保障消息完整性、用戶認證和消息機密性等安全屬性。由于 ECU 處理能力有限，我們采用 SHA-512、按位異或（XOR）和連接（concatenation）運算，以實現高效的計算和驗證。

2. 對 AutoSec 進行分析，確認其在抵御消息完整性攻擊、用戶認證攻擊、消息機密性攻擊和會話密鑰攻擊方面的安全穩健性。

3. 從計算時間、能量消耗和通信開銷等開銷指標方面評估 AutoSec 的性能。實驗結果表明，與其他相關現有方案相比，AutoSec 顯著提升了計算效率并降低了能量消耗。

文章結構

本文其余部分組織如下：第 2 節討論相關工作；第 3 節介紹系統概述、攻擊者模型和所提協議 AutoSec 的安全需求；第 4 節詳細闡述所提方案 AutoSec；第 5 節對 AutoSec 進行全面的安全分析；第 6 節呈現 AutoSec 的性能評估結果；最后，第 7 節對研究進行總結。

2、相關工作

已有許多旨在保障車載網絡（IVN）消息通信安全的方案被提出。以下介紹一些與本文研究背景相關度較高的工作。提出一種名為 TACAN（CAN 中的發送方認證）的方案，該方案利用隱蔽信道的概念，為 CAN 總線上的 ECU 提供安全認證。該方案不使用額外的比特或 CAN 消息，也無需修改 CAN 協議。TACAN 利用隱蔽信道的概念開發防御技術，通過集中式可信監控節點實現發送方認證。TACAN 由三個用于 ECU 認證的隱蔽信道組成。作者在華盛頓大學的 EcoCAR（2016 款雪佛蘭科邁羅）測試平臺上實現了 TACAN，并從比特錯誤、吞吐量和檢測性能等方面進行了全面評估。結果表明，TACAN 在檢測 CAN 總線攻擊和驗證 ECU 的一般功能方面具有較高的有效性。但該方案基于共享加密密鑰和消息到達時間間隔，導致計算開銷較大，且安全級別較低，無法滿足當今的安全需求。由于帶寬降低、有效載荷小以及計算資源受限等因素，CAN 中的幀認證通常具有局限性。為解決這一問題，提出一種通過觀察 CAN 信號差異來確定實際發送方身份的方法。

該方案能夠大幅減少所需資源，且識別率高達 99.98%。作者將其方案與最輕量級方案進行比較，結果表明該方案具有更小的內存占用和更低的計算需求，并且能夠適應運行過程中的增量信號變化。該工作在一個原型車和兩輛量產車上進行了評估，在一周的時間內，在不同電子設備運行的變化條件下開展了相關測試。然而，該方案需要高性能的模數轉換器和較強的計算能力，這會顯著增加實現成本，對汽車行業產生重要影響。帕拉尼瓦米等分析了當前 CAN 總線的幀級認證協議，指出了其中的不足和局限性。作者提出一套協議套件，包括實體認證、密鑰管理、遠程傳輸請求幀的安全消息流以及車輛與外部設備通信所需的會話密鑰更新等功能。通過隨機預言機模型驗證所提協議的安全性，并評估其抵御已知攻擊的能力。仿真結果表明，與其他現有方案相比，該協議具有更高的效率。利用真實車輛和惡意智能手機應用程序，證明了在聯網汽車環境中遠程無線攻擊的可行性。他們根據當前的 CAN 規范設計了一種 CAN 安全協議，并通過 CANoe 軟件和 DSP-F28335 微控制器對該協議進行了評估。評估結果表明，所提安全協議在認證延遲和通信負載方面具有良好的性能。但該技術的主要缺點是，由于應用程序運行在移動設備上，攻擊者可能通過蜂窩網絡發起攻擊。

在系統設計階段提出一種新穎高效的方案，以提供最佳的安全性和安全性。該設計優化確保每個實時應用程序都能在截止日期前執行，并減少 CAN 總線上的傳輸消息數量。優化操作后，作者對特定消息應用哈希消息認證碼，以確保 ECU 之間的安全通信并抵御網絡攻擊。安全分析和實驗結果證明，所提方案能夠及時有效地抵御 CAN 總線攻擊。盡管該技術通過選擇性消息認證減少了汽車 CAN 的通信開銷，但額外數據包的傳輸會引入延遲。格羅扎等利用有序的 CMAC 緩沖區對 CAN 幀的標識符進行認證，并驗證發送方節點的合法性。此外，作者考慮了實際場景，結果表明，盡管存在排序帶來的約束，但所達到的安全級別非常接近 ID 字段的長度。采用的方法能夠抵御重放攻擊和總線上的模糊測試。作者在汽車級微控制器和高端車輛的 CAN 總線流量分配上進行了實際實現。用于保障 CAN 總線安全的計算需求也相對較低。

3、系統概述

本節將介紹本研究的系統模型和相關背景知識。具體而言，3.1 節討論系統架構；3.2 節介紹攻擊者模型，包括攻擊者的目標和能力；最后，3.3 節列出安全需求。

3.1 系統架構

系統模型的設計目的是明確車載通信的總體框架以及不同實體的功能。圖 1 展示了車載網絡的基本概述，其中網關 ECU（GECU）和各種類型的 ECU 通過單一 CAN 總線連接。各組件的作用描述如下：

圖 1、基于 CAN 總線的汽車車載通信系統模型

· 網關 ECU（GECU）：作為主要 ECU，它充當外部世界與車載網絡之間的中介。GECU 與遠程信息處理系統和車載診斷系統 - II（OBD-II）連接，以執行車輛的各種功能。它作為中央授權機構，負責在 ECU 之間建立 / 更新會話密鑰，并記錄車輛中所有已安裝 ECU 的 ID。

· 電子控制單元（ECU）：每個 ECU 從傳感器（連接到發動機、制動系統、變速箱、冷卻系統、車軸、轉向系統等汽車部件）收集數據，并通過 CAN 總線與其他 ECU 和 GECU 廣播相關消息。由于 ECU 配置的處理能力較低，執行滿足高安全級別的高級加密運算需要花費更多時間。

· 攻擊者：系統主要包括內部攻擊者和外部攻擊者兩種類型，他們可能在車載通信過程中發起被動攻擊和主動攻擊。其中，惡意 ECU 指的是系統的合法組件，但在車載通信過程中試圖偽造消息。3.2 節將詳細討論攻擊者的目標。

3.2 攻擊者模型

CAN 消息通過 CAN 總線廣播到所有 ECU的研究表明，攻擊者可通過本地或遠程訪問連接到汽車聯網系統。因此，我們考慮攻擊者的以下意圖，其目的是在車載通信中執行惡意活動：

?攻擊者希望攔截或中斷車載通信，以實現各種目標，例如停止傳輸關鍵信息、追蹤車輛用戶、修改消息、延遲實時數據、傳播錯誤 / 虛假消息、丟失重要消息、未經授權訪問系統消息以及竊取通信消息內容。攻擊者的最終目的是對車載通信發起遠程攻擊，以破壞其功能。

?攻擊者試圖通過在 CAN 總線上發送多條虛假消息來降低 CAN 總線的性能效率，導致所有 ECU 忙于驗證收到的多條消息的正確性。基于研究，我們對攻擊者的安全能力做出以下假設：

?所有 ECU 都直接與網關 ECU（GECU）連接，而 GECU 與無線接口相關聯以實現不同功能，這使得攻擊者能夠向 CAN 總線注入錯誤消息。

?攻擊者可在短時間內定期通過 CAN 發送多條消息，造成混淆，即接收方 ECU 難以確定應遵循哪條指令繼續執行操作，從而導致 CAN 總線上的消息被覆蓋。

?攻擊者可故意在 CAN 總線上發送多條消息，以增加接收方的驗證開銷，最終導致 ECU 與總線斷開連接。

?若任何惡意 ECU 連接到 CAN 總線，它都能在 CAN 總線上廣播幀，因此攻擊者可對車載網絡發起惡意攻擊。

?我們假設攻擊者了解目標汽車系統的設計和規格。

3.3 安全需求

本研究的目標是通過實現認證、完整性和機密性，保障車載通信的重要安全屬性。這一目標通過以下方式實現：采用秘密組密鑰通信和不可修改的標識符來驗證發送方身份，同時使用單向哈希函數計算消息，以保障消息的完整性和機密性。考慮到這些安全屬性，所提方案能夠防止消息的未授權訪問、消息篡改和數據偽造。以下討論 CAN 中不同安全屬性的重要性：

· 認證：當消息發送到 CAN 時，接收方通過數據幀中的發送方 ID 提取發送方信息，但 CAN 中沒有用于確認發送方身份的驗證機制。若任何被攻陷 / 惡意的 ECU 使用其他 ECU 的發送方 ID 進行偽造，則很難確定偽造消息的原始發送方。因此，認證在 CAN 中起著關鍵作用，通過驗證消息的發送方，防止非法消息的傳輸。

· 完整性：CAN 中的消息以明文形式發送，僅靠循環冗余校驗（CRC）校驗和不足以檢查 CAN 消息的正確性，因為攻擊者可相應地替換 CRC 信息。結果，ECU 可能會遵循被修改的消息來控制車輛功能，從而引發事故。因此，在執行后續操作之前，最好先確認 CAN 消息的準確性。

機密性：根據 CAN 標準，消息在 CAN 上廣播。因此，至少所有連接到 CAN 總線的 ECU 都會收到這些傳輸的消息，這可能導致重要信息泄露。因此，系統在通過 CAN 總線發送消息時應保障消息的機密性。

4、所提方案：AutoSec

自動駕駛車輛的運行完全依賴于汽車操作的及時性和準確性。因此，在車輛行駛過程中，在網關 ECU（GECU）和各 ECU 之間安全高效地傳輸關鍵信息（即汽車指令），對于快速做出更好的決策至關重要。現有的車載通信協議無法抵御關鍵安全問題，例如會話密鑰更新泄露、認證攻擊、私鑰存儲問題和加密密鑰泄露等。此外，這些協議的設計成本相對較高，例如采用橢圓曲線密碼學（ECC）且包含較多運算操作，導致執行時間較長。

現代車輛具備更多功能，例如遠程信息處理、高級駕駛輔助系統和信息娛樂系統。因此，每輛車所需的 ECU 數量不斷增加，這些 ECU 需要在車載網絡（IVN）中執行更多的計算操作。因此，設計一種在執行各種操作時計算時間短且滿足重要安全需求的協議至關重要。我們提出一種安全數據傳輸方案（命名為 AutoSec），該方案采用 SHA-512、按位異或（⊕）和連接（||）運算，實現安全且經濟高效的數據交換，保護關鍵信息免受各種安全威脅。AutoSec 結合輕量級運算（|| 和⊕）和 SHA-512，通過適當的協議設計，在滿足 256 位安全級別的同時，快速完成各種計算。由于 AutoSec 旨在通過低成本的加密運算保護車載消息通信，因此不需要任何硬件修改和網絡改進。因此，所提方案可輕松應用于現有的 CAN 架構。AutoSec 主要包括兩個階段：（i）基本設置和（ii）消息通信協議。4.1 節討論基本設置過程，以在 ECU 中生成和加載長期密鑰。4.2 節詳細討論與 AutoSec 相關的安全通信協議。表 1 描述了 AutoSec 設計中使用的各種符號。

表 1、符號列表及其描述

4.1 AutoSec：基本設置

網關 ECU（GECU）作為中央 ECU，向道路運輸管理局（RTA）注冊，以在車載網絡中執行各種操作。所有已安裝 ECU 的 ID 列表和相應的長期密鑰都安全地存儲在 GECU 的受保護內存中。所有 ECU 最初都在防篡改的可信平臺模塊中加載長期密鑰（K_i、GK 和 K_rs）。為了驗證固件的完整性，ECU_i 計算固件摘要 H (K_i || ID_ECU_i || Image_Firmware) 并將其發送給 GECU，其中 Image_Firmware 包含該 ECU 軟件的不同詳細信息。GECU 收到后，將收到的固件摘要與計算值進行確認，以進行驗證。

4.2 AutoSec：消息通信協議

ECU 與車輛中的不同汽車部件相連，通過 CAN 總線在 ECU 之間交換實時信息，以實現汽車操作。AutoSec 結合時間戳、每個 ECU 的不同密鑰、隨機數和單向哈希函數進行設計，增強了對會話密鑰泄露的防御能力，防止加密密鑰泄露，并加強了新鮮度驗證，保護車載網絡（IVN）中的消息通信過程免受各種安全攻擊。該階段包括三個協議：（i）初始會話密鑰計算與驗證協議（ISCVP）、（ii）遠程幀傳輸請求協議（RFTRP）和（iii）會話密鑰更新協議（SKUP）。以下詳細描述這些協議：

4.2.1 所提初始會話密鑰計算與驗證協議（ISCVP）

每個 ECU 與 GECU 執行以下步驟，以進行初始會話密鑰計算和驗證。由于車輛包含多個 ECU，此過程按固定順序與 GECU 執行。該過程如圖 2 所示。

圖 2、AutoSec：初始會話密鑰計算與驗證協議（ISCVP）設計描述

4.2.2 所提遠程幀傳輸請求協議（RFTRP）

當某個 ECU（例如 ECU_r）需要從另一個 ECU（例如 ECU_s）獲取某些信息時，接收方 ECU（ECU_r）向發送方 ECU（ECU_s）發送請求，以建立它們之間的數據交換連接。圖 3 展示了遠程幀傳輸請求協議（RFTRP）過程，以確認雙方（ECU_s 和 ECU_r）的合法性以及各自在數據傳輸連接建立前發送的消息的合法性。

圖 3、AutoSec：遠程幀傳輸請求協議（RFTRP）設計描述

4.2.3 所提會話密鑰更新協議（SKUP）

ECU_i 和 GECU 之間的會話密鑰會定期更新，以使用新計算的會話密鑰提高系統安全性。然而，若采用會話密鑰更新協議（SKUP），則所有連接的 ECU 都能輕易獲取 ECU_i 的新會話密鑰。因此，我們設計了一種增強的會話密鑰更新協議（SKUP），以解決當前會話密鑰更新過程中存在的這一問題。所提會話密鑰更新協議（SKUP）如圖 4 所示。

圖 4、AutoSec：會話密鑰更新協議（SKUP）設計描述

5、安全分析

我們對所提協議進行安全分析，以驗證其抵御關鍵安全攻擊的穩健性。基于隨機預言機模型（ROM），我們討論與 AutoSec 相關的定義、定理及其相應證明。在該模型中，構建攻擊者（A）和挑戰者（C）之間的游戲，以確認在多項式時間內，攻擊者（A）是否能以不可忽略的概率贏得挑戰者（C）給定的挑戰。AutoSec 基于 SHA-512 構建，考慮到 n 位輸出哈希運算的廣義生日攻擊成本為 O (2^(n/2))，該方案在多項式時間內實現 256 位安全級別。考慮到在不久的將來計算能力要達到如此高的水平，SHA-512 具有抗碰撞性。

定義

若攻擊者（A）在多項式時間內僅具有微不足道的優勢，則所提協議在構建的游戲中是安全的。

遠程幀傳輸請求協議（RFTRP）- 預言機

我們假設攻擊者（A）充當 ECU_s，想要為 {ID_ECU_r, P_rs, Q_rs, T_i1} 發送虛假 / 修改的響應消息。因此，攻擊者（A）向 ECU_r 發送 {CT_rs^A, R_rs^A, T_i2^A}。在所提遠程幀傳輸請求協議（RFTRP）中，ECU_r（充當挑戰者 C）通過 T_i3 - T_i2 ≤ ?T 確認收到消息的新鮮度，并將收到的 R_rs 與計算的 R_rs 進行驗證。

會話密鑰更新協議（SKUP）- 預言機

我們假設攻擊者（A）充當 GECU，想要更新 ECU_i 和 GECU 之間的會話密鑰。因此，ECU_i 充當挑戰者（C），以確認會話密鑰更新過程中與原始 GECU 的連接。攻擊者（A）向 ECU_i 發送 {ID_ECU_i^A, X_i^A, Y_i^A, T_i1^A}。在所提會話密鑰更新協議（SKUP）設計中，ECU_i 端分別通過?T 和 Y_i 驗證有效性和合法性，以確認真實性。若滿足條件，ECU_i 向請求的 ECU 發送 {Z_i, T_i2}。在接收端，通過驗證確認交換參數的正確性。

定理 1

基于隨機預言機模型（ROM），所提協議能夠抵御基于消息完整性的攻擊。

證明：我們假設攻擊者（A）想要在遠程幀傳輸請求協議（RFTRP）階段，在不了解 ECU_s 的情況下，向 ECU_r（充當挑戰者 C）發送針對 {ID_ECU_r, P_rs, Q_rs, T_i1} 的修改 / 虛假消息響應。因此，攻擊者（A）需要計算 R_rs [=h (EK_rs || AK_rs || Q_rs || T_i2)] 和 CT_rs [=M ⊕ h (R_rs || p_i || ID_ECU_s)]。我們認為，攻擊者可從公共通信信道獲取 P_rs 和 Q_rs，但無法計算 K_rs（僅 ECU_s 和 ECU_r 知曉）和 p_i（缺少所有必要值）。因此，攻擊者（A）無法正確計算 R_rs 和 CT_rs。此外，若攻擊者（A）向 ECU_r 發送 {CT_rs^A, R_rs^A, T_i2^A}，則挑戰者 C 通過 T_i3 - T_i2^A ≤ ?T 以及 R_rs 與 R_rs^A 的比較進行驗證。若攻擊者（A）對計算參數進行任何修改，則在 R_rs 是否等于 R_rs^A 的驗證中，無法證明消息的合法性。因此，在所提遠程幀傳輸請求協議（RFTRP）中，攻擊者（A）沒有機會在消息傳輸過程中進行任何修改。

定理 2

所提方案能夠保障用戶認證屬性。

證明：攻擊者（A）可能試圖在遠程幀傳輸請求協議（RFTRP）中通過偽裝 ECU_r 或 ECU_s 來破壞認證屬性。要偽裝 ECU_r，攻擊者（A）需要向 ECU_s 發送有效的計算參數，以便接收實體在驗證后繼續執行后續操作。若攻擊者（A）向 ECU_s 發送偽造參數，則由于 Q_rs' 是否等于 Q_rs 的驗證失敗，請求將被丟棄。在所提遠程幀傳輸請求協議（RFTRP）中，攻擊者（A）需要計算 P_rs^A、Q_rs^A，以向 ECU_s 發送 {ID_ECU_r, P_rs^A, Q_rs^A, T_i1^A}，但攻擊者（A）不知道 / 沒有 K_rs（僅 ECU_r 和 ECU_s 知曉）。因此，在所提遠程幀傳輸請求協議（RFTRP）中，攻擊者（A）無法進一步偽裝 ECU_r。要對 ECU_s 發起偽裝攻擊，攻擊者（A）需要知曉 ID_ECU_s 和 K_rs，因為這些值用于計算 P_rs 和 Q_rs。此外，攻擊者（A）需要 p_i（由 ECU_r 選擇）來生成 EK_rs 和 AK_rs。然而，在所提遠程幀傳輸請求協議（RFTRP）中，攻擊者（A）無法計算所有必要值以執行惡意活動。若攻擊者（A）向 ECU_r 發送偽造參數（CT_rs^A、R_rs^A 和 T_i2^A），則通過?T 和 R_rs 是否等于 R_rs^A 可直接識別。因此，在所提遠程幀傳輸請求協議（RFTRP）中，攻擊者（A）無法偽裝 ECU_s。

定理 3

所提遠程幀傳輸請求協議（RFTRP）在傳輸汽車指令時能夠保障消息機密性。

證明：攻擊者（A）希望在遠程幀傳輸請求協議（RFTRP）中獲取消息（M）。M 用于計算 CT_rs，因此，攻擊者（A）需要 R_rs、p_i、CT_rs 和 ID_ECU_s。攻擊者（A）可從 {CT_rs, R_rs, T_i2} 中獲取 R_rs 和 CT_rs，但不知道 p_i 和 ID_ECU_s。且若沒有 K_rs 和 ID_ECU_s，很難計算 p_i。因此，在所提遠程幀傳輸請求協議（RFTRP）中，由于缺少所有必要值，攻擊者（A）無法獲取 M。□

定理 4

基于隨機預言機模型（ROM），所提方案能夠抵御會話密鑰攻擊。

證明：我們假設攻擊者（A）想要通過充當 GECU，非法更新 ECU_i 和 GECU 之間的會話密鑰。因此，在這種情況下，ECU_i 充當挑戰者（C），以確認收到參數的真實性。攻擊者（A）需要計算 X_i [=h (ID_ECU_i || T_i1 || K_i || GK) ⊕ x_i] 和 Y_i [=h (GK || ID_ECU_i || x_i || ID_GECU)]，以進行會話密鑰更新。我們假設攻擊者（A）作為內部攻擊者獲取了 GK，但不知道 K_i（僅 ECU_i 和 GECU 知曉）。此外，攻擊者（A）需要 x_i 和 K_i 來計算 Z_i^A，以發送響應消息（即 {Z_i, T_i2}），用于會話密鑰更新確認。然而，GECU 將（GECU 端計算的）Z_i 與（攻擊者 A 發送的）Z_i^A 進行確認。若交互參數發生任何變化，則 Z_i 是否等于 Z_i^A 的驗證過程將失敗。因此，攻擊者（A）無法更新 GECU 和 ECU_i 之間的會話密鑰。表 2 總結了和 AutoSec 的對比分析，展示了不同屬性下的安全優勢。方案基于組密鑰認證的概念，使得攻擊者能夠通過被攻陷的 ECU 發起認證攻擊。此外，由于第 i 次會話的加密密鑰對所有 ECU 都相同，會話密鑰可能會全部或部分泄露。而且，需要可信平臺模塊（TPM）來存儲關鍵值，而 AutoSec 不需要 TPM。由于 AutoSec 基于 SHA-512 構建，且每個會話中每個 ECU 的會話密鑰計算值都不同，因此 AutoSec 在各種安全屬性方面具有穩健性。

表 2、CAN 數據傳輸方案的安全屬性對比

6、性能評估

消息通過 CAN 廣播，而 ECU 是資源受限的組件，用于處理 / 傳輸車載通信信息。因此，為了實現經濟高效的汽車數據交換，需要考慮計算時間、通信開銷和能量消耗。在保障安全的同時，有必要減少不同加密運算和參數的數量，以獲得高效結果。因此，我們將所提方案與近年來在車載網絡（IVN）中使用 CAN 的相關方案進行比較。

6.1 測試平臺配置

自動駕駛車輛中的 ECU 硬件配置 64 位 ARM 內核處理器以執行計算，而樹莓派 3B+（Raspberry Pi 3B+）也基于 ARM 處理器設計。因此，我們采用包含兩個樹莓派 3B + 設備的測試平臺環境，以測量 AutoSec 的計算效率。樹莓派 3B + 的配置如下：1.4 GHz 四核 64 位 ARM Cortex-A53 處理器，搭載 BCM2837B0 芯片，1 GB 靜態隨機存取存儲器（SRAM），2.5 安培電源和 5 伏電壓供應。

6.2 結果分析

我們從計算時間、通信開銷和能量消耗方面，呈現 AutoSec 和相關通信方案的性能結果，以分析它們在 CAN 通信中的效率。詳細解釋如下：

6.2.1 計算時間

計算時間基于數據傳輸階段執行所需的加密運算的數量和類型計算。計算時間通常以毫秒（ms）為單位。為了計算不同運算的執行時間，我們在樹莓派 3B + 平臺上，使用 Python 3.7 中的 Python 庫（即 pycrypto 和 py-ecc）執行相應的加密運算（即 128 位 AES 加密 / 解密（AES）、帶有 256 位大質數的橢圓曲線小規模乘法（ECSM）、SHA-512 [h (?)] 和 KDF_GK）。其中，KDF_GK 是基于 SHA-512 的密鑰派生函數，生成兩個 512 位的密鑰值，在密鑰生成過程中實現更高的安全性。由于 h (?) 和 KDF_GK 的計算均采用 SHA-512，因此兩個函數的執行時間相同。經過 100 次運行后，AES 的平均執行時間（T_AES）為 1.1410 毫秒，橢圓曲線小規模乘法（ECSM）的平均執行時間（T_ECSM）為 3.0520 毫秒，h (?)/KDF_GK 的平均執行時間（T_h (?)/KDF_GK）為 0.0014 毫秒。由于異或（⊕）和連接（||）的執行時間極短，所有方案均未將其納入考慮范圍。方案在初始會話密鑰計算與驗證協議（ISCVP）中需要執行 6T_h (?) + 2T_KDF，在遠程幀傳輸請求協議（RFTRP）中需要執行 2T_AES + 2T_h (?)，在會話密鑰更新協議（SKUP）中需要執行 2T_AES + 3T_h (?) + 2T_KDF。協議設計在初始會話密鑰計算與驗證協議（ISCVP）中需要執行 4T_h (?)，在遠程幀傳輸請求協議（RFTRP）中需要執行 4T_h (?) + 2T_AES，在會話密鑰更新協議（SKUP）中需要執行 8T_h (?) + 4T_ECSM。

而 AutoSec 在初始會話密鑰計算與驗證協議（ISCVP）、遠程幀傳輸請求協議（RFTRP）和會話密鑰更新協議（SKUP）階段分別僅需要執行 9T_h (?) + 2T_KDF、9T_h (?) + 2T_KDF 和 6T_h (?) + 2T_KDF。基于每個運算的平均執行時間，我們計算了 Woo 等 [8]、帕拉尼瓦米等的方案以及 AutoSec 的計算時間，結果如圖 5 所示。由于 AutoSec 采用低成本且運算數量較少的設計，其計算時間相比方案更短。

圖 5：相關 CAN 通信方案的計算時間對比

6.2.2 能量消耗

車載網絡（IVN）中的數據交換需要執行不同的運算，而會話密鑰更新在消息 / 密鑰生成和驗證過程中會消耗能量。因此，為了實現可持續發展的環境，有必要評估能量需求。能量消耗的計算公式為 EC_CO = T_CT?P_CPU，其中 EC_CO 表示能量消耗，T_CT 表示計算時間，P_CPU = V?I 表示 CPU 最大功率，V 表示電壓功率，I 表示電流。能量消耗以毫焦耳（mJ）為單位測量。由于采用樹莓派 3B + 作為實現平臺，CPU 最大功率為 12.5 瓦。通常，消息的通信階段（即 4.2 節中的初始會話密鑰計算與驗證協議（ISCVP）、遠程幀傳輸請求協議（RFTRP）和會話密鑰更新協議（SKUP））會針對不同操作常規執行，而基本設置階段僅在初始時執行一次。因此，消息通信的能量消耗在節能數據交換方案的設計中起著重要作用，我們計算了這些通信協議設計的能耗。圖 6 比較了方案以及 AutoSec 的能耗需求。由于 AutoSec 的計算時間相比方案更短，因此其能耗更低。

圖 6：相關 CAN 通信協議的能耗對比

6.2.3 通信開銷

發送方和接收方都需要交換不同的開銷參數，以執行初始會話密鑰計算與驗證、遠程幀傳輸請求和會話密鑰更新（見 4.2 節）。傳輸這些參數的成本稱為通信開銷（以字節為單位），根據每個協議期間參數的類型和所需數量計算。單向哈希（即 SHA-512 h (?)）、AES 加密（AES）、橢圓曲線乘法（ECMP）、隨機數 / 身份標識（RN/ID）和時間戳（TS）分別需要 64 字節、32 字節、64 字節、12 字節和 8 字節。在 AutoSec 中，初始會話密鑰計算與驗證協議（ISCVP）、遠程幀傳輸請求協議（RFTRP）和會話密鑰更新協議（SKUP）的通信開銷分別為 280 字節 [4h (?) + 3TS]、284 字節 [4h (?) + 1ID + 2TS] 和 220 字節 [3h (?) + 1ID + 2TS]。方案在初始會話密鑰計算與驗證協議（ISCVP）中的通信開銷為 236 字節 [3h (?) + 1RN + 1AES]，在遠程幀傳輸請求協議（RFTRP）中的通信開銷為 96 字節 [1h (?) + 1AES]，在會話密鑰更新協議（SKUP）中的通信開銷為 160 字節 [2h (?) + 1AES]；而方案在初始會話密鑰計算與驗證協議（ISCVP）、遠程幀傳輸請求協議（RFTRP）和會話密鑰更新協議（SKUP）中的通信開銷分別為 152 字節（2h (?) + 2RN）、160 字節 [2h (?) + 1AES] 和 256 字節 [2h (?) + 2ECMP]。圖 7 展示了相關工作的通信開銷對比研究。[8] 的初始會話密鑰計算與驗證協議（ISCVP）中，種子值和隨機數通過 CAN 總線廣播，這些值用作密鑰計算和驗證的輸入，使得被攻陷的 ECU（基于廣播值）能夠在后續執行惡意活動。

盡管方案最小化了通信開銷，但在遠程幀傳輸請求協議（RFTRP）的消息交換過程中未提供雙向認證，且其協議設計僅能滿足 128 位安全級別。未使用時間戳，攻擊者可從會話密鑰更新協議（SKUP）中傳輸的參數中推導出種子值，從而容易發起認證攻擊。方案將關鍵值以明文形式發送，且未使用時間戳，這降低了通信成本，但增加了數據交換過程中的安全漏洞，且該方案僅能實現 128 位安全級別。AutoSec 主要基于 SHA-512 構建，以滿足 256 位安全級別，并且在開銷參數交換過程中交換不同類型的值（即 SHA-512 和時間戳），能夠抵御 CAN 總線上的數據修改、信息泄露和消息新鮮度攻擊。因此，AutoSec 的通信開銷相比方案更高。然而，在其他關鍵性能指標方面（計算時間極短且能耗低），AutoSec 相比方案表現更優（參見圖 5 和圖 6）。安全性和計算效率都是車載網絡的重要因素，AutoSec 在這兩方面取得了平衡，總體表現更優。

圖 7、相關 CAN 通信機制的通信開銷對比

7、結論

本文提出一種用于 CAN 車載網絡的安全消息通信方案 AutoSec。AutoSec 利用 SHA-512、按位異或（XOR）和連接（concatenation）運算，提供安全的 CAN 消息傳輸。這些運算滿足車輛中資源受限 ECU 的高效計算和驗證需求。對 AutoSec 的有效性分析表明，該方案能夠保障用戶認證、消息完整性、消息機密性，并能抵御會話密鑰攻擊。所提方案采用低成本的加密運算執行車載消息通信，無需進行硬件修改或網絡改進。通過與同類方案的對比分析，AutoSec 的性能評估結果表明，其在能量效率和低通信時間方面表現更優。

（添加微信號NewCarRen咨詢）