apn接入点不限速设置,apn接入点承载系统选哪个好

　　

　　在今天的主机厂新车发布会上，车联网的相关功能依然作为特色卖点占据半壁江山，比如远程空调、远程座椅加热、远程升级等等。通过车联网，搭载传感器、控制器、执行器等各种智能硬件。汽车开始具备了交互和服务的能力，从单纯的交通工具进化为连接万物的超级智能终端。 　　

　　

　　 　　

　　

　　车联网让汽车焕发青春，但同时也让原本相对封闭的汽车一下子暴露在开放的网络环境中，随时可能受到网络信息安全的威胁。然而，车联网系统中包含的车主个人信息、常用联系人、常用地址等敏感信息，一旦被非法窃取，可能导致隐私泄露和财产损失，或者人身安全伤害。 　　

　　

　　菲亚特克莱斯勒汽车公司(FCA)在2015年发生了因汽车信息安全问题而召回车辆的典型事件。在一次信息安全测试中，多名信息安全专家利用FCA生产的汽车上拆卸下来的娱乐主机的联网通道和外部物理接口，入侵FCA的云端，伪造并发送车辆的遥控指令。由此，车辆的空调、仪表、雨刮等模块被成功打开。而且这种攻击不仅可以在车辆未启动时发生，也可以在车辆运行时发生，存在很大的安全隐患。随后，FCA宣布在美国召回140万辆存在这一信息安全风险的轿车和卡车。 　　

　　

　　开放网络环境下汽车面临的信息安全风险主要来自车载终端、云服务平台、通信链路和外部生态。主机厂在经历了车联网业务的野蛮生长后，开始越来越重视车联网的信息安全，通过各种手段提高车辆的信息安全防护能力。包括加强车联网数据全生命周期的分类管理和访问控制；完善车辆研发过程中的身份认证系统；d、生产和使用；构建多方联动、信息共享、实时精准的安全服务平台等。 　　

　　

　　作为行业的监管者，国家相关机构也在逐步建立和完善网联汽车的安全管理体系(国标和行业标准)，加强汽车行业对信息安全的风险防控和安全防御能力。 　　

　　

　　作为《车联网黑话》的第五期，分析了车联网中典型的车云架构，分析了潜在的信息安全威胁，并介绍了一些通用的信息安全方案。 　　

　　

　　 　　

　　

　　车联网车云业务整体架构 　　

　　

　　网络的常见架构是云端架构。云是指云服务平台，端是指车载终端，管是指连接云服务平台和车载终端的通信链路。一般的云端架构方案如下图所示。 　　

　　

　　 　　

　　

　　云服务平台一般有两个APN(接入点名称)，一个用于访问公共域，一个用于访问私有域。公共域一般负责文件存储、云计算等需要高存储资源和计算能力的应用。私有域主要负责车辆敏感数据交互、车辆控制、FOTA等业务，是主机厂车联网业务的生命线。同时，它需要比公共领域更高的信息安全要求。因此，设置设备接入网关，为接入的车载终端进行身份验证和路由服务。 　　

　　

　　车载终端主要是TBOX/智能网关，内置4G/5G通信模块。通过外部远程通信技术与云服务平台通信，内部通过CAN/LIN/车载以太网与车内其他ECU通信。从而提供行驶数据采集、远程查询和控制、远程诊断、远程升级等服务。 　　

　　

　　对于云服务平台和车载终端之间的通信链路，公共域和车载终端一般使用HTTPS协议，私有域和车载终端一般使用TCP/IP协议 　　

　　

　　一、服务器安全汽车领域的云服务平台类似于传统互联网领域的云平台，容易受到服务器入侵的风险，导致敏感数据的泄露和关键指令的篡改，从而损害车主的权益。比如攻击者通过入侵服务器篡改车辆遥控消息，可能导致车辆运行异常，甚至影响车辆正常行驶，危及用户生命安全。 　　

　　

　　OEM厂商一般采用“将敏感数据和重要服务放在家里”的手段来保证信息安全。通过专网、身份认证、设置独立机房专业运维等措施防止非法用户访问。 　　

　　

　　二、服务接口安全因为微服务架构具有部署精神 　　

活，弹性扩容等优点，最新搭建的云服务平台普遍采用以SpringCloud为代表的框架作为开发的基础。主机厂部分车联网业务需要获取用户、车辆、零件的相关数据，并将这些数据作为业务流转的基础。跨平台和跨系统间的数据共享和数据通信一般通过微服务的Web Service接口方式来实现。

　　

　　

为了验证发送方身份，并保证数据的完整性，数据传输接口一般使用HTTPS协议，来保证发送方身份的真实性。同时通过定期更换对称密钥，对报文加密或增加MAC验证字段等手段，来验证数据的完整性。主机厂还可以在报文中添加新鲜度字段（如时间戳）等手段，对新鲜度进行管理，以防攻击者使用相同的数据进行重放攻击。

　　

　　

　　

　　

通信链路威胁分析和策略

　　

　　

云管端架构中存在多条通信链路，包括云服务平台与基站通信链路，基站与车载终端通信链路，手机与基站通信链路等。

　　

　　

车联网公网域主要承载车端的非敏感文件或日志的上传/下载、云存储等业务，采用HTTPS协议便能满足信息安全的需求。然而对于部署敏感数据交互和车控功能等业务的私网域，通信端需要能够应对更高等级的信息安全威胁。这些威胁包括车载终端被伪造，非法连接云服务平台；云服务平台被钓鱼；指令或业务数据明文传输被截获，敏感信息泄露；指令或业务数据被截获篡改，执行错误请求，造成安全事故等。

　　

　　

在通信链路攻击中，攻击者可以通过伪基站、DNS劫持等手段劫持会话，窃取车辆的知识产权或敏感数据。如在FOTA业务中监听窃取车辆的升级包，以反向工程ECU固件。

　　

　　

攻击者还可通过车辆物理接口，篡改云端通信路径，使用伪造的服务器对车辆实施攻击。例如执行无休止的数据攻击，从而使车端的控制器耗尽其存储空间，无法进行正常的业务操作。或是拷贝TBOX软件版本至其他设备，伪装成合法车辆对云服务平台非法访问。

　　

　　

通过对上述风险的分析，结合车联网业务流程涉及车云两端的频繁交互，迫切需要为参与车联网业务的核心实体对象（云服务平台、车载终端等）赋予高强度的身份标识，保证实体对象的唯一性，同时基于各实体对象的身份标识，实现车载终端接入车联网服务平台的双向高强度身份校验。

　　

　　

公钥基础设施（Public Key Infrastructure， PKI）通过采用非对称密码算法技术，提供信息安全服务，是一种通用并遵循标准的密钥管理平台。它能够为所有网络应用透明地提供采用加密和数字签名等密码服务所必需的密钥和证书管理。在车联网应用中，PKI可为各类实体对象提供身份的可信描述，为对象签发统一的数字身份标识―数字证书，从而构建可信的网络虚拟环境。为实现信息的保密性、完整性，不可抵赖性提供基础支撑。

　　

　　

PKI子系统之间的逻辑关系如下图所示。

　　

　　

　　

　　

云端的设备接入网关、车载终端均需由PKI签发证书，对于TBOX、AVN等控制器的激活操作，即PKI中的证书签发，步骤简述如下：

　　

　　

步骤1：TBOX产生公私钥对并构造P10申请（P10中包含证书主题、有效期、公钥以及上述信息的签名），将申请发送至云端；

　　

　　

步骤2：云端证书管理服务接收到请求后，对上传的信息进行校验，并将P10和车辆其他信息封装成PKI识别的证书请求，PKI签发证书；

　　

　　

步骤3：云端将签发后的PKI证书返回至车端TBOX存储。

　　

　　

在云端和设备端均激活（证书签发）后，通信实体与云端便可基于数字证书进行通信。

　　

　　

车端威胁分析和策略

　　

　　

汽车普遍采用CAN总线连接车内的其他ECU或传感器设备。由于CAN总线通信无认证能力，缺乏加密通信功能，攻击者可利用其广播机制入侵总线上的任一节点，在取得总线的控制权后便可以向总线其他节点发送报文。因此CAN总线面临多类攻击方式的风险，包括重放攻击、洪泛攻击、修改攻击和丢弃攻击等。

　　

　　

HSM（Hardware Security Module，硬件安全模块）是车端安全方案的基础支撑，后文将要介绍的两种车端信息安全策略TrustZone/TEE执行环境和SecOC协议，也均是基于HSM实现。HSM将算法、密钥、加密方式等信息写入无法篡改的硬件模块中，并处理安全性相关任务包括安全的车载通信、运行时的操作检测以及安全的启动、刷新、日志记录和调试等。以此来阻止攻击者通过绕过与安全性相关的ECU接口，获得对车载网络的访问权限。

　　

　　

一、Trustzone/TEE执行环境

　　

TrustZone是ARM A-profile架构中的安全架构。TrustZone将CPU的工作状态分为两种，NWS（Normal World Status，正常世界状态）和SWS（Secure World Status，安全世界状态）。支持TrustZone技术的芯片提供了对外围硬件资源的硬件级别的保护和安全隔离。当CPU处于NWS时，任何应用都无法访问安全硬件设备，也无法访问属于SWS的内存、缓存以及其他外围安全硬件设备。它们之间具有系统级别的硬件强制隔离。

　　

　　

　　

　　

操作系统和应用运行在NWS，TEE运行在SWS。通常一个 TEE包括多个由轻量级内核托管的可信服务，提供诸如密钥管理之类的功能，并为开发人员提供相应的API。

　　

　　

一个完整的SoC由ARM内核、系统总线、片上RAM、片上ROM以及其他外围设备组件构成。对于ARM内核的控制器，需要支持TrustZone，同时配合相应的组件，才能实现整个系统芯片达到硬件级别的保护和隔离措施。下图是一个支持TrustZone的SoC的硬件框图。

　　

　　

　　

　　

TrustZone技术之所以能提高系统的安全性，是因为对外部资源和内存资源的硬件隔离。这些硬件隔离包括中断隔离、片上RAM和ROM的隔离、片外RAM和ROM的隔离、外围设备的硬件隔离、外部RAM和ROM的隔离等。

　　

　　

实现硬件层面的各种隔离，需要对整个系统的硬件和处理器核做出相应的扩展，包括将CPU内核进行虚拟化，将CPU的运行状态分为安全状态和非安全状态；在总线增加安全位读写信号线；增加内存管理单元（Memory Management Unit，MMU）页表的安全位；缓存增加安全位；其他外围组件提供安全操作权限控制和安全操作信号等。

　　

　　

二、SecOC协议

　　

最近几年车内总线的加密通信受到了越来越多的关注。为了响应汽车行业对数据加密和验证的需求，AUTOSAR组织补充了SecOC（Secure Onboard Communication）组件，为车载通讯总线引入了一套通信加密和验证的标准，是车载网络上一种有效的信息安全方案。

　　

　　

SecOC是在AUTOSAR软件包中添加的信息安全组件，该模块增加了加解密运算、密钥管理、新鲜值管理和分发等一系列的功能和新要求。SecOC模块能够给CAN/CANFD总线上的报文数据提供有效可行的身份验证机制，与当前的AUTOSAR的ARA通信机制集成良好，对资源消耗小。该规范基于对称算法的MAC认证。与非对称算法相比，使用更短的密钥实现了相同级别的安全性。

　　

　　

若通信的控制器之间需要实现SecOC协议，则发送和接收控制器都必须集成SecOC模块。原始报文称为Authentic I-PDU，SecOC模块基于原始数据和密钥，使用约定的算法得到MAC值。报文头、原始报文、新鲜度和MAC组装后得到Secured I-PDU，结构如下图所示。

　　

　　

　　

　　

SecOC主要基于两种手段来实现数据的真实性和完整性的校验，分别是基于MAC的身份验证和基于新鲜度的防重放攻击。首先MAC是保障信息完整性和认证的密码学方法之一，SecOC协议中MAC消息认证码的作用是验证报文数据的真实性，然而保证报文的机密性还需要进行额外的安全措施。

　　

　　

其次，为了降低重复攻击的风险，则需要在Secured I-PDU中加入新鲜度值，新鲜度值是一个根据一定逻辑不断更新的数值， AUTOSAR推荐计数器或基于时间戳生成新鲜度值。OEM在实施 SecOC 方案时需要定义和做好两个关键部分：新鲜度值管理和密钥管理。下图为基于SecOC的通讯加密和认证过程。

　　

　　

　　

　　

发送节点的SecOC模块在生成新鲜度和MAC，和原始报文组装为Secured I-PDU，并通过CAN总线广播。

　　

　　

接收节点的SecOC模块通过验证MAC来判断原始报文的来源和完整性。新鲜度值验证该报文是否重复并合法。

　　

　　

总结

　　

　　

随着车联网技术的发展，汽车电子架构的革新，自动驾驶量产的推进，汽车在信息安全方面将面临更多更严重的威胁。各主机厂和Tier1需要通过安全防护体系的建立以及持续性的风险分析和攻防策略优化，提升各车联网平台的信息安全能力。

以上就是帮企客小编为大家带来的全部内容，希望可以帮助到大家。