維克多（Vector）為汽車及相關(guān)產(chǎn)業(yè)的OEM及供應(yīng)商，提供專業(yè)的開放式開發(fā)平臺(tái)。在安全領(lǐng)域中提供各種安全開發(fā)和測(cè)試工具，安全軟件組件和安全咨詢服務(wù)，應(yīng)用于嵌入式系統(tǒng)的創(chuàng)建，基礎(chǔ)協(xié)議站在MICROSAR的網(wǎng)絡(luò)安全部署中居于關(guān)鍵地位。

維克多汽車技術(shù)（上海）有限公司商業(yè)開發(fā)經(jīng)理范科發(fā)圍繞《車端網(wǎng)絡(luò)安全一站式解決方案》展開演講，以下是演講內(nèi)容整理：

維克多汽車技術(shù)（上海）有限公司商業(yè)開發(fā)經(jīng)理范科發(fā)

ISO 21434標(biāo)準(zhǔn)下的車端安全測(cè)試

今天話題主要聚焦在車內(nèi)安全通訊和相應(yīng)的測(cè)試技術(shù)適用上。比如說已七層架構(gòu)的以太網(wǎng)為例，需要在每一層之間實(shí)現(xiàn)通信，那么每一層都會(huì)有潛在的網(wǎng)絡(luò)攻擊點(diǎn)，就要求我們對(duì)各種各樣的入侵手段進(jìn)行相應(yīng)的處理。具體來看，汽車行業(yè)已經(jīng)給出了明確的答案，分別在每一層上都有相應(yīng)的技術(shù)手段，去保證通訊是能夠安全進(jìn)行，比如SecOC、TLS、IPsec和MACsec等

我的同事剛才已經(jīng)介紹了設(shè)計(jì)和實(shí)現(xiàn)階段維克多提供的安全方案，我現(xiàn)在要談的是測(cè)試端的安全測(cè)試，后面會(huì)提到如果客戶使用了加密技術(shù)，那么從開發(fā)到調(diào)試的過程中怎么進(jìn)行解密。安全規(guī)范體系ISO 21434里面有定一些方法論，同功能安全I(xiàn)SO 26262測(cè)試的規(guī)范有一定差異，但大部分還都是類似的。

車端安全測(cè)試主要包括涉及安全的功能測(cè)試，主要測(cè)試與安全相關(guān)的函數(shù)的正確行為和系統(tǒng)健壯性，是對(duì)產(chǎn)品安全性(機(jī)制)的測(cè)試，后面就是漏洞掃描（用于測(cè)試已知漏洞）、模糊測(cè)試（嘗試通過向目標(biāo)系統(tǒng)發(fā)送無效的、未定義的或隨機(jī)的輸入來發(fā)現(xiàn)實(shí)現(xiàn)的新漏洞，屬于黑客視角尋找漏洞的首選技術(shù)）和滲透測(cè)試（對(duì)SW+HW系統(tǒng)進(jìn)行高度個(gè)性化和創(chuàng)造性的測(cè)試）。

CANoe在SIL/HIL網(wǎng)絡(luò)安全測(cè)試中的應(yīng)用

維克多持續(xù)在測(cè)試領(lǐng)域深耕，在網(wǎng)絡(luò)安全引入車載系統(tǒng)中也構(gòu)建完整的測(cè)試解決方案。一般而言，供應(yīng)商會(huì)接觸到大量不同的OEM加解密項(xiàng)目需求，因此選用的工具也需要支持不同的OEM加解密體系，才能夠?qū)⒑罄m(xù)生產(chǎn)、測(cè)試、DV、PV等各個(gè)階段銜接起來。工具僅僅捕捉數(shù)據(jù)是遠(yuǎn)遠(yuǎn)不夠的，還需要將數(shù)據(jù)轉(zhuǎn)變?yōu)槟軌蜃R(shí)別的報(bào)文，進(jìn)而加為開發(fā)、測(cè)試和生產(chǎn)環(huán)節(jié)服務(wù)。

從工具層面看，OEM這幾年進(jìn)行通信加解密處理時(shí)，有可能通過密鑰，也有可能通過證書，所用到加解密算法、在不同層面使用的加解密技術(shù)都不同，尤其在HPC、區(qū)域控制器領(lǐng)域。因此，供應(yīng)商需要在工程中花大量的時(shí)間，去提前了解不同加解密技術(shù)，最終在開發(fā)環(huán)境進(jìn)行調(diào)試和測(cè)試，這樣看下來是一件很麻煩的事情。

此外，安全性、新鮮值、證書等狀態(tài)在開發(fā)ECU、量產(chǎn)交付、售后維護(hù)這三個(gè)階段的狀態(tài)也不一樣，這就帶來一個(gè)問題：供應(yīng)商在生產(chǎn)線上部署的工具體系能否支持不同階段的應(yīng)用？維克多所推出的CANoe作為老牌的工具，也是希望在網(wǎng)絡(luò)安全領(lǐng)域更好地滿足工程應(yīng)用。

圖片來源：維克多

那么如何處理以上的各種問題？維克多提供包含系統(tǒng)化的安全管理工程方案，包含HSM, Secure Boot, SecOC, Secure Diagnostics等，安全管理方案（Security Manager）可以為維克多所有工具和加密材料的來源提供一致的接口，降低nominal函數(shù)測(cè)試人員的安全性復(fù)雜度，屬于高度集成的解決方案(不需要適應(yīng)現(xiàn)有的工具鏈)。

圖片來源：維克多

此外，維克多CANoe可以針對(duì)專門的安全性插件提供所需服務(wù)，我們部門主要做的就是將加密報(bào)文呈現(xiàn)為明文，支持AUTOSAR標(biāo)準(zhǔn)和OEM所需特定變體的SecOC通信，可以實(shí)現(xiàn)消息加密、新鮮值的管理，針對(duì)以太網(wǎng)通信安全也能夠做相應(yīng)的支持。

汽車網(wǎng)絡(luò)安全模糊（Fuzzy）測(cè)試“利器”：vTESTstudio

接下來是模糊測(cè)試，通過CANoe可以將通訊測(cè)試系統(tǒng)上的加密報(bào)文轉(zhuǎn)換為明碼，使得后續(xù)測(cè)試可以依照傳統(tǒng)測(cè)試的步驟進(jìn)行。在做好安全功能和安全通信模塊的測(cè)試后，需要去做相應(yīng)的模糊測(cè)試，模糊測(cè)試主要有兩個(gè)方面的區(qū)分：第一是針對(duì)信號(hào)應(yīng)用層做模糊，另一方面是基于通訊、基于報(bào)文去做模糊。

在模糊測(cè)試中比較核心的概念是：模糊測(cè)試的時(shí)候要監(jiān)控什么，希望發(fā)現(xiàn)什么問題？這一點(diǎn)在行業(yè)仍然沒有很明確的定義，有可能去測(cè)應(yīng)用，有可能去測(cè)ECU，不同層面、不同工程師關(guān)注的不一樣。

接下來講一下什么是模糊測(cè)試，模糊測(cè)試由測(cè)試環(huán)境、模糊測(cè)試用例生成器和監(jiān)控?cái)?shù)據(jù)流三部分組成，需要易用的測(cè)試工具來實(shí)現(xiàn)各類攻擊的模擬，即自動(dòng)化生成模糊測(cè)試用例，從而為測(cè)試系統(tǒng)提供高收益。用于模糊測(cè)試的模糊測(cè)試器（Fuzzer）分為兩類：基于變異的模糊測(cè)試器，通過對(duì)已有數(shù)據(jù)樣本進(jìn)行變異來創(chuàng)建測(cè)試用例；基于生成的模糊測(cè)試器，利用被測(cè)系統(tǒng)使用的協(xié)議或文件建模，基于模型生成輸入并據(jù)此創(chuàng)建測(cè)試用例。

以上，模糊測(cè)試定義中最重要的其實(shí)是模糊測(cè)試器。簡(jiǎn)單來說，只要測(cè)試人員在工具體系里面修改模糊測(cè)試器，能夠按照算法規(guī)則去生成相應(yīng)的隨機(jī)數(shù)，給到ECU，就可以定義為模糊測(cè)試，只是生成器需要用的數(shù)據(jù)不同。

維克多的方案復(fù)用了HIL和SIL的自動(dòng)化腳本開發(fā)工具vTESTstudio，嵌入模糊測(cè)試所要用到的模糊測(cè)試引擎，在里面配置相應(yīng)的測(cè)試數(shù)據(jù)主要是Ethernet和CAN通信的報(bào)文層面，Ethernet和CAN傳輸?shù)男盘?hào)層面、I/O或A2L信號(hào)層面等。以DBC里面定義的三個(gè)信號(hào)為示例，把這三個(gè)信號(hào)通過vTEST studio中的模糊引擎在工具里面進(jìn)行相應(yīng)的配置，每個(gè)信號(hào)會(huì)按照配置的規(guī)則生成模糊測(cè)試數(shù)據(jù)。這三個(gè)信號(hào)在生成的時(shí)候，信號(hào)之間會(huì)按照Sequential、Pairwise、Combinatorial幾種規(guī)則進(jìn)行配置組合，組合之后，測(cè)試人員會(huì)把這些數(shù)據(jù)輸入到測(cè)試環(huán)境和ECU。

在模糊測(cè)試這塊，最難的在于測(cè)試需要監(jiān)控觀測(cè)項(xiàng)。比如說，有可能一組數(shù)據(jù)給到ECU，使得對(duì)應(yīng)Task對(duì)CPU的占用率很高，如果觀測(cè)人員要去監(jiān)控?cái)?shù)據(jù)輸入中對(duì)CPU的占用率，這個(gè)時(shí)候怎么做？毫無疑問要在板子里面設(shè)置測(cè)量函數(shù)，要對(duì)一定時(shí)間內(nèi)的CPU占用率進(jìn)行監(jiān)控，這就需要利用控制器本身的調(diào)試口，將其對(duì)CPU的占有率在測(cè)試過程中傳遞到CANoe中。

除了報(bào)文層面能夠做模糊，維克多也能夠做I/O層面的模糊，因?yàn)镃ANoe本身是HIL環(huán)境的測(cè)試工具。CANoe結(jié)合vTESTstudio為嵌入式系統(tǒng)開發(fā)工程師提供攻擊者視角的同類攻擊注入，并通過復(fù)用已有配置工程數(shù)據(jù)生成模糊測(cè)試用例。CANoe的強(qiáng)大功能有助于強(qiáng)化汽車電子行業(yè)Fuzz test器環(huán)境：可適配不同OEM，不同網(wǎng)絡(luò)協(xié)議和數(shù)據(jù)庫；支持?jǐn)?shù)據(jù)記錄、數(shù)據(jù)回放，并提供詳細(xì)的自動(dòng)化測(cè)試報(bào)告。

圖片來源：維克多

此外，動(dòng)態(tài)測(cè)試方案可覆蓋HIL中的真實(shí)ECU和SIL中的虛擬ECU兩種情況，維克多兩種都可以提供，只不過在真實(shí)板測(cè)需要提前插樁，通過調(diào)試口拿數(shù)據(jù)，維克多在工具里面給定的每一條測(cè)試率都可以在執(zhí)行過程中拿到Coverage。

接下來講一下CANoe做模糊測(cè)試的優(yōu)勢(shì)，簡(jiǎn)單來說，測(cè)試人員可以直接使用研發(fā)部門所開發(fā)的CANoe工程，在上面嵌入模糊測(cè)試器，進(jìn)而直接進(jìn)行相應(yīng)的模糊測(cè)試。

通常模糊測(cè)試引擎是基于“黑盒”測(cè)試技術(shù)，然而在汽車電子行業(yè)開發(fā)驗(yàn)證系統(tǒng)中復(fù)用已有的配置工程（如網(wǎng)絡(luò)通信協(xié)議和控制器邏輯狀態(tài)功能）及工具可實(shí)現(xiàn)“白盒”測(cè)試技術(shù)。此外，當(dāng)軟件功能發(fā)生變更時(shí)，可結(jié)合持續(xù)集成環(huán)境實(shí)現(xiàn)驗(yàn)證的快速迭代。

因?yàn)镃ANoe的存在，維克多更多會(huì)使用灰盒模糊測(cè)試，黑盒是對(duì)于通信報(bào)文做模糊測(cè)試，利用已有數(shù)據(jù)庫，利用其內(nèi)部的信號(hào)和變量，直接操縱報(bào)文中傳輸?shù)男盘?hào)，從而更加高效地得出結(jié)果，因?yàn)榛液械哪：郎y(cè)試效率比“暴力”黑盒的方式更能確定系統(tǒng)存在的問題。

滲透測(cè)試、漏洞掃描和診斷測(cè)試

模糊測(cè)試的下一個(gè)環(huán)節(jié)是滲透測(cè)試，一般OEM會(huì)委托指定的機(jī)構(gòu)作滲透測(cè)試，在滲透測(cè)試?yán)锩嬗玫淖疃嗟募夹g(shù)手段就是剛才講的模糊測(cè)試，測(cè)試人員會(huì)通過模糊的方式排查ECU的漏洞，也是有白盒、灰盒、黑盒的不同方式，維克托咨詢部門為整車廠和tier1在ECU和車輛層面提供獨(dú)立的滲透測(cè)試和進(jìn)一步的操作保證?；诨液蟹椒?，適合增量回歸測(cè)試，比傳統(tǒng)的滲透測(cè)試更高效。

圖片來源：維克多

最后講一下漏洞掃描和診斷測(cè)試，漏洞掃描主要是針對(duì)已知進(jìn)行測(cè)試，需要提前積累漏洞庫，也就是對(duì)代碼規(guī)則，行業(yè)規(guī)則有一個(gè)提前的把握，這一方面維克多已經(jīng)有多年的行業(yè)積累。

隨著車輛中ECU復(fù)雜度的增加，診斷測(cè)試的測(cè)試范圍以及完成診斷功能驗(yàn)證需要花費(fèi)的時(shí)間和精力也在增加，盡管診斷測(cè)試的范圍不斷擴(kuò)大，但創(chuàng)建和執(zhí)行測(cè)試用例的時(shí)間和人力投入相對(duì)穩(wěn)定?；贑ANoe.DiVa的診斷自動(dòng)化測(cè)試方案顯著減少了診斷驗(yàn)證所用的時(shí)間和人力投入，同時(shí)極大地增加了測(cè)試的廣度和深度。如果每個(gè)ECU都有CDD或ODX格式的診斷數(shù)據(jù)庫，那么從診斷需求規(guī)范到全面的自動(dòng)化協(xié)議測(cè)試只需一小步，僅需很少的準(zhǔn)備工作就可以檢測(cè)到協(xié)議錯(cuò)誤。CANoe.DiVa的測(cè)試后處理能力包括：分類、過濾測(cè)試報(bào)告，便于獲取期望的測(cè)試結(jié)果；鏈接失敗的測(cè)試用例與測(cè)試數(shù)據(jù)流（Trace）；為各個(gè)測(cè)試結(jié)果添加注釋，便于對(duì)錯(cuò)誤以及錯(cuò)誤原因進(jìn)行分類。記錄糾正措施，控制故障排除；將測(cè)試解決方案鏈接到現(xiàn)有測(cè)試數(shù)據(jù)管理系統(tǒng)或需求管理系統(tǒng)，方便集成到現(xiàn)有流程中。當(dāng)前，全球眾多整車廠都在采用CANoe.DiVa實(shí)現(xiàn)診斷測(cè)試。

在安全測(cè)試服務(wù)方面，維克多不僅僅提供工具咨詢，也提供安全測(cè)試系統(tǒng)搭建和改造升級(jí)服務(wù)。

圖片來源：維克多

（以上內(nèi)容來自維克多汽車技術(shù)（上海）有限公司商業(yè)開發(fā)經(jīng)理范科發(fā)于2022年8月25日由蓋世汽車主辦的2022中國(guó)汽車信息安全與功能安全大會(huì)發(fā)表的《車端網(wǎng)絡(luò)安全一站式解決方案》主題演講。）

返回第一電動(dòng)網(wǎng)首頁 >