C＆C的專長是實(shí)施遠(yuǎn)程攻擊并獲取車輛系統(tǒng)的物理控制權(quán)�；�于自身經(jīng)驗(yàn)加上借鑒其他團(tuán)隊(duì)的研究成果，他們?yōu)镃ruise自動駕駛車型設(shè)計(jì)了一套防護(hù)策略，戰(zhàn)略性地利用現(xiàn)有資源，有針對性地提升關(guān)鍵攻擊難度。

2015年，Chris Valasek和Charlie Miller（自稱C＆C組合）成功入侵某友商車型，在黑客圈一戰(zhàn)成名。后來他們被通用汽車旗下自動駕駛技術(shù)公司Cruise收入麾下，主導(dǎo)建立了Cruise的安全團(tuán)隊(duì)。近期，他們透露了設(shè)定自動駕駛車型安全優(yōu)先級的方法和思路。

C＆C在加入Cruise十幾個月時間里，他們最重要的任務(wù)是打造有史以來最安全的車型（注：這里的“安全secure”指的是系統(tǒng)安全）。最近幾個論壇上頻頻出現(xiàn)的話題就是安全，包括27日的Auto－E2019中國汽車技術(shù)青年學(xué)者論壇上，國家市場監(jiān)管總局缺陷產(chǎn)品管理中心肖凌云博士就自動駕駛汽車安全問題，展開廣泛的討論。那么面對自動駕駛汽車集成的大量硬件和軟件系統(tǒng)，面對這些可能存在的bug，面對搭載的數(shù)百萬行代碼，面對沒有方向盤和制動踏板的自動駕駛車輛，自動駕駛安全如何保證？而就職于Cruise的C＆C又是如何設(shè)定自動駕駛安全項(xiàng)目優(yōu)先級的呢？

背景閱讀

Cruise自動駕駛車型與外界的溝通方式

首先，要先了解Cruise自動駕駛車型與外界的溝通方式，才能更好的理解他們自動駕駛安全優(yōu)先級設(shè)定。

每輛Cruise自動駕駛汽車都會配備一個通信電子控制單元（electronic control unit簡稱ECU），負(fù)責(zé)與內(nèi)部的基礎(chǔ)設(shè)施實(shí)現(xiàn)通信。該通信電子控制單元ECU同時也與車輛的主計(jì)算機(jī)模塊保持通信，該計(jì)算機(jī)模塊就像是自動駕駛車型的「大腦」。

對于安全從業(yè)者來說，這樣的結(jié)構(gòu)關(guān)系看上去可能有點(diǎn)驚人，但C＆C設(shè)計(jì)的多層級安全控制機(jī)制能夠有效降低持續(xù)入侵和獲取車輛物理控制權(quán)的可能性。

網(wǎng)絡(luò)層面，他們使用專有的APNs和IPSec通道。并且，他們的自動駕駛系統(tǒng)底層架構(gòu)可以確保即便外部攻擊者能夠看到他們的信息流，也仍然可以保證車輛處于安全狀態(tài)。

現(xiàn)實(shí)威脅模型Realistic Threat Model

C＆C的專長是實(shí)施遠(yuǎn)程攻擊并獲取車輛系統(tǒng)的物理控制權(quán)。基于自身經(jīng)驗(yàn)加上借鑒其他團(tuán)隊(duì)的研究成果，他們?yōu)镃ruise自動駕駛車型設(shè)計(jì)了一套防護(hù)策略，戰(zhàn)略性地利用現(xiàn)有資源，有針對性地提升關(guān)鍵攻擊難度。

此文章將從以下三個方面，詳解分析。第一，哪些攻擊類型的影響和規(guī)模級別最高？第二，執(zhí)行這些攻擊的難易程度如何？第三，不同攻擊類型可能對自動駕駛車輛的物理控制產(chǎn)生何種影響？

C＆C判斷當(dāng)下的工作重點(diǎn)是那些可能獲取車輛物理控制權(quán)的遠(yuǎn)程攻擊上。更具體來說，他們會著重防御那些可以遠(yuǎn)距離實(shí)施的攻擊類型，因?yàn)樗鼈兊挠绊懛秶�可能擴(kuò)展到整個車隊(duì)。

主動防御

首先，他們會確保車輛只建立出站鏈接（Outbound connections），也就是說Cruise自動駕駛系統(tǒng)只會主動發(fā)起與外界建立鏈接，而不會對入站鏈接（Inbound connections）做出響應(yīng)。同時，他們還移除了包括藍(lán)牙和Wi－Fi在內(nèi)可能成為潛在攻擊對象的車載功能。

通過減少可能遭受攻擊的代碼數(shù)量，他們消除了對潛在惡意入站數(shù)據(jù)代碼固有風(fēng)險的擔(dān)憂，提升了自動駕駛車型的整體安全等級。如果后期在投放應(yīng)用時仍需搭載藍(lán)牙和Wi－Fi，他們會為這些功能構(gòu)建獨(dú)立的網(wǎng)絡(luò)和設(shè)備。

除此之外，他們采用的安全啟動（和更新）機(jī)制以及只讀文件系統(tǒng)能夠確保通信設(shè)備抵御那些成功發(fā)起的外部攻擊。過往的黑客職業(yè)生涯（專黑那些看起來功不可破的系統(tǒng)）教會他們一件事——不可能完全消除網(wǎng)聯(lián)設(shè)備受侵入的風(fēng)險。然而，當(dāng)侵入事件發(fā)生時，他們必須確保入侵者無法實(shí)現(xiàn)持續(xù)性攻擊。

那么，如何保障自動駕駛車型主計(jì)算機(jī)模塊和車載通信單元之間的通信安全呢？

這個是個好問題�？偟膩碚f，自動駕駛車型的主計(jì)算機(jī)模塊默認(rèn)不信任所有通信電子控制單元（ECU），僅向其開放最基礎(chǔ)的權(quán)限。即便是他們自己的通信設(shè)備，主計(jì)算機(jī)模塊也不允許來自它們的入站通信（inbound communication）。二者間的通信將全部由自動駕駛車型的主計(jì)算機(jī)模塊發(fā)起，由此確保通信設(shè)備難以向控制車輛的關(guān)鍵模塊發(fā)出單邊指令。

自動駕駛車型的安全不能一刀切，幫助自動駕駛車型抵御外界入侵遠(yuǎn)不止設(shè)置一個防火墻這么簡單。事實(shí)上，他們會通過分層策略（layered approach）確保以下兩件事：

1． 通過蜂窩網(wǎng)絡(luò)遠(yuǎn)程侵入他們的車型是及其困難的；

2． 即便發(fā)生侵入事件，攻擊者也難以獲取車輛的實(shí)際控制權(quán)。

任何針對Cruise自動駕駛車型的攻擊都必須繞過他們構(gòu)建的多層防御機(jī)制。

值得一提的是，C＆C稱，他們時常收到人們轉(zhuǎn)發(fā)的關(guān)于GPS欺騙干擾（GPS spoofing）或激光雷達(dá)欺騙干擾（LIDAR spoofing）的文章，并詢問如何確保Cruise自動駕駛車型能夠抵御這類攻擊。其中不少文章認(rèn)為由于自動駕駛車型使用了GPS和激光雷達(dá)等技術(shù)，所以自然成為了這類攻擊的高風(fēng)險對象，可能導(dǎo)致其被截停甚至發(fā)生碰撞事故。Cruise表示，這類攻擊目前不會影響他們車輛的正常運(yùn)行，不過，從長遠(yuǎn)來看，考慮到攻擊方式的不斷演進(jìn)，他們將來會把這類攻擊列入考慮范圍。