CN103929428A - 一种实现车载电子信息系统通信安全的方法 - Google Patents

Abstract

本发明公开了一种实现车载电子信息系统通信安全的方法，该方法包括：当车载信息向外输出时，在安全策略库查找对应的认证和/或加密算法，并对该数据包进行认证和/或加密封装后输出；当外部数据包输入至车载信息系统时，根据参数索引在规则库中查找该数据包使用的认证和/或加密算法，并利用查找到的结果对该数据包进行解封处理，获得校验值的或明文数据包；对所述明文数据包在安全策略库中重新进行查找，若安全策略库中指定的安全规则与根据该数据包的参数索引得到的对应，说明该数据包无伪造或欺骗行为，则通过验证，并将解封后的数据包输入至上层协议继续解封。通过采用本发明公开的方法，可以保障车载信息系统网络通信的安全、可靠与保密。

Description

一种实现车载电子信息系统通信安全的方法

技术领域

本发明涉及车载电子信息安全领域，具体涉及一种保护车载电子信息系统和外部设备信息交换过程中数据安全的方法。

背景技术

在未来互联汽车时代，汽车已经成为一种“网络终端”，在越来越多的车载信息被共享的过程中，面临着被网络黑客以及更大范围内有组织的犯罪集团通过车载网络信息系统进行攻击的危险，而车载信息网络中的动力控制是汽车安全行驶的保障，一旦被攻破，驾驶人的人身安全将无法保障。因为嵌入式系统和以往车载网络的特点，车载网络信息安全问题并没有引起足够的重视，随着车辆的外部接口类型不断增多，攻击路径不断增多，除了车载诊断系统、充电控制接口之外，如今的汽车还具有与智能手机、平板电脑之间的互联功能，因此考虑为互连汽车建立起一个有效的信息安全平台显得极为必要。

2011年宝马公司和现代汽车公司与Broadcom公司、恩智浦半导体公司、飞思卡尔半导体公司以及哈曼国际公司成立了一个特别兴趣小组(SIG)-OPEN联盟，以促进基于以太网的汽车互连的广泛采用。该团体旨在帮助汽车行业改善车内安全性、舒适度以及信息娱乐体验，同时极大地降低网络复杂性和布线成本，并制定车载以太网的相关标准。全新宝马X5采用了基于以太网技术的停车辅助系统。统一车内网络标准，连接外部网络的环境日益完备，再加上车载信息服务开始普及，车载电子信息系统需要面对越来越多的传统外部网络攻击手段。

以电动汽车为例，充电时，充电信息将被发送至外部网络，用于管理充电情况和充电记录。车辆的位置，汽车发动机、电池等汽车重要运行状态信息以及用户操作控制命令通过车载远程监控系统与用户交互。只要连接到外部网络，就意味着打开了一个攻击入口，汽车内部封闭的网络环境将不复存在。随着通用操作系统，通信协议标准和应用软件在车载电子信息系统中的广泛采用，攻击的难度越来越低。服务多样化将使得汽车和用户共享更多信息，而部分敏感信息的泄露或有目的的篡改可能导致严重的车辆事故发生。

由于嵌入式系统资源受限的特点，实现车载网络安全通信的实时操作系统、通信协议栈以及安全协议需与特定的硬件平台相匹配，即需量身定制。另外标准安全协议算法复杂、运行资源消耗大，普通PC机和服务器的网络信息安全解决方案难以照搬入嵌入式系统中。目前只有在高端的嵌入式设备和采用商业嵌入式实时操作系统的平台上有较成熟的解决方案。例如运行Vxworks的系统中，有实现网络安全技术的完整解决方案；高端MCU或FPGA内部集成有安全协议硬件实现模块。但是如何在大量应用通用嵌入式微控制器的汽车网络通信系统中实现信息安全，目前并没有太多实质性研究进展。

发明内容

本发明的目的是提供一种实现车载电子信息系统通信安全的方法，来保障汽车网络通信过程中信息的安全、可靠与保密。

本发明的目的是通过以下技术方案实现的：

一种实现车载电子信息系统通信安全的方法，该方法包括：

当车载信息向外输出时，进行安全策略查找；若所述安全策略为应用时，在策略库查找对应的认证和/或加密算法，并对信息进行认证和/或加密封装后输出；

当外部数据进入车载信息系统时，需判断该数据是否应用了安全策略；若是，则根据该数据包的参数索引，查找该数据包的认证和/或加密算法，并根据查找到的认证和/或加密算法对该数据包进行解封处理，获得一个校验值或明文数据包；对所述明文数据包在策略库中进行查找，若查找到的安全规则，与根据该数据包的参数索引查找到的认证和/或加密算一致；则通过验证，并将解封后的数据包输入。

由上述本发明提供的技术方案可以看出，通过对汽车网络的输入输出数据进行安全策略的认证和/或加密处理，可以保障车载电子信息系统信息通信的安全、可靠与保密；该方法尤其适用于资源受限的车载嵌入式平台，可以实现点到点的车载电子信息系统通信安全保护。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域的普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图。

图1为本发明实施例一提供的一种实现车载电子信息系统通信安全的方法的示意图；

图2为本发明实施例一提供的一种实现车载电子信息系统通信安全的整体结构图；

图3为本发明实施例一提供的一种车载嵌入式网络通信系统安全平台架构图；

图4为本发明实施例一提供的一种车载数据包输出处理的流程图；

图5为本发明实施例一提供的一种数据包输入至车载电子信息系统时的处理流程图；

图6为本发明实施例一提供的安全实现与通信协议之间关系示意图；

图7为本发明实施例一提供的一种对车载电子信息系统安全通信实现方法测试的示意图。

具体实施方式

下面结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明的保护范围。

在车载网络领域对嵌入式系统的实时性、可靠性、稳定性和功能等都有严格要求，而嵌入式系统本身具有内存资源有限、CPU(中央处理器)运行速度不高、散热不足等特点。本发明通过精简安全协议实现代码以及手动配置安全密钥等方法将安全协议在嵌入式网络通信系统中实现，从而达到点到点的嵌入式网络终端设备信息安全共享。

结合实际情况，本发明满足以下几个特性：

1)可裁剪性。满足系统功能需求的前提下，用户可自行定制实时操作系统的某些功能模块以及安全算法。

2)专用性。移植都是在特定的硬件平台上进行；采用手工协商密钥的方法，简化系统和内存开销。

3)效率因素。现有的成熟算法执行占用很大内存空间和CPU处理时间，嵌入式系统功能较简单、单一，没有必要，也不可能将这些算法照搬。本设计选择占用较少系统资源而又完全满足设计要求的认证及加密算法，并删去不必要的协议实现。代码实现尽量简洁且执行高效。

4)可扩展性及移植性。在不修改网络协议栈的前提下，通过虚拟接口将网络协议IP层和硬件网络设备驱动层衔接。

实施例一

本发明实施例提供一种实现车载网络终端通信安全的思路方法，如图1所示，该方法主要包括如下步骤：

当车载电子信息向外输出时，进行安全策略查找；若所述安全策略为应用时，在策略库查找对应的认证和/或加密算法，并对信息进行认证和/或加密封装后输出；

当外部数据进入车载电子信息系统时，需判断该数据是否应用了安全策略；若是，则根据该数据包的参数索引，查找该数据包的认证和/或加密算法，并根据查找到的认证和/或加密算法对该数据包进行解封处理，获得一个校验值或明文数据包；对所述明文数据包在策略库中进行查找，若查找到的安全规则，与根据该数据包的参数索引查找到的认证和/或加密算一致；则通过验证，并将解封后的数据包输入。

进一步的，所述安全策略位于互联网协议IP层，控制方法包括：应用安全策略、直接通过与丢弃。

进一步的，所述当车载电子信息向外输出时，进行安全策略查找；若所述安全策略为直接通过，则将输入或输出数据直接向车载电子信息系统或外部设备传输；若为丢弃，则直接丢弃输入或输出数据包。

进一步的，所述应用安全策略包括：数据完整性认证、数据加密以及数据加密与数据完整性认证。

进一步的，所述认证与加密算法包括：

认证算法包括：HMAC-SHA1-96(96位安全哈希算法)认证算法和HMAC-MD5-96(96位消息摘要)认证算法，用于计算得到一个校验值，添加到重构的网络数据包中；

加密算法包括：三重数据加密算法(3DES)，将需要保护的数据包进行加密后再封装；

如果数据包需要认证和加密，则先加密整个数据包，然后在利用认证算法对整个加密的数据包进行校验值计算，添加到包尾，最后再按照普通网络数据包结构重构整个数据包。

进一步的，认证算法涉及的认证与校验过程，以及加密算法涉及的加密与解密过程所使用的密钥采用双方手动协商密钥或自动协商密钥的形式；自动协商密钥时，每次通信的密钥都会自动生成，且与前一次通信的密钥没有任何关系。

进一步的，该方法还包括：对该实现方法进行功能测试，其包括：

给定车载电子信息系统需要输出的明文应用数据，经过该系统处理封装后，在网络接口层捕获数据包，并对捕获到的数据包与预期认证和/或加密结果对比；

向该系统输入一预先进行认证和/或加密封装的数据包，经过安全策略解封后，得到对应的明文数据包；并对获得的明文数据包与认证和/或加密之前的数据包的一致性进行检测。

为了便于理解本发明，下面结合附图2-7对本发明做详细的说明。

本发明的实现需集成在一个嵌入式硬件平台中，如图2所示，包含本发明方法的网络通信安全平台置于扩展功能与基本控制功能之间。

其中，基本控制功能与扩展功能合称为车载系统。基本控制功能包括发动机动力系统、底盘系统以及车体系统等在内的控制相关功能，主要与加速、制动、转弯等汽车的机械功能密切相关，该类安全要求较高，既需要响应的身份认证，又需要数据传输的保密。扩展功能是包含ITS功能(智能交通系统)、信息娱乐等在内的信息相关功能，是有关向驾驶员提供信息的功能，该类安全相对于上一类有所降低，而且传输的信息量比较大，对这些大量信息进行加密不太现实(嵌入式系统在执行时间和性能上均无法满足)，所以只可能提供数据认证功能，确保信息源的安全可靠，无不法信息源，无数据篡改行为。普通功能通过无线网络(GSM/CDMA/3G/4G)实现与车载系统的信息交互，在智能手机、平板计算机等通过无线网络与车载远程监控系统交互信息的过程中，需保证访问用户的合法性和访问操作的合法性。

本发明实施例的安全方法实现代码量小，所用加解密算法实现对嵌入式系统内存来说可以负担，并且代码执行效率很高，适用于通用车载嵌入式网络通信系统。

示例性的，本发明实施例所述的安全方法实现硬件平台及系统整体架构如图3所示，主要分四部分：微处理器30，物理层模块34，实时操作系统37，网络协议栈36，安全策略35。其中，硬件处理器需至少16位的微处理器，时钟频率达到百兆。本发明实施例中采用32位的瑞萨提供的RX62N微处理器，内部集成有网络控制器，最高时钟频率100MHz。

为了以后增加应用程序和密钥协商功能实现，内存需留有足够裕量。MCU内集成DMA(直接内存访问存取)控制器，数据包可直接进行DMA传输，从硬件上提高数据包的收发速率。实时操作系统至少可以创建两个任务(接收包任务和时钟任务)，提供信号量和定时器管理服务，本发明实施例中可采用μC/OS-II、QNX等实时操作系统。网络协议栈采用精简TCP/IP协议(传输控制协议/因特网互联协议)，推荐μC/TCP-IP、LwIP等。安全部分实现数据源认证、数据完整性，抗重放攻击和数据机密性保护功能，保证车载电子信息系统的安全。

数据包输出输入处理流程如图4-图5所示。如图4所示，为车载电子信息输出的数据包的处理流程图。当一个数据包发送到IP协议层(步骤40)，即将进入网卡驱动层时，需进行安全策略查找(步骤41)，当策略为通过时，不进行安全处理，而直接传递给下层；当策略为丢弃时，数据包丢弃；当策略为应用时将对数据包进行封装处理。

如果策略为应用(步骤42)，使用策略库查找该数据包与之对应的安全应用规则，根据规则对数据包进行认证和/或加密封装处理。如果在策略库查找中没有返回可用规则，则直接丢弃。

在一个有效的认证和/或加密算法的情况下，数据包被重新封装，生成一个新的数据包。

包含有认证和/或加密的数据按照普通网路数据包的规则重构包头信息，并通过底层的网络控制设备发送(步骤43)。

图5为数据包输入至系统时的处理流程图。首先根据数据包头判断是否应用了安全策略(步骤52)。若是，则根据该数据包的参数索引，查找该数据包的认证和/或加密算法。因为应用了安全策略的数据包已经有一个安全参数索引，可以直接在认证和/或加密条目中查找具体的实现算法。如果在认证和/或加密算法的策略库中查找规则，从规则中可以得到该数据包的认证和/或加密的算法(步骤53)。如果没有找到匹配的规则，数据包将被丢弃。

如果数据包返回一个有效的认证和/或加密算法，则使用该算法对数据包进行解封操作(步骤55)。

解封后即将得到一个校验值或明文数据包(步骤56)。为了确保正确的认证和/或加密算法被应用到该数据包，将使用明文数据包在策略库中重新查找(步骤57)，从而确保策略库与规则相对应(步骤58)。如果策略库中查找到的规则与解封所使用的不一致或是根本查找不到一个规则，则表示数据包有可能伪造，丢弃解封数据包。

数据包解封处理完毕，将明文发送给IP层(步骤59)。

本发明实施例中，认证(数据完整性认证)算法有两种，HMAC-SHA1-96和HMAC-MD5-96，可以提供数据完整校验和消息认证，基本思想是对数据进行计算得到一个摘要。MD5算法是对输入的数据进行补位，使得如果数据位长度LEN对512求余的结果是448。即数据扩展至K*512+448位，也就是K*64+56个字节，然后将真正明文的长度以64位表示，附加于前面已添加过的明文后面，这时的明文长度刚好为512位的倍数。MD5以512位分组来处理输入的信息，且每一分组又被划分为16个32位子分组，经过一系列处理后，算法的输出由32位分组组成，将这四个32位分组级联后将生成一个128位散列值。这个128位值可以被截断使用前面96位的认证数据。

加密算法采用3DES(三重数据加密算法)，基本思想是将固定长度的明文通过一系列复杂的操作变成同样长度的密文。通过使用64位的密钥，将64位的明文输入块变为64位的密文输出块，对不是64位的数据采用填充的方式补齐。3DES算法对于一个数据块采用三个不同的密钥进行三次加密，具体的方法是首先对分组中的数据进行初始置换，然后对转换后的数据按加密(使用密钥K1)-解密(密钥K2)-加密(使用密钥K3)的顺序对数据进行置换后得到结果。

在嵌入式系统硬件资源受限的情况下认证算法涉及的认证与校验过程，以及加密算法涉及的加密与解密过程所使用的密钥采用双方手动协商密钥的形式。考虑到未来电子技术的发展以及新的技术的采用，在嵌入式系统硬件条件满足的条件下(主要为RAM资源、MCU运行速度、可用代码空间大小等)，可以考虑使用非对称密钥算法自动协商密钥，每次通信均自动生成与前一次通信无关的密钥。

本发明实施例中，安全协议需要控制或修改所有进出的IP数据包。安全协议虚拟设备驱动可以提供信息拦截功能。安全协议虚拟设备接口与网络协议栈和通信网络设备驱动紧密相连。如图6所示，

输入数据处理方式：所有进入网卡的数据(步骤60)送往安全虚拟设备接口函数(步骤61)，根据数据帧头的协议部分，整个数据包被传递给IP协议栈(步骤62)，如果该包中应用了安全协议，将被传送到安全库中，应用认证和/或加密算法进行解封(步骤63)，经过此步，整个原始IP包通过应用新的偏移和包长度被重新构建，这样，解封之后的明文数据包将继续向IP层传递。

输出数据处理方式：从IP层传递下来的数据(步骤64)被送往安全虚拟设备函数(步骤65)，在这里决定是否需要进行安全处理。根据安全规则，使用认证和/或加密算法对数据进行封装(步骤66)，经过此步后，整个原始IP包将重新被构建，然后继续向下传递到网卡设备驱动(步骤67)。

最后，对本安全实现方法进行功能测试。如图7所示，

步骤71、自顶向下测试：给定一明文数据包，经过网络协议层封装，安全协议认证和/或加密处理后，在网络接口层拦截该数据包；将给定的明文数据包按照网络协议格式手动进行封包处理，并利用已经实现该算法的系统对封装包进行计算得到认证和/或加密包；对拦截到的数据包与手动处理包的一致性进行检测；

步骤72、自下而上测试：向硬件网络驱动层输入一预先被网络协议封装并认证和/或加密的数据包，经过安全策略解封后，继续向上传输到应用层，得到最终的明文数据包；并对获得的明文数据包与处理前的数据包的一致性进行检测。

本发明实施例通过对进出车载电子信息系统的数据进行处理，可以保障车载电子信息系统和外部设备通信的安全、可靠与保密；该方法尤其适用于资源受限的车载嵌入式系统，用以实现点到点的嵌入式网络通信安全保护。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例可以直接通过硬件算法模块实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，上述实施例的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明披露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims (7)

1.一种实现车载电子信息系统通信安全的方法，其特征在于，该方法包括：

当车载信息向外输出时，进行安全策略查找；若所述安全策略为应用时，在策略库查找对应的认证和/或加密算法，并对信息进行认证和/或加密封装后输出；

当外部数据进入车载信息系统时，需判断该数据是否应用了安全策略；若是，则根据该数据包的参数索引，查找该数据包的认证和/或加密算法，并根据查找到的认证和/或加密算法对该数据包进行解封处理，获得一个校验值或明文数据包；对所述明文数据包在策略库中进行查找，若查找到的安全规则，与根据该数据包的参数索引查找到的认证和/或加密算一致；则通过验证，并将解封后的数据包输入。

2.根据权利要求1所述的方法，其特征在于，所述安全策略位于互联网协议IP层，控制方法包括：应用安全策略、直接通过与丢弃。

3.根据权利要求2所述的方法，其特征在于，

若所述安全策略为直接通过，则将输入或输出数据直接向车载信息系统或外部设备传输；

若所述策略为丢弃，则直接丢弃输入或输出数据包。

4.根据权利要求1所述的方法，其特征在于，所述应用安全策略包括：数据完整性认证、数据加密以及数据加密与数据完整性认证。

5.根据权利要求1-4任一项所述的方法，其特征在于，认证和加密算法包括：

认证算法包括：HMAC-SHA1-96认证算法和HMAC-MD5-96认证算法，用于计算得到一个校验值，添加到重构的数据包中；

加密算法包括：三重数据加密算法3DES，将需要保护的数据包进行加密后再封装；

如果数据包需要认证和加密，则先加密整个数据包，然后在利用认证算法对整个加密的数据包进行校验值计算，添加到包尾，最后再按照普通网络数据包结构重构整个数据包。

6.根据权利要求1所述的方法，其特征在于，

认证算法涉及的认证与校验过程，以及加密算法涉及的加密与解密过程所使用的密钥采用双方手动协商密钥或自动协商密钥的形式；自动协商密钥时，每次通信的密钥都会自动生成，且与前一次通信的密钥没有任何关系。

7.根据权利要求1所述的方法，其特征在于，该方法还包括：对汽车输出以及输入至汽车的数据包的进行测试，其包括：

给定车载电子信息系统需要输出的明文应用数据，经过该系统处理封装后，在网络接口层捕获数据包，并对捕获到的数据包与预期认证和/或加密结果对比；

向该系统输入一预先进行认证和/或加密封装的数据包，经过安全策略解封后，得到对应的明文数据包；并对获得的明文数据包与认证和/或加密之前的数据包的一致性进行检测。