CN105278518A - 阻止对敏感车辆诊断数据的访问 - Google Patents

Abstract

本发明公开了阻止对敏感车辆诊断数据的访问。一种车辆与在诊断模式下与车辆通信的外部设备之间的安全通信的车辆系统和方法。该方法包括以下步骤：在电子控制单元（ECU）处从外部设备接收第一诊断请求；在ECU处基于第一请求的性质确定安全漏洞的增加的风险；以及当确定存在增加的风险时，提供错误信息响应。

Description

阻止对敏感车辆诊断数据的访问

技术领域

本发明涉及提供安全的车辆诊断服务。

背景技术

国际标准组织（ISO）是行业标准的公认权威。ISO-14229规定允许诊断测试者或测试设备控制车辆电子控制单元（ECU）中的诊断功能的诊断服务的数据链路要求；例如，与电子燃料喷射、自动变速箱组件、防抱死制动系统等相关的EGU。当诊断测试设备与一个或多个ECU接口连接时，测试设备控制数据链路上的通信——例如，通信是停止、暂停还是恢复。

发明内容

根据本发明的一个实施例，提供一种车辆与在诊断模式下与车辆通信的外部设备之间的安全通信的方法。该方法包括以下步骤：在电子控制单元（ECU）处从外部设备接收第一诊断请求；在ECU处基于第一请求确定安全漏洞的增加的风险；以及当确定存在增加的风险时，提供错误信息响应。

根据本发明的另一个实施例，提供一种车辆电子控制单元（ECU）与在诊断模式下与ECU通信的外部设备之间的安全通信的方法。该方法包括以下步骤：预配置对针对敏感数据的诊断请求的静态的错误信息响应；接收第一诊断请求，所述第一诊断请求是恶意攻击的至少一部分；确定第一诊断请求是针对敏感数据；以及提供错误信息响应。

本发明包括以下方案：

1.一种车辆与在诊断模式下与所述车辆通信的外部设备之间的安全通信的方法，包括以下步骤：

在电子控制单元（ECU）处从所述外部设备接收第一诊断请求；

在所述ECU处基于所述第一请求确定安全漏洞的增加的风险；以及

当确定存在所述增加的风险时，提供错误信息响应。

2.如方案1所述的方法，其中所述第一诊断请求是与所述ECU的存储器地址相关的存储器读取请求。

3.如方案2所述的方法，其中确定步骤包括确定所述存储器地址是否在限制访问地址的范围内。

4.如方案3所述的方法，其进一步包括确定所述存储器地址在限制访问地址的所述范围内，其中提供步骤包括用与一个或多个非限制访问地址相关联的非敏感数据响应所述第一请求。

5.如方案4所述的方法，其进一步包括在接收所述第一诊断请求之前预配置所述错误信息响应的步骤，其中所述预配置将至少一个非限制访问存储器地址的非敏感数据与至少一个限制访问存储器地址相关联。

6.如方案4所述的方法，其进一步包括在所述ECU处接收第二诊断请求，并且当所述第一请求与所述第二请求相同时，提供相同的错误信息响应。

7.如方案4所述的方法，其进一步包括在所述ECU处接收第二诊断请求，并且当所述第一请求与所述第二请求不相同时，提供不同的错误信息响应。

8.如方案1所述的方法，其中所述ECU与外部设备之间的通信是根据ISO-14229。

9.如方案8所述的方法，其中所述第一诊断请求是Read_Memory_by_Address请求。

10.如方案1所述的方法，其中所述第一诊断请求是恶意攻击的一部分。

11.如方案1所述的方法，其中所述错误信息响应不包括与超出范围的消息相关联的错误代码数据。

12.如方案1所述的方法，其中所述错误信息响应是非动态地产生。

13.一种车辆电子控制单元（ECU）与在诊断模式下与所述ECU通信的外部设备之间的安全通信的方法，包括以下步骤：

预配置对于针对敏感数据的诊断请求的静态的错误信息响应；

接收第一诊断请求，所述第一诊断请求是恶意攻击的至少一部分；

确定所述第一诊断请求是针对所述敏感数据；以及

提供所述错误信息响应。

14.如方案13所述的方法，其进一步包括接收请求与所述第一诊断请求相同的敏感数据的第二诊断请求并且提供相同的错误信息响应。

15.如方案13所述的方法，其中所述ECU与外部设备之间的通信是根据ISO-14229。

16.如方案13所述的方法，其中所述错误信息响应不包括与超出范围的消息相关联的错误代码数据。

附图说明

下文将结合附图来描述本发明的一个或多个实施例，其中相同名称指定相同元件，并且其中：

图1是描绘车辆通信系统实施例的示意图；

图2是图1中所示的车辆通信系统的一部分的实施例；

图3是电子控制单元（ECU）存储器的实施例；

图4是描绘恶意攻击者可能如何破坏图1的车辆通信系统的示意图；以及

图5是示出在车辆总线上与ECU的安全通信的方法的流程图。

具体实施方式

以下描述的方法涉及相对于车辆诊断系统的车辆安全。更具体来说，方法涉及保护或保障由车辆内的电子控制单元（ECU）携带或存储的敏感信息免受恶意攻击者损坏。ECU通常通过车辆网络（例如，使用控制器区域网络（CAN）协议的总线）彼此互连并且彼此通信。此外，ECU可以遵守和/或遵从车辆诊断协议。近来，恶意攻击者已经确定如何操纵诊断协议来访问ECU所携带的敏感信息。如以下将解释，使用此敏感信息，恶意攻击者可以在无授权的情况下访问车辆、无授权的情况下起动车辆、无授权的情况下控制车辆移动或者无授权的情况下访问合法用户私有信息（仅列举几个实例）。

图1示出其中具有通信系统12的车辆10。通信系统12可以通过一个或多个车辆总线12启用有线通信、使用SRWC芯片集16（参见图2）启用短程无线通信（SRWC）或者使用蜂窝芯片集18（参见图2）启用长程蜂窝通信（仅列举几个可能性）。总线14和SRWC设备可以被共同地实施以启用车辆局域网（VLAN）。

一个或多个总线14可以包括通信总线、信息娱乐总线、娱乐总线等。图1中所示的总线直接和间接地连接到多个设备。例如，若干ECU20联接到总线14，ECU又各自联接到车辆模块或设备22。总线14和ECU20一起通过一个或多个车辆网络通信（例如，适合的网络连接包括控制器区域网络（CAN）、面向媒体的系统转移（MOST）、局部互连网络（LIN）、局域网（LAN）以及其他适当的连接，诸如以太网或符合已知ISO、SAE和IEEE标准和规范（列举几个）的其他网络）。

每个ECU可以包括一个或多个处理设备或处理器30和存储器或存储器设备32（参见例如图2）。每个处理器30可以是能够处理电子指令的任何类型的设备，包括微处理器、微控制器、主处理器、控制器、车辆通信处理器以及特定应用集成电路（ASIC）。处理器可以是仅用于相应ECU（和/或其相应车辆模块22）的专用处理器或者其可以与其他车辆系统共享。处理器30执行各种类型的数字存储的指令，诸如存储在存储器32中的软件或固件程序，所述指令使得车辆模块22能够提供各种服务。例如，处理器30可以执行程序或过程数据以执行本文论述的方法的至少一部分。

存储器32可以包括任何适合的计算机可用或可读介质，所述介质包括一个或多个存储设备或物品。示例性计算机可用存储设备包括常规的计算机系统RAM（随机访问存储器）、ROM（只读存储器）、EPROM（可擦、可编程ROM）、EEPROM（电子可擦、可编程ROM）以及磁性或光学盘或带。

根据一个实施例，存储器32可以被分类或划分成可识别段——每个段具有单元或地址34或者与单元或地址34相关联（参见图3）。图3示出具有多个地址34的存储器32的至少一部分。仅为了说明的目的，图3示出行（按照字母顺序指示，例如A-AA）和列（按照数字顺序指示，例如1-19）。行和列的这些量值仅是实例；存在其他量值。此外，还存在寻址存储器32的其他手段。如下文将更详细解释，存储器32可以携带或存储敏感和非敏感数据；例如，在图3中，阴影地址（例如，H1、I1、J1、……、S1）可以携带敏感数据，而非阴影地址（例如，所有列2、3、4和5）可以携带较少或非敏感数据。

还应了解，地址34可以配置在硬件或软件中或者使用硬件或软件来配置。例如，在地址被配置在软件中时，方法可以执行为可由处理器30和/或车辆模块22执行一个或多个计算机程序，并且各种方法相关数据可以存储在任何适合的存储器中。计算机程序可以活动和非活动的多种形式存在。例如，计算机程序可以作为以下内容存在：包括源代码、目标代码、可执行代码或其他格式的程序指令的软件程序；或者硬件描述语言（HDL）文件。以上各项中的任一个可以实施在计算机可用或可读介质上，所述介质包括一个或多个存储设备或物件。因此，应理解，方法可以至少部分地由能够执行上述功能的任何电子设备执行。

车辆模块22中的一个可以是远程信息处理单元（如图2中所示），所述单元具有先前提及的SRWC芯片集16和蜂窝芯片集18以及其自己的处理器40、存储器42和多目的（或多频带）天线44以及其他物件。例如，使用SRWC芯片集16，远程信息处理单元可以根据任何适合的已知协议执行无线联网（通过VLAN）。SRWC协议的非限制性实例包括任何适合的Wi-Fi标准（例如，IEEE802.11）、Wi-Fi直联或其他适合的对等标准、蓝牙、WiMAX、ZigBee^TM、无线红外传输或者其各种组合。

当然，远程信息处理单元所进行的无线联网也可以根据任何适合的蜂窝标准来执行。例如，远程信息处理单元可以通过GSM、CDMA或LTE标准（仅列举几个）来通信。蜂窝通信应广泛地解释为包括语音呼叫、数据（或数据包）呼叫或者其任何组合。

图2中所示的ECU20联接在总线14与远程信息处理单元（模块22中的一个）之间，并且可以根据任何适合的标准来配置——例如具有通用配置；或者其可以是专用、特别配置的ECU。因此，图2中所示的ECU20示出图1中所示的ECU中的任一个或所有。应了解，ECU20可以携带与总线14上的通信相关的敏感数据或者与相应模块22（例如，远程信息处理单元）或二者相关的敏感数据。例如，ECU20可以携带用于安全总线通信或者用于ECU20与相应模块22之间的通信的一个或多个加密密钥。此外，技术人员将了解，ECU的漏洞使得攻击者具有适合的机会来获取存储在模块22内的敏感数据。例如，图2的ECU20的漏洞可以使得恶意攻击者有机会使用远程信息处理单元来远程地起动车辆或解锁车门等。

图4（以及图1）示出联接到总线14的诊断入口50。入口50可以是用于连接或联接外部设备60（诸如诊断工具或数据记录器或者其他适合的诊断机器）的任何设备。此外，如下文将更详细解释，外部设备60还可以包括由攻击者用来模仿真正的诊断工具的电子设备；例如伪诊断工具或远程计算机。如技术人员将了解，真正的诊断工具60可以使得车辆技术人员能够与车辆10连接、请求诊断状态并且读取多个车辆模块22的状态。诊断请求可以是存储器读取请求（例如，每ISO-14299，Read_Memory_by_Address请求）。在特定模块存在技术问题或难题的情况下，相关联的ECU20所提供的状态包括ERROR（错误）代码数据或诊断故障代码（DTC）。另外，在不存在问题的情况下，状态包括NORMAL（正常）代码数据。因此，将了解，类似的攻击者使用（或胁迫的）诊断工具执行类似功能。外部设备60可以使用技术人员熟悉的硬件和技术来有线或无线地与入口50联接。

图4进一步示出提出恶意攻击者70（由联网设备表示）可能如何利用车辆10中的通信系统12来获得未授权的访问系统12或破坏系统12的几个实例的示意图。例如，攻击者70可以利用外部设备60或直接联接到总线14（例如，通过有线或无线通信）的类似设备。或者，攻击者可以欺骗外部设备60——即，假装为真正的诊断工具。或者，攻击者70可以利用陆地网络72和/或无线网络74来破坏总线14（例如，通过远程信息处理单元或其他适合的模块22）。在任何状况下，一旦恶意攻击者70实现访问总线14，则攻击者可以与ECU20通信以收集敏感信息。

例如，攻击者可以使用已知的诊断协议（例如，ISO-14229）来产生诊断请求。攻击者的请求可以通过总线14传输到一个或多个ECU20，并且适当的ECU可以用诊断状态代码来响应。在一些情况下，在诊断请求是请求敏感或限制访问信息（例如，在一个或多个限制访问地址的范围中）的情况下，响应是OUT-OF-RANGE（超出范围）消息。攻击者可以了解哪些地址34正在保持敏感信息（例如，仅通过确定哪些地址范围产生OUT-OF-RANGE消息来考虑图3中的地址的范围：{H1,I1,...,S1}）。此后，攻击者70可以将他/她的恶意努力集中于有限数量的地址范围。

阻止恶意攻击的访问的一种方法可以是对于针对含有敏感信息的地址的任何状态请求动态地或随机地产生不同响应。然而，此方法具有其弱点。例如，攻击者70可以仅重复地查询相同ECU20内的相同地址的状态；当攻击者接收针对每个相同查询的不同（动态地产生的）响应时，所识别出的地址34含有敏感信息变得显而易见（或者至少指示性）。因此，需要响应是静态的——即，每次对含有敏感信息的地址的状态进行诊断请求时，响应应该相同。还需要响应提供非敏感信息（即，非限制访问信息）。另外，至少在一些情况下，响应可以是位于存储器32上的任何地方的地址34的非敏感信息。在至少一个实施中，这些响应可以被预配置或预先确定。例如，在任何恶意攻击之前，在总线14上的每个ECU20中具有敏感信息的任何地址可以被预配置有非敏感信息的响应。以此方式，响应对于攻击者而言可以是切合实际的或逻辑的——并且攻击者将继续寻找看起来OUT-OF-RANGE或者以其他方式指示敏感信息的存储器地址34。

现在转向图5，示出可以使用通信系统12执行的方法500的流程图。方法通过预配置对针对敏感数据的诊断请求的响应来从步骤510开始。含有敏感信息的每个地址34可以被预配置有指示错误信息响应的响应——例如，故意地误导潜在攻击者离开其中含有的敏感信息的响应。错误信息响应可以与存储器32中的单个地址34或者一个范围的地址相关联。在一个实施中，预配置的错误信息响应可以根据地址映射来映射或分配——例如，使用映射算法或其他适合的程序。此外，错误信息响应可以是与在由恶意攻击者拦截的情况下不被认为是敏感的数据相关联的响应。例如，错误信息响应可以与以下内容相关联：车厢的空气温度或发动机油的剩余寿命（例如，在换油到期之前），或者不与可以用来损害车辆乘客或侵犯乘客的个人可识别信息或PII（如技术人员所理解）或任何其他类似个人信息的数据相关联的任何其他诊断相关数据。步骤510可以在制造时、在制造后（例如，在服务中心或经销商处），或者甚至售后市场可以是授权的技术人员时发生。

在步骤510之后，方法可以进行到步骤520——经历VLAN安全漏洞；即，使用未授权的外部设备60，攻击者70可以获得访问ECU20和/或总线14。短语“安全漏洞”应广泛地解释为包括任何恶意攻击，包括对收集或获取可能指示车辆网络中的安全弱点或为攻击者提供如何最佳攻击网络的线索的信息的任何尝试；即，安全漏洞包括实际漏洞以及确定如何实施实际漏洞的车辆网络的一个或多个方面的任何检查。漏洞可能不由VLAN的部件检测。因此，在步骤520中，攻击者70可以进行到将诊断请求发送到联接至总线14的各个ECU20——例如，假装为授权的外部诊断设备（例如，诸如诊断设备或数据记录器）。

因此，在步骤530中，ECU20接收一个或多个诊断请求（来自未授权的外部设备60）。根据方法的一个方面，诊断请求中的至少一个是针对与ECU20中的一个的限制访问地址34相关的敏感信息。

在接收到诊断请求（步骤530）之后，ECU20（或ECU中的至少一个）可以基于请求的性质确定是否存在（或者造成）安全漏洞的增加的风险（步骤540）。此确定可以包括确定诊断请求是否查询与限制访问地址34的范围（图3中的阴影）内相关联的信息——或者单个查询的地址是否被指定限制访问。如果诊断请求是针对非敏感信息，则方法进行到步骤550并且仅提供精确状态或响应（例如，提供状态代码）。然而，如果诊断请求是针对与敏感信息（即限制访问）相关联的地址34（或者地址的范围），则方法500进行到步骤560。

在步骤560中，方法提供适当的预配置的错误信息响应。如先前所论述，此响应可以被静态地定义，并且响应可以看起来是来自非敏感地址的查询的预期或典型响应。因此，在攻击者查询含有敏感信息的ECU20中的一个的任何地址34的情况下，攻击者可以响应地接收错误信息响应，该错误信息响应不会令人怀疑地址34含有敏感信息。

在步骤550和/或560之后，方法再次进行到步骤530或结束。在步骤530中，方法500可以接收第二诊断请求。在一种情况下，第二诊断请求与第一诊断请求（先前描述）相同；即，诊断请求在第二请求中查询与第一请求中相同的地址34。在此情况下，方法进行到步骤540和560——如对第一诊断请求一样，将相同的错误信息响应提供给第二诊断请求。

然而，如果第二诊断请求与第一请求不同，则方法500确定请求是否再次造成安全威胁（步骤540）。如果确定存在威胁（例如，请求是针对限制访问范围中的地址34），则方法进行到步骤560并且提供不同的、预配置的错误信息响应。

因此，已经描述用于在车辆总线上安全地通信的方法。更具体来说，本公开呈现防止向攻击者提供ECU存储器上存储敏感数据的位置的指示。

应理解，以上是本发明的一个或多个实施例的描述。本发明并不限于本文披露的特定实施例，而是仅由以下权利要求限定。此外，以上描述中含有的陈述涉及特定实施例，而并不解释为对本发明的范围的限制或对权利要求中使用的术语的定义的限制，除非术语或短语在以上明确定义的情况。各种其他实施例和对所披露的实施例的各种改变和修改将变得对本领域技术人员显而易见。所有这些其他实施例、改变和修改意欲包括在随附权利要求的范围之内。

如说明书和权利要求中所使用，术语“例如”、“举例”、“示例”、“诸如”和“像”以及动词“包括”、“具有”、“包含”及它们的其他动词形式在结合一个或多个部件或其他项目的列表使用时被各自解释为开发式的，这意味着列表不被认为排除其他、额外部件或项目。其他术语是使用其最广泛的合理含义来解释，除非它们用在需要不同解释的上下文中。

Claims (10)

1.一种车辆与在诊断模式下与所述车辆通信的外部设备之间的安全通信的方法，包括以下步骤：

在电子控制单元（ECU）处从所述外部设备接收第一诊断请求；

在所述ECU处基于所述第一请求确定安全漏洞的增加的风险；以及

当确定存在所述增加的风险时，提供错误信息响应。

2.如权利要求1所述的方法，其中所述第一诊断请求是与所述ECU的存储器地址相关的存储器读取请求。

3.如权利要求2所述的方法，其中确定步骤包括确定所述存储器地址是否在限制访问地址的范围内。

4.如权利要求3所述的方法，其进一步包括确定所述存储器地址在限制访问地址的所述范围内，其中提供步骤包括用与一个或多个非限制访问地址相关联的非敏感数据响应所述第一请求。

5.如权利要求4所述的方法，其进一步包括在接收所述第一诊断请求之前预配置所述错误信息响应的步骤，其中所述预配置将至少一个非限制访问存储器地址的非敏感数据与至少一个限制访问存储器地址相关联。

6.如权利要求4所述的方法，其进一步包括在所述ECU处接收第二诊断请求，并且当所述第一请求与所述第二请求相同时，提供相同的错误信息响应。

7.如权利要求4所述的方法，其进一步包括在所述ECU处接收第二诊断请求，并且当所述第一请求与所述第二请求不相同时，提供不同的错误信息响应。

8.如权利要求1所述的方法，其中所述ECU与外部设备之间的通信是根据ISO-14229。

9.如权利要求8所述的方法，其中所述第一诊断请求是Read_Memory_by_Address请求。

10.一种车辆电子控制单元（ECU）与在诊断模式下与所述ECU通信的外部设备之间的安全通信的方法，包括以下步骤：

预配置对于针对敏感数据的诊断请求的静态的错误信息响应；

接收第一诊断请求，所述第一诊断请求是恶意攻击的至少一部分；

确定所述第一诊断请求是针对所述敏感数据；以及

提供所述错误信息响应。