CN114157489B

CN114157489B - 基于周期性鉴权握手机制的通信域控制器安全通信方法

Info

Publication number: CN114157489B
Application number: CN202111473778.0A
Authority: CN
Inventors: 沈路; 赵海洋; 徐璐; 王悦; 吴承肖; 温宏宇; 费亮
Original assignee: Anhui Jianghuai Automobile Group Corp
Current assignee: Anhui Jianghuai Automobile Group Corp
Priority date: 2021-12-02
Filing date: 2021-12-02
Publication date: 2023-01-03
Anticipated expiration: 2041-12-02
Also published as: CN114157489A

Abstract

本发明公开了一种基于周期性鉴权握手机制的通信域控制器安全通信方法，本发明的主要设计构思在于，通过建立通信域控制器与车载网络设备之间周期性鉴权握手机制，保证通信域控制器对外数据交互的安全性。具体地，数据交互的前提是在待交互的设备之间由私钥、公钥与预设加密算法结合，各自完成加密运算并比对二者处理结果，并且在后续交互环节以周期为限，持续性进行后续多轮握手校验，从而可以大幅提升本地数据的安全性。本发明能够保证通信域控制器本地存储数据的安全，弥补了车联网信息安全在终端设备层面的不足。

Description

基于周期性鉴权握手机制的通信域控制器安全通信方法

技术领域

本发明涉及智能网联汽车领域，尤其涉及一种基于周期性鉴权握手机制的通信域控制器安全通信方法。

背景技术

伴随着智能网联汽车技术的快速发展，汽车领域的信息安全问题也越发引起监管部门、汽车厂商以及所有汽车消费者的关注。但当前行业内，车联网领域保证信息安全的措施主要集中在车辆数据的传输过程中，而对车联网终端内部本地存储的数据安全重视不够。一旦车联网终端被物理获取，窃取设备中本地存储的数据易如反掌，这不仅会侵害车主的用车隐私、损害主机厂商和设备厂商的商业利益，更可能会损害国家安全和车主人身安全。

当前，在车联网信息安全领域的实践中，既有的技术方案大多是针对数据传输的各个环节设置针对性预防措施。换言之，其是在从车载控制器网络，车联网终端，移动通信网络，到车联网平台服务器这样一条双向通讯链路中的各区段，设置鉴权校验或加密解密机制。由此大为提高了从外部攻破车联网系统，获取并破解车联网核心数据的难度和成本。

例如，专利201811214866.7公开了一种车辆CAN总线加密方法，其在车载CAN网络和车联网终端的数据交互过程中，设置了针对CAN报文的数据加密机制。首先对T-BOX进行IMMO认证，IMMO认证通过的条件下T-BOX通过总线CAN向网关发送报文，T-BOX所发送的报文需经过T-BOX的HSM和网关的HSM进行硬件上的加密和解密，T-BOX设有一报文计数器对发送的报文进行计数，网关对报文计数器进行侦测，符合设定规则才判断报文合法，报文合法的条件下将报文解密并发送至车辆其余CAN分线。其采用软硬加密相结合的方式，运用IMMO认证、HSM硬件加密、报文计数器判定三重加密方法，提高车辆CAN总线的安全性，预防黑客的入侵，提高行车安全性。

又例如，专利201910148950.1公开了一种T-BOX加密系统和方法，其重点在T-BOX内部设置了多道加密环节，构建了一种T-BOX加密系统。SOC、HSM、MCU和CAN收发器构成T-BOX本体：CAN收发器：接收整车的CAN网络信号，并通过CAN网络将信号输送至MCU；MCU：将接收的网络信号通过内置的安全套件对进行加密后输送至HSM；HSM：将获取的加密信号进行加密运算后输送至SOC；SOC：通过建立的安全加密信道传输给安全运维平台。其将硬件加密技术与软件加密技术结合，解决T-BOX内部的信息安全问题。

但是，在传统IT领域，信息安全管理贯穿了数据的产生，存储，传输，获取、使用乃至销毁的全生命周期，其中数据的加密存储和获取权限管理对于保证信息安全，也具有极为重大的作用。但当前车联网信息安全领域的技术方案，主要是对传统IT信息安全领域信息传输环节的安全方案的迁移，对数据存储环节尤其是车载终端的本地数据存储环节可能的安全风险重视程度不够。

此外，远程车辆控制功能的使用对用车安全影响重大，现有的远程车控技术方案，均在车联网终端向各车辆控制模块下发执行指令报文时设置了鉴权校验机制。每次下发车控指令，均需通过鉴权校验后才予以执行。而为了防止车联网终端被违规拆卸，目前部分车联网终端中存在与车载网络的其它节点设备周期性握手校验的机制。一旦车联网终端被违规拆卸，其它节点设备无法与之完成握手校验则执行限扭、限速或锁车等反制措施。

例如，专利201910039420.3公开了一种基于MD5动态加密算法的T-BOX防拆除方法及系统，其构建了基于MD5动态加密算法的T-BOX防拆除方法及系统，包括以下步骤：T-BOX、ECU设置私钥；T-BOX对ECU授时；ECU内部随机生成8字节数据发送至T-BOX；T-BOX根据时钟计算出密钥；T-BOX采用MD5加密算法得出结果发送至ECU；ECU按照相同方法计算得出结果进行比较；比较二者结果，若相同则判断握手校验正确，车辆正常工作，若不相同，则等待5秒再次发送握手校验，如果两次握手校验均为错误，ECU对车辆实施锁车控制。其解决了现有技术中工程机械行业金融按揭车辆装配的车载物联网监控终端即T-BOX被恶意拆除，从而导致车辆无法监管和控制，被恶意欠款或者车辆失窃的问题。

然而，经分析，上述现有技术方案至少存在3点不足：

第一，该技术方案中，仅在车辆每次ACC上电后5秒，由发动机控制模块ECU发起握手鉴权，最多连续尝试两次。若鉴权握手通过，则允许车辆一切功能正常运行，这样存在在车辆上电后等待鉴权通过再拆卸车联网终端的漏洞；

第二，该技术方案的追求目标是保持对车辆的持续监控，而非保护车辆网终端数据的安全，因此其在识别到车联网终端被拆卸后欠缺保护数据不被窃取的手段；

第三，该技术方案的硬件设计无法满足车联网系统大数据量和对数据处理的高实时、高精度以及高可靠的要求。该方案使T-BOX与发动机控制模块直接交互，使相对低安全性要求的信息娱乐子系统与最高安全性要求的动力控制系统直接产生双向数据交互，一旦T-BOX干扰乃至感染发动机ECU，将产生严重后果。

发明内容

鉴于上述，本发明旨在提供一种基于周期性鉴权握手机制的通信域控制器安全通信方法，以解决前述分析的现有方案的不足。

本发明采用的技术方案如下：

一种基于周期性鉴权握手机制的通信域控制器安全通信方法，其中包括：

预先分别在通信域控制器和车载网络设备中写入私钥；

由通信域控制器对车载网络设备授时；

在车载网络设备内部生成随机数并发送至通信域控制器进行握手校验；

通信域控制器根据所述随机数计算当前公钥，并基于时钟获取当前私钥；

通信域控制器采用预设加密算法得到第一运算结果并发送至车载网络设备；

车载网络设备通过所述随机数、时钟信息以及所述预设加密算法得到第二运算结果；

车载网络设备比较第一运算结果与第二运算结果是否相同；

若相同，则在通信域控制器确认握手校验正确后，在预设周期内执行正常数据交互功能，且当预设周期的时间到达时，再次进行握手校验；

若不相同，则由通信域控制器执行数据自锁，直至在后续握手校验过程中确认握手校验正确后，解除所述数据自锁，并在预设周期内执行正常数据交互功能。

在其中至少一种可能的实现方式中，所述通信方法还包括：预先设置通信域控制器的本地账户及密码。

在其中至少一种可能的实现方式中，所述预先设置通信域控制器的本地账户及密码包括：为通信域控制器设置与车架号一一对应的本地账户及密码。

在其中至少一种可能的实现方式中，所述通信方法还包括：当处于所述数据自锁状态时，若检测到用户通过所述本地账户及密码登录并手动开启通信域控制器的正常数据交互功能，则按预设的手动交互时长维持正常交互功能。

在其中至少一种可能的实现方式中，所述通信方法还包括：若在所述手动交互时长到达后未检测到正常交互功能关闭，则强制恢复通信域控制器的数据自锁状态。

在其中至少一种可能的实现方式中，所述分别在通信域控制器和车载网络设备中写入私钥包括：在通信域控制器和车载网络设备中写入与车架号一一对应的私钥。

在其中至少一种可能的实现方式中，所述握手校验由车载网络设备向通信域控制器请求，或者由通信域控制器向车载网络设备主动发起。

在其中至少一种可能的实现方式中，所述通信方法还包括：在对存储在通信域控制器中的本地数据进行解密时，从车联网平台获取在存储时上传至车联网平台的通信域控制器的加密配置数据。

在其中至少一种可能的实现方式中，所述加密配置数据包括：在向通信域控制器存储本地数据时的时钟信息、车载网络设备的随机数以及结合预设加密算法得到的加密结果。

本发明的主要设计构思在于，通过建立通信域控制器与车载网络设备之间周期性鉴权握手机制，保证通信域控制器对外数据交互的安全性。具体地，数据交互的前提是在待交互的设备之间由私钥、公钥与预设加密算法结合，各自完成加密运算并比对二者处理结果，并且在后续交互环节以周期为限，持续性进行后续多轮握手校验，从而可以大幅提升本地数据的安全性。本发明能够保证通信域控制器本地存储数据的安全，弥补了车联网信息安全在终端设备层面的不足。

进一步地，对于存储在通信域控制器本地的数据进行加密处理，加密所用的公钥与私钥等配置信息由存入时间、终端设备、车联网平台等多个环节决定，破解难度较高，有效避免通信域控制器被物理拆卸后本地数据被轻易破解获取。

附图说明

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步描述，其中：

图1为本发明实施例提供的基于周期性鉴权握手机制的通信域控制器安全通信方法的流程图。

具体实施方式

下面详细描述本发明的实施例，实施例的示例在附图中示出，其中自始至终相同或类似的标号表示相同或类似的元件或具有相同或类似功能的元件。下面通过参考附图描述的实施例是示例性的，仅用于解释本发明，而不能解释为对本发明的限制。

本发明提出了一种基于周期性鉴权握手机制的通信域控制器安全通信方法的实施例，具体来说，如图1所示，其中包括：

步骤S1、预先分别在通信域控制器和车载网络设备中写入私钥；

具体来说，可以在汽车总装装配下线前，同时在通信域控制器和车载网络设备(如车身域控制器等)中写入与车架号一一对应的10组机密私钥，其中，每一组私钥长度可以设为4个字节。

步骤S2、由通信域控制器对车载网络设备授时；

由于通信域控制器具备高精度定位模块，其定位系统为其提供高精度、高可靠的定位与授时服务，因此可由通信域控制器对车载网络设备授时。

步骤S3、在车载网络设备内部生成随机数并发送至通信域控制器进行握手校验；

例如，可以在车辆ACC启动5秒后，车载网络设备内部随机生成8字节数字通过CAN总线向通信域控制器发起握手校验请求。这里需说明的是，握手校验请求不限于由其他车载网络设备向通信域控制器发起，也可以由通信域控制器主动发起，对此本发明不作赘述和限定。

步骤S4、通信域控制器根据所述随机数计算当前公钥，并基于时钟获取当前私钥；

通信域控制器收到握手请求数据时，可取其中4字节作为公钥，此处公钥的获取也可以由当前时钟的分数数值(M)决定，具体地，将收到的8字节随机数字向左循环移位N，N＝(M/6得到的整数)，移位N后取Byte0～Byte3此前四个字节作为当前公钥K2；并可以使用前步写入的私钥，具体地，使用规则可由当前时钟的分钟数值(M)决定，如前述10组私钥的序号N，范围为0-9，N＝(M/6得到的整数)，由此便可以得出当前私钥值K1＝f(N)。

步骤S5、通信域控制器采用预设加密算法得到第一运算结果并发送至车载网络设备；

在通信域控制器计算出当前私钥K1和当前公钥K2后,可采用但不限于SHA256加密算法进行加密计算，并优选将计算出的数值取前8字节数据作为结果D1，发送给车载网络设备。

步骤S6、车载网络设备通过所述随机数、时钟以及所述预设算法得到第二运算结果；

在实际操作中可按前述通信域控制器的方式及算法得出结果D2。

步骤S7、车载网络设备比较第一运算结果与第二运算结果是否相同；

若D1与D2相同，则执行步骤S8、通信域控制器确认握手校验正确后，在预设周期内执行正常数据交互功能，且在周期时间到达后，再次进行握手校验；

具体地，车载网络设备发送确认Ack报文给通信域控制器，通信域控制器在之后的预设周期内(如5分钟)正常运行常规的数据交互功能，例如但不限于通信域控制器与其它车辆控制器之间的数据交互，以及与车联网平台之间的数据交互等。

若D1与D2不相同，则执行步骤S9、通信域控制器执行数据自锁，直至在后续握手校验过程中确认握手校验正确后，解除所述数据自锁并在预设周期内执行正常数据交互功能。

具体地，车载网络设备发送Error报文给通信域控制器，也可以是在某时长内通信域控制器未收到任何Ack或Error报文，那么，通信域控制器之后可以拒绝开启常规的数据交互等功能，即数据自锁；直到在后续某轮握手校验过程中接收到Ack报文，才开启常规数据交互功能，即解除数据自锁，并可以维持5分钟的正常交互。

进一步地，本发明还包括：预先设置通信域控制器本地账户及密码；

具体是为通信域控制器设置嵌入式系统的本地账户与密码，在实际操作中，可以在汽车总装装配下线前，为通信域控制器设置与车架号一一对应的机密本地账户及其密码。

基于此构思，在处于前述数据自锁状态时，用户可输入本地账户及其密码登录嵌入式系统，手动开启通信域控制器的常规数据交互功能，并按预设手动交互时长维持交互功能(4小时)；进一步地，若在预设手动交互时长到达后未手动关闭交互功能，则恢复通信域控制器的数据自锁状态。

还可以说明的是，存储在通信域控制器中的本地数据，使用存储时的时钟信息以及对应的车载网络设备的随机数并结合加密算法进行加密处理，而存入数据的同时，通信域控制器将时钟信息及其对应的随机数作为加密配置数据上传至车联网平台。由此，如需对通信域控制器的本地存储数据进行解密，则需要从车联网平台获取对应通信域控制器的加密配置数据。

综上所述，本发明的主要设计构思在于，通过建立通信域控制器与车载网络设备之间周期性鉴权握手机制，保证通信域控制器对外数据交互的安全性。具体地，数据交互的前提是在待交互的设备之间由私钥、公钥与预设加密算法结合，各自完成加密运算并比对二者处理结果，并且在后续交互环节以周期为限，持续性进行后续多轮握手校验，从而可以大幅提升本地数据的安全性。本发明能够保证通信域控制器本地存储数据的安全，弥补了车联网信息安全在终端设备层面的不足。

本发明实施例中，“至少一个”是指一个或者多个，“多个”是指两个或两个以上。“和/或”，描述关联对象的关联关系，表示可以存在三种关系，例如，A和/或B，可以表示单独存在A、同时存在A和B、单独存在B的情况。其中A，B可以是单数或者复数。字符“/”一般表示前后关联对象是一种“或”的关系。“以下至少一项”及其类似表达，是指的这些项中的任意组合，包括单项或复数项的任意组合。例如，a，b和c中的至少一项可以表示：a，b，c，a和b，a和c，b和c或a和b和c，其中a，b，c可以是单个，也可以是多个。

以上依据图式所示的实施例详细说明了本发明的构造、特征及作用效果，但以上仅为本发明的较佳实施例，需要言明的是，上述实施例及其优选方式所涉及的技术特征，本领域技术人员可以在不脱离、不改变本发明的设计思路以及技术效果的前提下，合理地组合搭配成多种等效方案；因此，本发明不以图面所示限定实施范围，凡是依照本发明的构想所作的改变，或修改为等同变化的等效实施例，仍未超出说明书与图示所涵盖的精神时，均应在本发明的保护范围内。

Claims

1.一种基于周期性鉴权握手机制的通信域控制器安全通信方法，其特征在于，包括：

预先分别在通信域控制器和车载网络设备中写入私钥；

由通信域控制器对车载网络设备授时；

通信域控制器基于对应通信域控制器的当前公钥以及当前私钥，并采用预设加密算法得到第一运算结果并发送至车载网络设备；

车载网络设备通过所述随机数、时钟信息生成对应车载网络设备的当前公钥和当前私钥，并采用所述预设加密算法得到第二运算结果；

车载网络设备比较第一运算结果与第二运算结果是否相同；

2.根据权利要求1所述的基于周期性鉴权握手机制的通信域控制器安全通信方法，其特征在于，所述通信方法还包括：预先设置通信域控制器的本地账户及密码。

3.根据权利要求2所述的基于周期性鉴权握手机制的通信域控制器安全通信方法，其特征在于，所述预先设置通信域控制器的本地账户及密码包括：为通信域控制器设置与车架号一一对应的本地账户及密码。

4.根据权利要求2所述的基于周期性鉴权握手机制的通信域控制器安全通信方法，其特征在于，所述通信方法还包括：当处于所述数据自锁状态时，若检测到用户通过所述本地账户及密码登录并手动开启通信域控制器的正常数据交互功能，则按预设的手动交互时长维持正常交互功能。

5.根据权利要求4所述的基于周期性鉴权握手机制的通信域控制器安全通信方法，其特征在于，所述通信方法还包括：若在所述手动交互时长到达后未检测到正常交互功能关闭，则强制恢复通信域控制器的数据自锁状态。

6.根据权利要求1所述的基于周期性鉴权握手机制的通信域控制器安全通信方法，其特征在于，所述分别在通信域控制器和车载网络设备中写入私钥包括：在通信域控制器和车载网络设备中写入与车架号一一对应的私钥。

7.根据权利要求1所述的基于周期性鉴权握手机制的通信域控制器安全通信方法，其特征在于，所述握手校验由车载网络设备向通信域控制器请求，或者由通信域控制器向车载网络设备主动发起。

8.根据权利要求1～7任一项所述的基于周期性鉴权握手机制的通信域控制器安全通信方法，其特征在于，所述通信方法还包括：在对存储在通信域控制器中的本地数据进行解密时，从车联网平台获取在存储时上传至车联网平台的通信域控制器的加密配置数据。

9.根据权利要求8所述的基于周期性鉴权握手机制的通信域控制器安全通信方法，其特征在于，所述加密配置数据包括：在向通信域控制器存储本地数据时的时钟信息、车载网络设备的随机数以及结合预设加密算法得到的加密结果。