车联网安全基础（下）

0x05 车联网渗透工具

• can-utils：工具包内含 5 个独立的程序：canconfig、candump、canecho、3.cansend、cansequence
• canconfig：用于配置 CAN 总线接口的参数，主要是波特率和模式
• canecho：把从 CAN 总线接口接收到的所有数据重新发送到 CAN 总线接口
• cansend：往指定的 CAN 总线接口发送指定的数据
• cansequence：往指定的 CAN 总线接口自动重复递增数字，也可以指定接收模式并校验检查接收的递增数字
• Kayak
• candump：从 CAN 总线接口接收数据并以十六进制形式打印到标准输出，也可以输出到指

定文件

• cansniffer
• cangen
• canplayer
• cansend
• ZCANPRO
• PcanView
• PEAK-Converter
• ··· ···

0x06 四大汽车总线

6.1 LIN

Local Interconnect Network

面向汽车地段分布式应用的低成本的串行通讯网络，用于实现汽车中的分布式电子系统控制。LIN的目标是为现有汽车网络提供辅助功能。

LIN通讯基于SCI（UART）通用异步收发接口的单总线串行通信数据格式，采用单主控制器/多从设备的模式。仅使用一根12V信号总线和一个无固定时间基准的节点同步时钟线。LIN主要应用于电动门窗、座椅调节、灯光照明等控制。

LIN总线工作原理：LIN总线包含一个宿主节点和一个或多个从属节点。所有节点都包含一个被分解为发送和接收任务的从属通讯任务，而宿主节点还包含一个附加的宿主发送任务。在实时LIN中，通讯总是由宿主任务发起。

6.2 CAN

Controller Area Network

CAN总线工作原理：CAN总线的通信通过一种类似于“会议”的机制实现的，只不过会议的过程并不是由一方（节点）主导，而是每一个会议参加人员都可以自由的提出会议议题（多主通信模式）。

CAN总线的优点：

• 通信速率最高可达1MB/s（此时距离最长40m）。节点数实际可达110个。
• 采用短帧结构，每一帧的有效字节数为8个。
• 每帧信息都有CRC校验及其他检错措施，数据出错率极低。
• 通信介质可采用双绞线，同轴电缆和光导纤维，一般采用廉价的双绞线即可，无特殊要求。节点在错误严重的情况下，具有自动关闭总线的功能，切断它与总线的联系，以使总线上的其他操作不受影响。

6.3 FlexRay

专为车内联网设计，采用基于时间触发机制

FlexRay总线工作原理：FlexRay总线数据收发采取时间触发和事件触发的方式。利用时间触发通信时，网络中的各个节点都预先知道彼此将要进行通信的时间， 接收器提前知道报文到达的时间，报文在总线上的时间可以预测出来。

它采用了周期通信的方式，一个通信周期可以划分为静态部分、动态部分、特征窗和网络空闲时间4个部分。静态部分和动态部分用来传输总线数据，即FlexRay报文。特征窗用来发送唤醒特征符和媒介访问检测特征符。网络空闲时间用来实现分布式的时钟同步和节点参数的初始化。

6.4 MOST

Media Oriented System Transport面向媒体的系统传输总线，是一种专门针对车内使用而开发的、服务于多媒体应用的数据总线技术。MOST表示“多媒体传输系统”

MOST总线工作原理：MOST 总线利用光脉冲传输数据，采用环形结构，在环形总线内只能朝着一个方向传输数据。每套MOST传控网络允许最多达64个的装置（节点）连接

CAN、LIN及FlexRay在车上分布：

CAN总线是中坚，LIN总线是CAN总线的副手，FlexRay总线是未来的希望，MOST总线则负责车载多媒体业务

0x07 智能汽车常见业务功能

7.1 TSP平台

TSP（Telematics Service Provider）汽车远程服务提供商。在Telematics产业链居于核心地位，上接汽车、车载设备制造商、网络运营商，下接内容提供商。

TSP平台从车载终端，车厂业务平台及运营商平台等获取数据信息，并通过对数据信息的分析和处理，实现车辆故障诊断、T服务业务办理以及车辆相关信息管理等应用。

• 为车主用户，提供异常提醒，紧急求助，远程控制，车况查询及保养服务。
• 为车厂或经销商用户，提供车辆售前，售中及售后阶段进行车辆相关的信息管理，数据信息的分析等服务。
• 通用的Telematics集成业务框架，标准的开发协议，可满足不同车厂定制化业务的快速开发及灵活扩展。
• 灵活的Telematics服务部署框架，支持私有云、公有云部署，可支撑不同车厂各种服务模式的多种部署类型需求。
• 成熟稳定的Telematics技术开发框架，采用多种国际主流的车联网技术，可符合不同车厂IT技术路线的多样化选择。
  

7.2 OTA平台

OTA全称为Over-The-Air technology(空中下载技术)，通过移动通信的接口实现对软件进行远程管理，传统的做法到4S店通过整车OBD对相应的ECU进行软件升级。OTA技术最早2000年在出现日本，目前通过OTA方式升级软件广泛应用于智能手机，当前可通过OTA技术对车辆进行远程升级。

7.3 OTA架构

OTA整体架构包含OTA云端、OTA终端、OTA设计对象三部分

OTA云端为OEM专属的云端服务器平台，OTA终端采用Tbox，网络架构按功能域划分，分为动力系统域、车身系统域、影音系统域、ADAS主动安全域，分为四个不同的功能安全等级

7.4 OTA云端

OTA云端也称为OTA云服务平台，包含OEM支持OTA升级的ECU全部的完整的升级包。OTA云端的设计要求是独立的平台，支持多车型、多型号规格、多种类型ECU软件的升级。OTA云端的框架结构主要包括五部分：OTA管理平台、OTA升级服务、任务调度、文件服务、任务管理

7.5 OTA终端

OTA终端主要包含OTA引擎和OTA适配器，其中OTA引擎是一个连接OTA终端与OTA云端的桥梁，实现云端同终端的安全通信，包括升级包下载、升级包解密、差分包重构等功能。OTA适配器是为兼容不同的软件或设备的不同更新逻辑或流程，根据统一的接口要求封装的不同实现。升级适配器由需要OTA升级的各个ECU软件实现提供

7.6 数字钥匙

数字钥匙是依托于个人移动终端、数字钥匙控制器，基于高精度定位技术，实现取代传统PEPS实体钥匙，并赋予钥匙分享等数字化增值业务的智能化产品

0x08 智能汽车常见零部件

8.1 常见简略整车EE架构图

8.2 常见零部件

1. T-BOX，详见上文第三节
   
2. IVI，车载信息娱乐系统(In-Vehicle Infotainment 简称IVI，又称HU或HUT)

是集成于汽车中控台的一 台智能多媒体设备，俗称汽车导航或汽车中控

IVI的部分功能：

1. 网络连接 （车和手机之间双向的功能都有）
2. 语音识别和控制
3. 在线音乐和电台等在线内容，还有天气信息
4. 导航（在线实时路况）
5. 电子用户手册（带搜索功能）
6. 社交平台入口
7. 车辆体检（维修和保养提醒与预约）
8. 道路救援
9. 第三方设备连接
10. 车辆保险
11. 自驾游相关服务
12. 车辆钱包 （电子收费和在线购物）

3.GW（网关控制器Gateway Controller）

网关控制器是整车电子电气架构中的核心部件，其作为整车网络的数据交互枢纽，可将CAN、LIN、MOST、FlexRay等网络数据在不同网络中进行路由。此外，由于独立网关控制器的存在，整车电子电气架构的设计可以更加优化，整车厂可以通过它来提高整车拓扑结构的可扩展性、整车的安全性，以及整车网络数据的保密性。因此，网关控制器已经日益成为整车电子电气架构中的重要部件

GW的基本功能：

♦ 报文/信号路由功能；

♦ 速率转换与协议翻译；

♦ 整车网络相关诊断；

♦ 网关自诊断；

♦ 网络管理；

♦ 本地唤醒

♦ Bootloader；

♦ 开关采集；

♦ 总线唤醒；

GW的特色功能：

♦ 整车节点配置；

♦ 整车数据信息备份；

♦ 整车对外诊断借口；

♦ 整车运输模式控制

4.BMS（电池管理系统）

电池管理系统（BMS）为一套保护动力电池使用安全的控制系统，时刻监控电池的使用状态，通过必要措施缓解电池组的不一致性，为新能源车辆的使用安全提供保障。动力电池管理系统可以被认为是电池组的“大脑”，主要负责保护电池单元不受外界条件的影响

5. BCM（车身控制器）

BCM可以执行各种功能。输出设备基于通过CAN（控制器区域网络），LIN（本地互连网络）或以太网作为与模块和系统通信的手段从输入设备接收的数据进行管理

BCM基本功能：

♦ 外部灯光：前照灯、小灯、转向灯、前后雾灯、日间行车灯、倒车灯、制动灯、角灯、泊车灯等

♦ 内部灯光：顶灯、钥匙光圈、门灯

♦ 前后雨刮、前后洗涤、大灯洗涤

♦ 遥控钥匙（RKE）、四门门锁、尾门开启

♦ CAN/LIN 通讯

♦ ISO15765 诊断

♦ 网络管理

♦ BootLoader 程序更新功能

♦ Limphome工作模式

♦ 胎压监测（TPMS）

♦ 发动机防盗（IMMO）

♦ 车窗控制

♦ 天窗控制

♦ PEPS 功能

♦ 防盗报警

6. ECU（Electronic Control Unit，电子控制器单元）

ECU（Electronic Control Unit）电子控制器单元，又称为汽车的“行车电脑”，它们的用途就是控制汽车的行驶状态以及实现其各种功能。主要是利用各种传感器、总线的数据采集与交换，来判断车辆状态以及司机的意图并通过执行器来操控汽车。

电控单元的功用是根据其内存的程序和数据对空气流量计及各种传感器输入的信息进行运算、处理、判断，然后输出指令，向喷油器提供一定宽度的电脉冲信号以控制喷油量。电控单元由微型计算机、输入、输出及控制电路等组成

常见的ECU：

EMS（Engine Mangement System）发动机管理系统，应用在包括汽油机PFI（如上图）、GDI，柴油机，混合动力系统等，主要控制发动机的喷油、点火、扭矩分配等功能。

TCU（Transmision Control Unit）自动变速箱控制单元，常用于AMT、AT、DCT、CVT等自动变速器中，根据车辆的驾驶状态采用不同的档位策略

0x09 CAN总线通信协议

9.1 CAN查找小技巧

1. 在通过电缆搜索时很容易找到 CAN，因为它的静止电压为 2.5V。当一个信号进来时，它会增加或减少 1V（3.5V 或 1.5V）。CAN 线穿过车辆并连接 ECU 和其他传感器，而且它们总是双线对。如果接上万用表并检查车辆中电线的电压，会发现它们会静止在 2.5V 或波动 1V。如果发现以 2.5V 传输的电线，则几乎可以肯定它是 CAN
   
2. 用万用表去测终端电阻，查找有60Ω的电阻端口，这个端口就可能是can端口

9.2 CAN总线

CAN 在两条线上运行：CAN 高 (CANH) 和 CAN 低 (CANL)。CAN 使用差分信号，这意味着当信号进入时，CAN 提高一条线路上的电压，而另一条线路上的电压下降等量。差分信号用于必须对噪声具有容错能力的环境中，例如在汽车系统和制造中。

如图，显示了使用 PicoScope 捕获的信号，它同时监听 CANH（图形顶部的深色线）和 CANL（图形底部的浅色线）。请注意，当一个位在 CAN 总线上传输时，信号将同时广播 1V 高和低。传感器和 ECU 有一个收发器，可以检查以确保触发两个信号；如果不是，收发器将拒绝作为噪声的数据包。

9.3 OBD-II连接器

许多车辆都配备了 OBD-II 连接器，也称为诊断链路连接器 (DLC)，可与车辆的内部网络进行通信，常会在转向柱下方或仪表板上其他位置相对容易接近的位置找到此连接器：

9.4 CAN总线数据包布局

标准数据包和扩展数据包，扩展包类似于标准包，但有更大的空间来保存 ID。

标准数据包

每个CAN总线数据包包含四个关键元素：

• 仲裁 ID，仲裁 ID 是一种广播消息，用于标识尝试通信的设备的 ID，但任何一个设备都可以发送多个仲裁 ID。如果同时沿总线发送两个 CAN 数据包，则仲裁 ID 较低的一方获胜。
• 标识符扩展（IDE），对于标准 CAN，该位始终为 0。
• 数据长度代码（DLC），是数据的大学，范围从0到8个字节
• 数据，这是数据本身。标准 CAN 总线数据包携带的数据的最大大小可达 8 字节，但有些系统通过填充数据包来强制使用 8 字节。
  

扩展包

扩展包类似于标准包，不同之处在于它们可以链接在一起以创建更长的 ID。扩展数据包旨在适应标准 CAN 格式，以保持向后兼容性。因此，如果传感器不支持扩展数据包，即使另一个数据包在同一网络上传输扩展 CAN 数据包，它也不会中断。

标准包在标志的使用上也不同于扩展包。查看网络转储中的扩展数据包时，会发现与标准数据包不同，扩展数据包使用替代远程请求 (SRR) 代替远程传输请求 (RTR)，其中 SSR 设置为 1。它们还将具有IDE 设置为 1，它们的数据包将有一个 18 位标识符，这是标准 11 位标识符的第二部分。还有一些特定于某些制造商的附加 CAN 式协议，并且它们也以与扩展 CAN 大致相同的方式向后兼容标准 CAN。

参考链接

• https://zhuanlan.zhihu.com/p/367856446

原文始发于IOTsec-Zone（zebra）：车联网安全基础（下）