本文目录导读：
车载以太网作为现代汽车内部通信的核心骨干,连接了ADAS（高级驾驶辅助系统）、信息娱乐系统、动力总成控制、网关等关键域，随着车辆从封闭网络走向互联互通（V2X、远程诊断、OTA升级），其面临的安全威胁也急剧增加。
针对车载以太网安全防护，需要从网络架构、通信协议、数据流和硬件节点四个维度构建纵深防御体系，以下是具体的技术方案和实践指南：
核心安全威胁
在谈防护前,先明确车载以太网面临的主要攻击路径：
- 外部渗透：利用T-Box（车载远程通信终端）、信息娱乐系统的Wi-Fi/BT/蜂窝网络接口进入车内网络。
- 物理入侵：通过OBD-II（车载诊断系统）接口、USB接口直接连接车内网络。
- 内部扩散：攻破单一ECU（电子控制单元）后，利用网关未隔离的漏洞横向移动到核心域（如转向、制动）。
- 数据窃取：在数据传输过程中截获未加密的CAN（控制器局域网络）/以太网帧，获取车辆隐私或操控指令。
关键防护架构与实践
网络隔离与分段（架构级防御）
- 域控制器 + 安全网关：将车内网络划分为不同信任域。
- 外部域：信息娱乐、T-Box（低信任度）。
- 动力域/底盘域：ADAS、转向、制动（高信任度）。
- 网关策略：网关必须执行深度包检测，仅允许白名单内的SOME/IP（可扩展服务导向式中间件）服务或DoIP（基于IP的诊断）命令通过，拒绝所有未经授权的跨域访问。
- VLAN/DMAC（虚拟局域网/设备媒体访问控制）：在物理网络层面隔离广播域，防止攻击者使用ARP（地址解析协议）欺骗或广播风暴影响关键域。
通信加密与认证（协议级防御）
- MACsec （媒体访问控制安全，IEEE 802.1AE，强烈推荐）：
- 工作在第2层（链路层），对车载以太网帧进行逐跳加密和完整性校验。
- 优势：对上层协议透明（任何IP/UDP/TCP报文自动加密），硬件加速后延时极低（微秒级），适用ADAS摄像头等高带宽低延时场景。
- IPsec/TLS：
- 适用于第3层（IPsec）或第4层（TLS）。
- 常用于V2X（车用无线通信技术）或远程诊断（DoIP over TLS）场景。
- 局限性：软件开销大，配置复杂，不适合车内大量实时信号传输。
- SOME/IP SRP（可扩展服务导向式中间件安全远程过程调用/服务发现协议）：
- 对服务发现和RPC（远程过程调用）调用进行认证（基于对称/非对称密钥）。
- 防止恶意节点发布虚假服务（如发布一个假的“关闭引擎”服务）。
入侵检测与防御系统（IDS/IPS）
- 车载以太网IDS传感器：
- 部署在网关或中央计算单元的交换机端口上。
- 实时分析SOME/IP、DoIP、AVB（音视频桥接）、TSN（时间敏感网络）流。
- 检测规则实例：
- 异常模式检测：SOME/IP方法调用频率异常（例如每秒数千次请求一个关键服务）。
- 协议异常检测：TCP头标志位非法组合、以太网帧长度违反标准。
- 内容签名检测：检测已知攻击模式的载荷（如sql注入尝试）。
- 行为基线检测：学习正常节点间的通信模式（ABC节点间的通信流量通常在5-10Mbps，若突增至100Mbps且发往异常端口，立即触发告警）。
- 响应机制：
- 自动阻断（IPS）：根据策略自动丢弃来自恶意IP/MAC（媒体访问控制）的数据包，或向交换机下发流表规则隔离攻击端口。
安全启动与硬件信任根（节点级防御）
- HSM/SHE（硬件安全模块/安全硬件扩展）：每个支持以太网的ECU必须集成硬件安全芯片。
存储私钥、执行密钥协商、加解密运算。
- 安全启动链（Secure Boot）：
- ECU上电后,从ROM开始逐级校验Bootloader -> 镜像 -> 应用程序。
- 防止攻击者刷写恶意固件（如安装了后门的以太网驱动）。
- TPM 2.0（可信平台模块）：用于存储平台测量日志（PCR）和远程认证，确保远程的OTA云端可以验证车辆软件的完整性。
车载以太网特有协议栈的防护
| 协议 | 风险点 | 防护措施 |
|---|---|---|
| SOME/IP （服务发现） | 恶意的Offer Service导致路由毒化；Find Service扫描网络拓扑。 |
服务认证：通过CMAC/HMAC认证服务请求。 速率限制：限制每秒Find/Offer消息数量。 |
| DoIP （诊断） | 远程攻击者通过UDP/TCP端口直接进行UDS（统一诊断服务）诊断（如重编程、刷写）。 | TLS加密：强制使用DoIP over TLS。 访问控制：基于源IP、MAC、物理端口限制DoIP访问范围。 会话管理：仅允许授权会话（如跳转VIN码编号）。 |
| AVB/TSN （实时音频视频/时间敏感网络） | 时钟同步（gPTP）攻击破坏时间同步导致ADAS传感器融合失效；流预留（SRP）攻击导致带宽耗尽。 | gPTP完整性：启用IEEE 802.1AS的完整性校验。 带宽监管：在交换机端口上对每个流ID设置64kbps~10Mbps的硬限制，防止恶意节点抢占带宽。 |
| TCP/UDP | SYN Flood；端口扫描；ARP欺骗。 | TCP SYN Cookie （在网关中开启）。 Static ARP （关键节点使用静态ARP表）。 |
开箱即用的技术栈与工具建议
- 芯片级支持：NXP S32G系列、Infineon TC4xx系列、Renesas R-Car S4均内置了MACsec引擎和HSM。
- 交换机级支持：Marvell 88Q系列、博通BCM895xx系列，它们支持硬件IDS规则卸载及ACL（访问控制列表）。
- 软件栈：
- AUTOSAR Adaptive：底层堆栈通常包含SecOC（安全车载通信）、E2E（端到端通信保护）和Idsm（入侵检测安全模块）实现。
- AUTOSAR Classic：通常用于网关，集成了CAN/LIN/以太网的安全通讯功能。
- 开源方案参考：wolfSSL （TLS/MACsec加速） 和 libpcap （用于抓包异常的以太网IDS传感器原型开发）。
当前标准体系
- ISO 21434 （道路车辆网络安全工程）：定义了开发流程（从TARA（威胁分析与风险评估）到验证）。
- UN R155 （联合国欧洲经济委员会第155号法规）：强制性法规，要求OEM必须部署CSMS（网络安全管理体系）并接受认证，包含生产后的安全监控与响应。
- SAE J3061：信息物理系统网络安全指南（基础标准）。
- IEEE 802.1Qci：TAS（时间感知整形）与流过滤，防止恶意流量破坏TSN时间窗口。
常见误区与避坑建议
- 误区： 车载以太网用IPsec就够了。
- 纠正： IPsec对低延迟应用（如ADAS摄像头帧流）影响巨大。推荐在这些高带宽、低延迟路径上使用MACsec，而对于远程管理或诊断使用TLS/IPsec。
- 误区： 网关是高性能的通用服务器，所以使用全白名单防火墙即可。
- 纠正： 车辆网络动态变化（节点唤醒/休眠），硬编码防火墙规则容易被绕过，应配合行为分析，绑定硬件的物理端口（Port）和预期的服务（SOME/IP Service），比纯IP防火墙更可靠。
- 误区： 所有ECU都必须加密。
- 纠正： 加密会引入延迟和计算开销，通常对恶意攻击影响安全的关键信号（如刹车踏板位置、转向角、OBD（车载诊断系统）写入）进行加密和认证，对于娱乐音视频流，仅做完整性校验（MAC）而不加密，以节省性能。
总结建议： 对于当前的车载以太网项目，建议的最小可行安全集是：
- 硬件级：所有节点支持安全启动和HSM。
- 网络级：外部域与内部域之间使用安全网关，关键跨域通信使用MACsec。
- 检测级：在网关部署轻量级IDS，至少能检测SOME/IP异常和ARP攻击。
- 流程级：所有功能更新必须通过OT（操作技术）a平台认证签名，并启用DoIP的TLS（安全传输层协议）。
如果需要针对某个具体组件（如SOME/IP的安全配置、MACsec密钥管理）的详细实施方案，可以继续探讨。
