车联网安全技术与标准发展态势前沿报告 -中国通信学会

目录

缩略语 (1)

一、车联网安全研究概述 (3)

二、全球发展态势 (5)

（一）综述 (5)

（二）车联网安全管理系统发展态势 (8)

（三）车联网安全信任锚点模型发展态势 (10)

（四）车联网隐私保护技术发展态势 (12)

（五）车联网安全监管发展态势 (14)

（六）车联网安全标准 (15)

三、我国发展态势 (17)

（一）车联网安全管理系统发展态势 (17)

（二）车联网安全管理系统产业实践 (19)

（三）车联网安全监管 (21)

（四）车联网安全标准 (22)

四、技术预见 (23)

（一）5G车联网安全技术 (23)

（二）车联网与边缘计算融合的安全 (24)

（三）车联网通信设备认证及安全交互技术 (25)

（四）车联网安全管理系统增强技术 (26)

（五）可信计算在车联网中的应用 (27)

（六）基于区块链理念的车联网及安全技术 (27)

五、工程难题 (28)

（一）满足车联网安全需求的安全芯片 (28)

（二）车联网相关的安全算法 (29)

（三）车联网业务管理模式 (30)

六、政策建议 (30)

（一）加强车联网安全总体规划部署和顶层设计 (30)

（二）加快颁布国家车联网安全相关的法律法规和有关政策 (31)

（三）落实责任，加强协作 (31)

（四）推进自主关键技术研发 (31)

参考文献 (31)

缩略语

3GPP The 3rd Generation Partnership Project 第三代合作伙伴项

目

5GAA 5G Automotive Association 5G 汽车协会ADAS Advanced Driver Assistant System 先进驾驶辅助系统C-ITS China ITS industry Alliance 中国智能交通产业

联盟

C-V2X Cellular V2X 基于蜂窝的车联网CA Certificate Authority 认证中心

CCMS C-ITS Security Credential Management System C-ITS安全证书管理系统

CCSA China Communications Standards

Association 中国通信标准化协会

CPA Certificate Policy Authority 证书策略管理机构

CPOC Central Point of Contact 联络中心点

DSRC Direct Short-Range Communication 直接短距离通信ECA Enrolment Certificate Authority 注册证书认证机构ECC Elliptic Curve Cryptography 椭圆曲线密码算法ECTL European Certificate Trust List 欧洲证书信任列表

ETSI European Telecommunications

Standards Institute 欧洲电信标准化协会

GBA Generic Bootstrapping Architecture 通用引导架构GCCF Global Certificate Chain File 全球证书链文件

IEEE Institute of Electrical and Electronics Engineers 电气和电子工程师协会

IP Internet Protocol 互联网协议

IPSec Internet Protocol Security 互联网协议安全

ISO International Standards Organization 国际标准化组织ITS Intelligent Transportation System 智能交通系统

ITU-T International Telecommunication

Union-Telecommunication 国际电信联盟-电信标准化局

LA Linkage Authority 链接认证机构LOP Location Obscurer Proxy 位置模糊处理代理

LTE Long Term Evolution 长期演进

LTE-V2X Long Term Evolution V2X 基于LTE的车联网

NHTSA National Highway Traffic Safety

Administration 美国高速交通安全管理局

OBU On Board Unit 车载单元

PCA Pseudonym Certificate Authority 假名证书认证机构PKI Public Key Infrastructure 公钥基础设施RCA Root Certificate Authority 根证书认证机构RSU Roadside Unit 路侧单元

SAE Society of Automotive Engineers 汽车工程学会

SCMS Subscriber Credential Management

System 签约用户信用状管理系统

TLM Trust List Manager 信任列表管理者TLS Transport Layer Security 传输层安全

V2X Vehicle to Everything 车联网

V2I Vehicle to Infrastructure 车到基础设施

V2N Vehicle to Network 车到网络

V2P Vehicle to Pedestrian 车到人

V2V Vehicle to Vehicle 车到车

WAVE Wireless Access Vehicular

Environment

无线接入车载环境

一、车联网安全研究概述

车联网是以车内网、车际网和车载移动互联网为基础，按照约定的通信协议和数据交互标准，在车与车（V2V）、车与路边设施（V2I）、车与行人（V2P）以及车与网络（V2N）之间进行无线通信和数据交换与共享的网络系统。它通过人—车—路—网之间的实时感知与协同来实现智能交通管理、智能动态信息服务和智能车辆控制的一体化，向用户提供道路安全、交通效率提升和信息娱乐等各类服务，满足人们交通信息消费的需要。

目前，全球范围内普遍接受的V2X（X：车、路、行人以及网络）车联网通信技术主要包括专用短程通信IEEE 802.11p/DSRC （Dedicated Short Range Communication）技术和基于移动蜂窝通信系统的C-V2X（Cellular-V2X）技术。其中C-V2X[2]包括LTE-V2X和NR-V2X，LTE-V2X[3]是大唐最早在2013年提出的概念，并于2017年在3GPP形成国际标准。由于通信标准的持续演进，在产业发展过程中，将基于蜂窝通信的车联网技术统称为C-V2X，涵盖了当前正在研究的新空增强车联网技术，即NR-V2X。与传统网络系统相比，车联网系统有着新的系统组成、新的通信场景，这些在系统安全性及用户隐私保护方面带来了新的需求与挑战。

车联网设备主要包括车联网终端和路侧设备。从车联网终端角度，由于车联网终端集成了导航、移动办公、车辆控制、辅助驾驶等功能，导致车载终端更容易成为黑客攻击的目标，造成信息泄露，车辆失控等重大安全问题。因此车载终端面临着比传统终端更大的安全风险。车载终端存在的多个物理访问接口和无线连接访问接口使车载终端

容易受到欺骗、入侵和控制的安全威胁，同时车载终端本身还存在访问控制风险、固件逆向风险、不安全升级风险、权限滥用风险、系统漏洞暴露风险、应用软件风险和数据篡改和泄露风险。从路侧设备的角度，由于路侧设备是车联网系统的核心单元，它的安全关系到车辆、行人和道路交通的整体安全，主要面临非法接入、运行环境风险、设备漏洞、远程升级风险和部署维护风险。

车联网的通信包括车内系统的通信和车与车、车与路、车与网络等的车联网通信，对于车内系统而言，LTE V2X车载终端是车辆系统中的一个功能节点。而对于LTE V2X车载终端而言，车内系统是LTE V2X车载终端的执行器，包含了车内所有与其交互的电子电气系统。从车联网通信角度，LTE-V2X技术包括蜂窝网通信场景和短距离直连通信场景的通信技术。在蜂窝网通信场景下，LTE V2X车联网继承了传统LTE网络系统面临的安全风险，存在假冒终端、假冒网络、信令/数据窃听和信令/数据篡改/重放等安全风险。在短距离直连通信场景下，LTE V2X系统除了面临假冒网络、信令窃听、信令篡改/重放等安全信令面安全风险外，还面临着虚假信息、假冒终端、信息篡改/重放和隐私泄露等用户面安全风险。从车内通信角度，由于车内系统通过车内网络（如CAN总线网络、车载以太网等）与车载终端相联，使整个车内系统暴露在外部不安全的环境中，车内系统面临假冒节点、接口恶意调用和指令窃听/篡改/重放等风险。

车联网应用主要包括基于云平台的业务应用以及基于PC5/V5接口的直连通信业务应用。基于云平台的应用以蜂窝网通信为基础，继承了“云、管、端”模式现有的安全风险，包括假冒用户、假冒业务服务器、非授权访问、数据安全等。直连通信应用以网络层PC5广

播通道为基础，主要面临伪造/篡改/窃听信息和用户隐私泄露等安全风险。

车联网数据来源广泛、种类众多，各种类型的数据在生成、传输、存储、使用、丢弃或销毁等各个阶段，在终端、网络、业务平台等各个层面均面临非法访问、非法篡改、用户隐私泄露等安全风险。

为了应对上述的安全风险和挑战，车联网系统需要对消息来源进行认证，保证消息的合法性；支持对消息的完整性及抗重放保护，确保消息在传输时不被伪造、篡改、重放；根据业务需求支持对消息的机密性保护，确保消息在传输时不被窃听，防止用户敏感信息泄露；支持对终端真实身份标识及位置信息的隐藏，防止用户隐私泄露。

本报告分析了车联网安全技术和标准在全球的发展态势和我国发展现状，对车联网安全技术与标准发展态势和技术预见进行了预测，探讨了车联网安全在工程建设中的重大难题，提出了技术和产业政策建议。报告内容涉及面广，可作为高校、研究机构以及汽车、交通、通信、互联网、集成电路等行业的技术产业发展参考，也可作为政府部门制定政策的参考。

二、全球发展态势

（一）综述

LTE-V2X是为了支持基本道路安全等车联网业务需求,在蜂窝架构基础上，扩展了终端直连通信特性。3GPP标准组织在现有LTE网络的基础之上引入了V2X控制功能网元，对车联网终端及业务进行管控，并对上层业务提供方提供服务支撑，满足业务需要。在此网络架构下，LTE V2X系统安全分为蜂窝通信场景和直连通信场景的安

全。

蜂窝通信场景下的安全架构（如图1所示）与LTE 的安全架构类似，包括网络接入安全、网络域安全、认证与密钥管理、车联网接入安全、车联网业务能力开放安全、网络安全能力开放、应用层安全和车内系统及接口安全。其中网络接入安全、网络域安全、认证与密钥管理和网络安全能力开放继承了LTE 网络现有安全机制。车联业务接入安全是车联网系统新增的安全域，对于LTE 网络而言属于应用层安全。它在终端与其归属网络的V2X 控制功能之间提供双向认证，对终端身份提供机密性保护；在终端与V2X 控制功能之间对配置数据提供传输时的完整性保护、机密性保护和抗重放保护。车联业务能力开放安全也是车联网系统新增的安全域，保证对上层应用提供LTE V2X 业务能力开放过程中的接入及数据传输安全。它可采取类似于网络域安全的方法来保护，在不同安全域之间采用IPSec 、TLS 等安全机制为业务提供双向认证、加密、完整性保护和抗重放的安全保障。

图1 蜂窝移动通信场景下LTE-V2X 安全架构[5] LTE V2X 业务提供方LTE 接入网服务网络归属环境

V2X 控制功能归属网络车载终端USIM 卡应用

车内

系统

LTE V2X

网联汽车蜂窝网应用层

(1)(1)

(2)

(2)(3)(3)(1)(4)(5)(6)

(6)(6)(8)(7)(4)LTE-Uu

直连通信场景下的LTE-V2X 系统安全架构（如图2所示）包括网络层安全、安全能力支撑、应用层安全、车内系统及接口安全和外部网络域安全。根据3GPP 组织的REL14的规范，终端在网络层不采取任何机制对PC5接口上广播发送的直连通信数据进行安全保护，数据的传输安全完全在应用层V5接口保障。网络层仅提供标识更新机制对用户隐私进行保护。终端通过随机动态改变源端用户层二标识和源IP 地址，防止用户身份标识信息在PC5广播通信的过程中遭到泄露、被攻击者跟踪。网络层向应用层提供安全能力支撑，采取用户标识跨层同步机制确保源端用户层二标识、源IP 地址与应用层标识同步更新，防止由于网络层与应用层用户身份标识更新的不同步，导致用户标识关联信息被攻击者获取，用户隐私信息遭到泄露。

图2 直连通信场景下的LTE-V2X 安全架构[5]

因此对于PC5/V5直连通信接口，LTE V2X 系统主要依靠应用层安全来解决安全风险。

目前，车联网系统在应用层主要考虑采用数字证书的方法实现业务消息的安全保护，相应地系统需要部署CA 基础设施实现数字证书车载终端USIM 卡应用

LTE V2X

网联汽车(1)LTE V2X 终端USIM 卡应用L T E V 2X 网联汽车/R S U /行人(5)交通信号控制系统交通专网(3)(2)

(2)(4)

仅对于RSU 车内

系统

PC5/V5业务云平台公共网络(5)

仅对于

UE 型RSU

全生命周期的管理。通信交互时，车联网终端使用数字证书对将要发送的业务消息进行签名，对所接收到的业务消息进行验签，从而保证消息的完整性以及业务消息来源的合法性。

（二）车联网安全管理系统发展态势

IEEE 1609系列协议是WA VE的高层协议，其中IEEE1609.2定义了WA VE的安全消息格式及处理过程，是一种较为成熟的车联网安全标准，它借鉴了传统PKI系统的体系结构，通过证书链实现终端互信。

车联网证书管理系统中每个模块通过网络交换有效信息，协同工作，共同对外提供安全服务，主要模块有：

?Root CA（根CA，RCA）

RCA是所有CA的管理者，也是可信系统的中心，以分层的方式为下级CA颁发证书。根CA的操作与运行需要在隔离的安全环境中，并且需要确保根CA服务器为离线状态，以防遭遇来自互联网的攻击。

?Enrollment CA（注册CA，ECA）

ECA为终端颁发准入证书，只有获得准入证书的终端设备才可接入系统，并且通过网络申请车联网证书管理系统的其他服务。

?Pseudonym CA（假名CA，PCA）

PCA负责颁发设备的短时匿名证书。设备之间通过匿名证书实现可信的信息交互。

目前美国和欧洲均在IEEE1609.2的基础上根据各自的实际情况和管理需求设计了相应的车联网安全管理系统。

SCMS系统是美国针对V2X应用层安全设计的一套证书管理系

统，包含了证书颁发、证书撤销、终端安全信息收集、数据管理、异常分析等一系列与安全相关的功能，以此确保V2X的安全通讯，其主要结构如图3所示。

图3 SCMS系统架构[20]

CCMS是欧洲针对合作式智能交通设计的一套证书管理系统，主要结构如图4所示。CCMS考虑不同的信任模型，允许一个或多个根CA存在，可以实现单根CA、交叉认证、桥接CA和证书信任列表等多种证书管理模式。

图4 CCMS系统架构[15]

（三）车联网安全信任锚点模型发展态势

在车联网证书管理系统中信任锚点在车联网安全中扮演着非常重要的角色，所有车载终端授权和通信的安全性取决于信任锚的安全性。在车联网证书管理系统中，共同的信任锚点是根证书颁发机构，根节点是车联网中受信任的实体，允许其自己颁发自签名证书。使用车联网证书管理系统的所有设备，以及系统中所有关联的网络功能，都必须通过某种安全手段来建立对根CA的合法性和完整性的信任（即未发生损害）。常用的信任锚点管理机制是保护信任CA列表的可信列表。例如可以作为预配置的一部分，通过安全的初始过程（例如带外证书下载）为车辆OBU提供根CA列表。

美国的SCMS系统有一个管理组件负责对策略和根进行管理，如图5所示。SCMS的根CA管理包括一系列选举人，这些选举人是认可或撤销根CA证书并认可或撤销选举人证书的受信任的设备和组

织。选举人和根CA是信任锚点系统的一部分。此选举人机制可提供针对单点故障风险的保护，由于大多数选举人可以撤销或认可另一个选举人证书或根CA证书，因此SCMS允许采用标准化方式交换系统中的任何CA证书。

SCMS系统使用SCMS管理器来确认根CA的可信度。同时SCMS 管理器还包括策略生成器，负责维护策略文件以及包含所有信任链的全局证书链文件（GCCF）。

图5 美国SCMS系统的可信锚点模型[9]

在欧洲，车联网证书管理系统CCMS使用信任列表管理器（TLM）作为可信锚点，可以认可或撤销根CA，这些根CA放置在欧洲证书信任列表（ECTL）上，并由与TLM相关的CPOC分发，如图6所示。CCMS使用C-ITS证书策略颁发机构（CPA），其作用是任命TLM 并确认TLM可以信任CPA批准运行的根CA。根CA的可信度记录在由TLM签署的欧洲中央信任列表（ECTL）中。