滑铁卢大学研究团队排查卡车网络安全薄弱点

滑铁卢大学的 Sebastian Fischmeister 教授正利用一辆卡车研究网络攻击如何渗透商用车辆，以及行业如何在入侵危及关键车载系统之前就发现它。

这辆卡车是一项更大规模车辆安全研究项目的一部分，参与方包括加拿大交通部、Challenger Motor Freight、Geotab、汽车零部件制造商协会，以及欧洲企业 EVList（专注于内燃机与网络安全）。Challenger 为研究人员提供了正在使用的那辆 Peterbilt 卡车。

Fischmeister 的团队从多个角度研究车辆网络安全，包括潜在入侵入口、入侵检测、零部件真实性，以及如何识别卡车内部流转的电子信号是否真的来自其所声称的部件。

与仅依赖实验室环境相比，使用真实卡车让研究人员得以接触一项极为有用的东西：在重型车辆中广泛使用的 SAE J1939 通信标准。

Fischmeister 表示，乘用车往往采用高度专有的电子架构，使研究人员难以精确理解各部件如何通信。相比之下，J1939 为研究人员提供了一种开放标准，可用于解码报文并构建车辆网络内部状态的模型。

这种访问权限非常重要，因为被研究的领域之一是控制器局域网（CAN 总线），它让车辆各处电子控制单元得以通信。

根本性弱点

而且它存在一个根本性弱点。

“弱点在于 CAN 总线协议不具备发送方认证，”Fischmeister 说。

简而言之，连接到网络的某个部件可能假扮成另一个部件发送报文。CAN 总线本身也不对这些通信进行加密。

一旦有人接入车辆网络，Fischmeister 表示，这种冒充其他电子控制单元的能力就可能引发更严重的问题。

“如果你有线控刹车、有线控驱动（比如加速），是的，它们都是 CAN 总线上的报文，”他说。

因此，该研究不仅关注如何防止未经授权的访问，也关注如何检测网络内部已经发生的异常。

用电力检测未授权访问

Fischmeister 团队开发的一种方法利用了电力特征。

电子部件在运行和发送报文时会产生可识别的功耗模式。研究人员正在研究这些模式能否用作网络安全的“指纹”。

如果某个电子控制单元声称发送了某条报文，系统可以检查它的功耗，判断其物理活动是否与声称相符。若不符，就可能有问题。

Fischmeister 表示，将功耗作为检测恶意活动的旁路信道，是团队的关键创新之一。

研究人员还研究了时序信息。由于电子信号在网络中传输需要可测量的时间，研究人员可借助信号在不同节点的到达时间，大致判断报文来源。

这为判断某条声称来自某控制单元的报文是否实则来自别处，提供了另一种手段。

而一旦检测到威胁，挑战会变得更加复杂。

网络安全的三个阶段

Fischmeister 将网络安全划分为三个宽泛阶段：强化系统抵御攻击、检测入侵，以及在出事后恢复。

对卡车而言，恢复尤其困难，因为传统的 IT 网络安全做法无法简单照搬到安全至上的车辆上。

如果杀毒软件在电脑上发现恶意文件，可以将其隔离；如果企业网络识别出被攻陷的电脑，可以断开该机器。

卡车却未必能这么做。

“你正开着一辆卡车。系统认为你的刹车系统有问题（恶意）。你想把它关掉？不行，”Fischmeister 说。

这种区别构成了车辆、飞机及其他安全关键系统网络安全研究的核心挑战之一：即便系统怀疑出了问题，设备可能仍需安全地继续运行。

误报让问题更难办。

入侵检测系统可能把异常工况误判为攻击证据，而实际上并无恶意。因这类告警自动禁用或限制车辆，本身就可能制造安全隐患。

“如何从你检测到的事件中恢复，仍是一个开放且重大的难题，”Fischmeister 说。

测试电子零部件

他的研究还延伸到卡车内部通信网络之外的车载电子零部件。

车队在采购替换零部件时，往往并不清楚这些部件在何处制造、包含何种固件，或供应链上游是否发生过改动。

“你无法控制它们在何处制造，无法控制它们何时变更，也完全无法控制其上运行的固件，”Fischmeister 说，“但你却要承担随之而来的全部风险。”

他的团队开发了用于扫描零部件真实性与固件漏洞的工具。该技术已通过衍生初创公司 Palitronica 实现商业化，可应用于汽车、航空航天和国防领域。

人工智能也正被用来探测设备弱点，包括开放端口、未公开的指令及其他漏洞。Fischmeister 表示，研究人员曾遇到包含被遗忘调试指令的系统，这些指令可能提供广泛访问权限。

人工智能威胁

这意味着此类测试不再一定需要安全专家逐个手动探测设备。而攻击者也可以使用类似的技术。

对车队而言，Fischmeister 建议从相对熟悉的做法入手：保持固件和软件更新、妥善维护车辆、关注车辆网络安全进展，并确保组织理解新出现的威胁。

但随着卡车增加更多互联功能、驾驶辅助并最终具备自动驾驶能力，这一问题的重要性可能日益上升。

每一个新增的通信接口都引入了一条潜在的入侵路径，尽管 Fischmeister 强调，互联性增强并不自动意味着系统处于危险暴露状态。妥善实施的加密保护及其他安全措施可以管控这些风险。

自动驾驶卡车

然而，自动驾驶卡车引入了另一重维度。

取消驾驶员，意味着取消那个能识别异常并可能介入的人。Fischmeister 表示，未来的网络安全讨论不仅要考虑电子攻击，还要考虑它与物理安全和货物盗窃的关系。

还有一个问题可能不会在这些车辆投用后数年才显现。

Fischmeister 称之为“完全自动驾驶老古董”问题。

商用卡车可在路上行驶多年，而软件开发工具、电子系统和供应商的变化速度要快得多。一辆配备先进驾驶辅助或自动驾驶技术的卡车，在其原始软件平台已过时 10 年或 15 年后仍可能行驶在路上。

为这类系统维持网络安全补丁，可能需要制造商和供应商在生产结束很久之后，仍保留老旧开发工具和专业知识。

“15 年后，谁来修复这些半自动或全自动驾驶卡车的网络安全问题？”Fischmeister 说。

培养研究人员

眼下，他的工作旨在帮助车队在公路上遇到这些问题之前就找到答案。

他的职责包括培养理解网络安全与安全关联的研究人员、开发强化和监测车辆系统的新方法，并将有前景的技术推向商业应用。

“我们研究可用于检测和响应网络事件、并强化现有系统的新防御机制，”Fischmeister 说。

目标不只是找到进入卡车的方法，而是理解如何检测、防御这些开口，并最终将它们从车队未来赖以依存的车辆设计中消除。

卡车人点评

随着国产重卡加速迈向电动化、网联化和高阶辅助驾驶，车载网络与远程升级（OTA）正成为新的攻击面，CAN 总线缺乏发送方认证的天然弱点在国内同样存在。对于运营成千上万辆车的物流车队来说，网络安全不再是 IT 部门的边缘话题，而是直接关系到刹车、转向等关键安全的现实风险。国内主机厂和 Tier1 供应商应尽快把入侵检测、固件真实性校验纳入整车开发流程，车队侧则要把“及时打安全补丁、管控零部件供应链”当成日常运维。文章提到的“自动驾驶老古董”难题也提醒我们：车辆生命周期长达十余年，软件安全维护能力必须跟上硬件销售节奏。