日本无码免费高清在线|成人日本在线观看高清|A级片免费视频操逼欧美|全裸美女搞黄色大片网站|免费成人a片视频|久久无码福利成人激情久久|国产视频一二国产在线v|av女主播在线观看|五月激情影音先锋|亚洲一区天堂av

  • 手機站
  • 小程序

    汽車測試網(wǎng)

  • 公眾號

    • 汽車測試網(wǎng)

    • 在線課堂

    • 電車測試

汽車軟件升級（OTA）安全風險案例分析

2021-02-01 23:14:48·  來源：軟件測評中心  
　
OTA作為汽車軟件升級的新型方式，升級流程大致分為：1.企業(yè)推送OTA升級包，車端與OTA云服務(wù)器建立安全連接，一般將待更新的固件傳輸?shù)杰囕v的 T-box（或者其他聯(lián)
OTA作為汽車軟件升級的新型方式，升級流程大致分為：
1.企業(yè)推送OTA升級包，車端與OTA云服務(wù)器建立安全連接，一般將待更新的固件傳輸?shù)杰囕v的 T-box（或者其他聯(lián)網(wǎng)部件），再傳輸給 OTA Manager。
2.OTA Manager管理所有 ECU 的升級過程，它負責將固件分發(fā)到 ECU，并告知 ECU 何時執(zhí)行更新。
3.ECU更新完成后，OTA Manager通過 T-box（或者其他聯(lián)網(wǎng)部件）向云服務(wù)器發(fā)送確認。
汽車軟件升級（OTA）安全風險案例分析
OTA系統(tǒng)參考架構(gòu)

一、OTA常見風險
圖片
OTA安全風險存在于升級的各個流程，常見的安全風險有云服務(wù)器安全風險、傳輸安全風險、通訊協(xié)議安全風險、車端安全風險、升級包篡改風險等。

云服務(wù)器安全風險
OTA云服務(wù)器主要進行升級包制作、軟件管理、策略及任務(wù)管理等。OTA云服務(wù)器與其它云平臺一樣，容易遭受DDoS攻擊、MITC攻擊、跨云攻擊、編排攻擊、加密劫持等，可能導(dǎo)致用戶敏感信息泄露、推送的升級包被篡改、升級策略更改等風險。

傳輸安全風險
OTA云服務(wù)推送軟件升級包到車端的過程，若采用弱認證方式或明文傳輸，容易遭受中間人攻擊、竊聽攻擊等，黑客可進一步獲取升級包進行解析、篡改升級包信息等，可能導(dǎo)致關(guān)鍵信息泄露、代碼業(yè)務(wù)邏輯泄露等風險。

通訊協(xié)議安全風險
云端與車端的通信過程若采用不安全的通信協(xié)議或通信過程不采用認證機制、明文通信等，容易遭受中間人攻擊、竊聽攻擊、重放攻擊、DoS攻擊等，可能導(dǎo)致車端升級信息錯誤、敏感信息泄露、拒絕服務(wù)等風險。

車端安全風險
車端獲取到升級包后會進入升級流程。若引導(dǎo)程序、系統(tǒng)程序、OTA版本號等固定參數(shù)可信驗證策略不安全或缺失，可能導(dǎo)致車端運行惡意系統(tǒng)，造成隱私泄露、財產(chǎn)損失等風險。此外，車端系統(tǒng)出現(xiàn)公開漏洞，若不及時進行修復(fù)，可能導(dǎo)致黑客利用漏洞進行攻擊，造成車輛、財產(chǎn)乃至人身安全風險。

升級包篡改風險
篡改或偽造升級包后發(fā)送到車端，若車端升級流程缺少必要的驗證機制或驗證機制存在漏洞，篡改或偽造的升級包可順利完成升級流程，可達到篡改系統(tǒng)、植入后門等惡意目的。

二、OTA安全測試案例
圖片
本文對OTA升級過程中可能存在的安全風險進行檢測。
（1）通過調(diào)試工具進入到車機系統(tǒng)后，發(fā)現(xiàn)數(shù)據(jù)庫文件存在TSP平臺信息泄露。可以看到OTA升級地址。
汽車軟件升級（OTA）安全風險案例分析2
云平臺信息泄露

（2）對該云平臺嘗試進行滲透。發(fā)現(xiàn)開放某端口，且需要證書進行連接。
汽車軟件升級（OTA）安全風險案例分析3
云平臺滲透

（3）發(fā)現(xiàn)采用了明文MQTT協(xié)議進行傳輸。嘗試接入，發(fā)現(xiàn)可連接并可訂閱相關(guān)消息。
汽車軟件升級（OTA）安全風險案例分析4
通訊協(xié)議抓取

（4）使用漏洞掃描工具對IVI進行漏洞掃描。發(fā)現(xiàn)DHCP服務(wù)器存在檢測漏洞，低危。
汽車軟件升級（OTA）安全風險案例分析5
系統(tǒng)漏洞掃描

（5）篡改升級包，嘗試盡進行本地升級。修改相關(guān)文件關(guān)鍵信息，升級包無法正常啟動。
汽車軟件升級（OTA）安全風險案例分析6
升級包篡改
檢測認證事業(yè)部軟件測評中心長期致力于汽車信息安全測試技術(shù)研究，擁有專業(yè)的信息安全測試團隊，具備完善的汽車信息安全測評體系，能夠幫助企業(yè)及時發(fā)現(xiàn)安全風險，為企業(yè)提供問題解決方案，助力汽車行業(yè)安全水平高質(zhì)量發(fā)展。 
分享到：
 
反對 0 舉報 0 收藏 0 評論 0
滬ICP備11026917號-25