车联网渗透测试

《车联网渗透测试》提供了重要工具来帮助安全从业人员、研究人员和供应商在不牺牲网联汽车连通性的情况下保持其安全性。本书主要内容如下:

电子和远程信息处理单元(ECU和TCU)

渗透测试中HU和TCU的杀戮链

中间人攻击

影响机密性、完整性和可用性的攻击

风险评估、威胁建模和风险处理框架

逆向二进制和静态代码分析

密钥交换和其他密码分析攻击

车载诊断评估

影响通用ECU/TCUHU操作系统平台的漏洞

Alissa Knight在网络安全领域工作了20多年。在过去的10年中，她将漏洞研究的重点放在了为美国、中东、欧洲和亚洲的客户破解网联汽车、嵌入式系统和IoT设备方面。她持续地与世界上一些大的汽车制造商和OEM厂商合作，以制造更安全的网联汽车。

Alissa是Brier & Thorn集团的CEO，也是Knight Ink的管理合伙人。她将黑客技术与文字内容创作和视觉内容创作结合起来，贡献给网络安全领域的参与者和市场领导者。作为一名连续创业者，Alissa曾是Applied Watch和Netstream的CEO。她曾在并购交易中将公司出售给国际市场上的上市公司。

她的职业热情在于会见世界各地的佼佼者们并向他们学习，分享她对重塑全球市场的颠覆性力量的看法。Alissa的长期目标是帮助尽可能多的组织制订和执行其战略计划，并专注于其风险较高的领域，弥合孤岛效应，有效地管理跨组织边界的风险，并使他们能明智地承担风险，以实现长期价值创造。

目    录

第Ⅰ部分  策略、技术和步骤

第1章  前期准备   3

1.1  渗透测试执行标准   4

1.2  范围定义   6

1.2.1  架构   7

1.2.2  完整信息披露   7

1.2.3  版本周期   8

1.2.4  IP地址   8

1.2.5  源代码   8

1.2.6  无线网络   9

1.2.7  开始日期和结束日期   9

1.2.8  硬件唯一序列号   9

1.3  测试规则   10

1.3.1  时间表   11

1.3.2  驻场测试   11

1.4  工作分解结构   12

1.5  文档收集和审查   13

1.6  项目管理   14

1.6.1  构思和发起   16

1.6.2  定义和规划   22

1.6.3  启动或执行   24

1.6.4  绩效/监督   25

1.6.5  项目完结   26

1.7  实验室布置   26

1.7.1  所需的硬件和软件   26

1.7.2  笔记本电脑的设置   29

1.7.3  Rogue BTS方案1：OsmocomBB   30

1.7.4  Rogue BTS方案2：BladeRF + YateBTS   34

1.7.5  设置WiFi Pineapple Tetra   38

1.8  本章小结   39

第2章  情报收集   41

2.1  资产登记表   42

2.2  侦察   44

2.2.1  被动侦察   44

2.2.2  主动侦察   61

2.3  本章小结   64

第3章  威胁建模   67

3.1  STRIDE模型   69

3.1.1  使用STRIDE进行威胁建模   71

3.1.2  攻击树模型   75

3.2  VAST   81

3.3  PASTA   83

3.4  本章小结   91

第4章  漏洞分析   93

4.1  被动和主动分析   94

4.1.1  WiFi   97

4.1.2  蓝牙   108

4.2  本章小结   113

第5章  漏洞利用   115

5.1  创建伪基站   117

5.1.1  配置PC内部网络   117

5.1.2  让伪基站联网   120

5.2  追踪TCU   122

5.2.1  当知道TCU的MSISDN时   122

5.2.2  当知道TCU的IMSI时   123

5.2.3  当不知道TCU的IMSI和MSISDN时   123

5.3  密钥分析   127

5.3.1  加密密钥   128

5.3.2  证书   128

5.3.3  IV   129

5.3.4  初始密钥   131

5.3.5  密钥有效期   131

5.3.6  密钥存储不安全   131

5.3.7  弱证书密码   133

5.3.8  冒充攻击   133

5.3.9  启动脚本   136

5.3.10  后门shell   141

5.4  本章小结   142

第6章  后渗透   143

6.1  持久访问   144

6.1.1  创建反弹shell   144

6.1.2  Linux系统   147

6.1.3  在系统中部署后门   147

6.2  网络嗅探   147

6.3  基础设施分析   149

6.3.1  检查网络接口   149

6.3.2  检查ARP缓存   150

6.3.3  检查DNS   152

6.3.4  检查路由表   153

6.3.5  识别服务   154

6.3.6  模糊测试   155

6.4  文件系统分析   160

6.4.1  历史命令行   160

6.4.2  核心转储文件   161

6.4.3  日志调试文件   161

6.4.4  证书和凭据   161

6.5  OTA升级   162

6.6  本章小结   163

第Ⅱ部分  风险管理

第7章  战略性风险管理   167

7.1  框架   168

7.2  建立风险管理计划   170

7.2.1  SAE J3061   171

7.2.2  ISO/SAE AWI 21434   175

7.2.3  HEAVENS   176

7.3  威胁建模   179

7.3.1  STRIDE   181

7.3.2  PASTA   184

7.3.3  TRIKE   188

7.4  本章小结   190

第8章  风险评估框架   191

8.1  HEAVENS   192

8.1.1  确定威胁级别   192

8.1.2  确定影响级别   195

8.1.3  确定安全级别   199

8.2  EVITA   200

8.3  本章小结   204

第9章  车辆中的PKI   205

9.1  VANET   207

9.1.1  车载单元(OBU)   208

9.1.2  路侧单元(RSU)   208

9.1.3  VANET中的PKI   208

9.1.4  VANET中的应用程序   209

9.1.5  VANET攻击向量   209

9.2  802.11p的兴起   210

9.3  密码技术   210

9.3.1  公钥基础设施   211

9.3.2  V2X PKI   212

9.3.3  IEEE美国标准   213

9.4  证书安全   214

9.4.1  硬件安全模块   214

9.4.2  可信平台模块   214

9.4.3  证书固定   215

9.5  PKI的糟糕实施   216

9.6  本章小结   216

第10章  报告   217

10.1  渗透测试报告   218

10.1.1  摘要   218

10.1.2  执行摘要   219

10.1.3  范围   221

10.1.4  方法   221

10.1.5  限制   223

10.1.6  叙述   224

10.1.7  使用的工具   225

10.1.8  风险等级   226

10.1.9  测试结果   228

10.1.10  缓解措施   230

10.1.11  报告大纲   230

10.2  风险评估报告   232

10.2.1  简介   232

10.2.2  参考资料   233

10.2.3  功能描述   234

10.2.4  HU   234

10.2.5  系统接口   235

10.2.6  威胁建模   236

10.2.7  威胁分析   237

10.2.8  影响评估   238

10.2.9  风险评估   238

10.2.10  安全控制评估   240

10.3  风险评估表示例   243

10.4  本章小结   244

信任——一种使我们人类能了解周围世界的必要情感。这是一种最原始的需求。当我们吃饭时，我们必须相信食物不会毒死我们。味觉和嗅觉的发展，只是为了让我们信任我们的饭菜。我们走路时需要知道下一步不会掉下悬崖，也不会撞上大橡树。所以，我们培养了视力，以免让周围的环境要了我们的命。我们必须信任与我们交往的人。所以，我们培养了自己的猜疑心和幽默感。

信任是我们的生存之道，是我们生活中的必需品。它蕴含在我们每一个有意识和无意识的决定中——每个人都是如此。因此，当我们吃饭、走路、睡觉，甚至开车时，我们必须相信，使我们移动的传感器和系统不会让我们过早地赴死。这也是未来出行的关键。车辆需要被信任。自动驾驶汽车必须赢得我们的信任。虽然自动驾驶技术尚不完美，但人们有可能过度信任该系统。

2016年，第一起自动驾驶汽车死亡事件发生了。车辆驾驶员Joshua Brown相信，他的自动驾驶系统不会允许他的车辆全速撞上半挂车。他的系统运行正常。问题在于，当时的半挂车是白色的，在明亮的天空下，车辆的物体检测算法无法将挂车与周围环境区分开来。不过，该系统的运转确实跟宣传的一样。只是自动驾驶系统并非为应对所有情况而开发，所以用户必须时刻关注路况。本案中用户对系统的信任度太高了。在自动驾驶成功案例的海报频频出现的某个地方，Joshua由于过度信任他的自动驾驶系统而付出了惨重代价。

在不久的将来，下一代自动驾驶汽车将到来，并且这些系统将被宣传为不需要用户干预即可运转的系统。车辆的驾驶员实际上将在系统启动后变成忽略车辆的速度、轨迹或周围环境的乘客。这些系统将需要操作者用生命来信任构成自主驾驶系统的众多电子控制模块、车载网络、数百万行的代码和电子传感器。最重要的是，车载WiFi、远程信息处理控制器和车对车通信等新技术提高了复杂性且扩大了攻击领域。

要确保这些系统不被恶意篡改，需要警惕、机智聪明、有条理、有才华的人才，以保证联网的自动驾驶汽车获得信任。而这正是Alissa Knight的闪光点所在。她是汽车网络安全的坚定支持者。她不仅希望建立一个网络安全工程师社区，还希望确保汽车制造商及其零部件供应商努力保障其软件、硬件和传感器的安全。

我第一次见到Alissa是在德国，她在那里生活和工作就是为了这个目标。在我们第一次见面时，她用一个拥抱迎接我，同时说道：“我是个拥抱者。”直觉上，她明白什么是信任。她知道，拥抱将有助于培养一种纽带，帮助我们为当前和未来的项目共同努力。

Alissa的才华不止于此。她继续致力于讲授和谈论如何保障车辆系统的安全，她在网上讲解如何通过建立和测试蜂窝网络基站来测试远程信息传输系统，并讲授许多其他相关主题的在线课程。

能够认识Alissa Knight，并与她一起进行多个项目，致力于保护汽车电子系统的未来，我深感荣幸。Alissa，我祝愿你出书顺利，并在今后的生活中能有更多的作品。谢谢你的信任和拥抱!

前    言

战略需要思考，战术需要观察。

                                            ——Max Euwe

2002年5月7日，Bennett Todd在一个漏洞开发邮件列表中提到，他在审查无线网络时偶然发现了一个UDP端口，该端口是用来远程调试VxWorks操作系统的，VxWorks是Wind River Systems公司开发的一款实时操作系统(Real-Time Operating System，RTOS)，现已被英特尔收购。他审查的无线网络产品中有一些默认开启了这个端口。Todd还不知道他发现的这个17185 UDP端口会导致一个更广泛的漏洞，将影响到大量运行着VxWorks操作系统的不同网联设备。

2010年8月，在Todd公开他的发现8年后，HD Moore在Defcon第23届大会上，向观众们展示了他在Todd 2002年研究的基础上，针对每一台VxWorks设备进行详尽测试所得到的成果。

在Wind River Systems公司于2010年8月2日发布的漏洞说明中，这个端口被证实为它的WDB目标代理，这是一个在目标中驻留的运行时工具，开发期间主机工具需要通过这个工具与VxWorks系统进行连接。WDB调试代理的访问是不安全的，Moore通过抓取内存漏洞，发现部署VxWorks的系统存在一个巨大的安全漏洞，允许远程攻击者在无需有效凭证的情况下对内存中的数据进行读写。

发现漏洞时，Todd在他的文章中只提到了无线接入点受到的影响，并没有意识到VxWorks是嵌入式系统的实时操作系统，它用途广泛，而不只是被无线接入点使用。Wind River还被用在其他设备中，包括Thales公司的Astute级潜水艇潜望镜、波音AH-64阿帕奇攻击直升机、NASA的Mars Rover，甚至宝马2008年以后生产的车型使用的iDrive系统等，这里仅列举了几个例子。

在病毒学中，一种病毒被引入一个新的宿主物种中，并通过新的宿主种群进行传播的过程，被称为外溢或跨物种传播(Cross-species Transmission，CST)。同样的事情也会发生在信息安全中，目标设备或产品的漏洞被公布，会意外导致病毒外溢到其他产品中。

1996年，德国的Rohde & Schwarz公司开始销售第一款IMSI捕捉器(GA 090)，该捕捉器允许用户强迫身份不明的移动用户传输其SIM卡的IMSI。后来，在1997年，该捕捉器还支持监听用户呼出的电话。

在2001年4月举行的Blackhat Brie?ngs Asia大会上，Emmannuel Gadaix公布了第一个已知的GSM漏洞，通过中间人(Man-In- The-Middle，MITM)攻击和取消注册拒绝服务(Denial of Service，DoS)攻击影响移动电话的使用。

2010年，Karsten Nohl发布了一款名为Kraken的破解工具，以破解用于保护GSM流量的A5/1加密技术，该工具利用彩虹表来破解A5/1加密技术，之后被称为“柏林表”。Nohl的工具后来在同一年被Kristen Paget修改，后者在Defcon 18大会上透露了如何使用伪基站(Base Transceiver Station，BTS)或IMSI捕捉器来拦截移动电话和短信，而根本不需要破解。

今天的网联汽车、自动驾驶车辆的OTA(Over-The-Air，空中下载)更新和其他功能非常依赖与后端的通信。虽然那些关于GSM的漏洞最初是针对移动电话及其用户的，但它们后来导致漏洞外溢到汽车领域中。

Paget在演讲中使用了一个价值约1500美元的通用软件无线电外设(Universal Software Radio Peripheral，USRP)，该设备比之前的GA 090便宜数十万美元，她还提出一个这样的想法：与其通过嗅探GSM电话和短信进行离线破解，不如选择另一个策略。Paget使用手机创建了一个连接到她笔记本电脑的基站，从而能完全禁用A5/1加密，使得离线破解变成了多余的操作。

Paget后来开始为特斯拉工作——无疑是将她之前对移动网络黑客技术的研究应用到了网联汽车的安全问题上。现在她作为一名黑客为Lyft工作。Paget在会议期间观察到，GSM规范本身要求在网络加密(A5/0)功能被禁用时向用户发出警告通知，而该警告在蜂窝网络上被故意禁用，这一点尤其令人震惊，凸显了汽车制造商在其远程通信基础设施方面依赖的手机运营商的系统性问题。

就在2015年举办的DEFCON 23上，Charlie Miller和Chris Valasek演示了对一辆未经改装的乘用车的远程利用，与他们的第一次演示不同的是，这次并不需要物理访问汽车及其诊断接口。Miller和Valasek演示了汽车主机(HU)的一个漏洞，该漏洞允许他们在未经身份验证的情况下与TCP/6667(dbus)进行通信，因而他们可通过连接HU的WiFi热点向主机系统发送指令。更糟的是，由于移动运营商的蜂窝网中的防火墙太弱，他们可通过远程信息处理控制单元(Telematics Control Unit，TCU)的GSM接口访问dbus端口，执行相同的攻击。通过修改从网上下载的固件并重新刷入瑞萨V850微处理器，他们能重新编写微处理器的代码，将CAN消息直接发送至HU所连接的CAN总线，并实际控制汽车，如踩刹车、转动方向盘、熄火、开启雨刷和控制音响。

这是首次公开发布的针对网联汽车的远程黑客攻击。之前公开的利用技术都要求对汽车的OBD-II(调试)接口进行物理访问或连接。

自2015年以来，越来越多的漏洞被公布，这些被利用的漏洞存在于众多品牌和型号的网联汽车的内部组件中，而不仅是HU上。其中一些被利用的漏洞是由于原始设备生产商(Original Equipment Manufacturers，OEM)使用未签名的固件而造成的，未签名的固件允许研究人员在其中植入后门并重新刷入微处理器，之后，研究人员可将数据发送到CAN总线上，从而实现对车辆的物理控制。

这种漏洞外溢的情况不仅影响GSM，还会影响蓝牙、WiFi和汽车OEM厂商们使用的其他嵌入式操作系统。

从现代交通工具的角度来看软件代码的数量，F-35联合攻击战斗机大约需要570万行代码来操作它的系统。如今，高级网联汽车拥有近1亿行代码，运行在汽车整个车内网络中的70～100个基于微处理器的电子控制单元(Electronic Control Units，ECU)上。随着网联汽车和自动驾驶汽车复杂性的提高，根据Frost & Sullivan的估计，在不久的将来，汽车将需要2亿～3亿行代码，而当前召回的汽车中，60%～70%的问题都是由电子故障造成的。

一个无可争议的事实就是，网联汽车和自动驾驶汽车已不再是无法实现的未来，而是今天的现实。2020年，路上行驶的网联汽车和自动驾驶汽车的总数已超过1000万辆。

当然，汽车行业的技术进步无疑将有助于提高效率和增加收入。“追求舒适、便利”的这一代人在成长过程中期待着与电子邮件、网络和社交网络随时连接。KPMG UK估计，从2014年到2030年，自动驾驶汽车可减少2500起重大汽车安全事故；这份大胆的声明得到了本田研发部的美国负责人的支持，他为公司制定了到2040年实现零事故的目标。

虽然许多OEM厂商仍采用CAN总线等众多较旧的技术，但它们已经开始将ECU集成到汽车中，并使用基于以太网的TCP/IP进行通信。需要指出的是，在2015年，一辆汽车中的ECU数量最多约为80个，而今天，由于成本降低和整体重量下降，一辆豪车中ECU的数量可超过150个。

如今我们正处在第三次工业革命中，无人驾驶、自动驾驶汽车正迅速成为现实，而道德黑客/渗透测试人员也越来越重视研究如何识别和利用汽车中的漏洞。

正如Garth Brooks所述，无人驾驶汽车的出现，就像“我们曾经推迟到明天的事情现在变成了今天”。但汽车技术发展中的军备竞赛已经形成新的威胁格局，在这种威胁下，攻击的结果不再局限于被破坏的网站或被盗用的信用卡号码，而是潜在的生命损失。事实上，网联汽车不再仅被看作一堆由内燃机驱动的金属，通过转动曲轴来移动车轮，而黑客对其一无所知。现在，汽车不过是带有轮子的计算机，由多个CPU、嵌入式操作系统和可通过蓝牙、WiFi和GSM进行通信的应用程序组成的技术堆栈，由出价最低的竞标者支付并制造。

......

渗透测试范围文件 用于定义渗透测试范围的模板，其中还包括测试规则

测试规则 定义渗透测试规则的模板。这份文档的最终版本应该由客户签署/执行

RACI图表 定义团队成员在项目中的角色、职责和责任的模板样本

WBS 工作分解结构样本(WBS)，用作项目管理文档包的一部分，定义了分配给项目团队中每个人的工作

项目章程 用作项目管理文档集的一部分。可下载示例项目章程模板，用于管理渗透测试项目

项目进度表 用于管理渗透测试中的重要里程碑和交付日期的示例项目进度表

风险评估表 用于风险评估的风险评估表样本

风险处理计划 进行风险评估时要使用的风险处理计划样本

需要注意的是，这些模板都是我在自己的项目中给客户的真实交付品的衍生品，为了保护客户的匿名性，很多内容都被删除或编辑了。其中的所有内容都可能是缺乏深度的，但读者应该能自己决定如何在项目中“整理和复用”每个模板。

总结

我最初决定踏上撰写《车联网渗透测试》的旅程时，希望将过去10年来对网联汽车进行渗透测试和风险评估的研究内容进行编纂，从而对信息安全和汽车机电一体化的融合产生持久的影响。我相信《车联网渗透测试》将帮助世界各地的OEM制造出更安全、更有保障的客运车辆。我过去10年来有幸在欧洲和亚洲与汽车安全领域知名研究人员合作，他们和我的知识共同奠定了《车联网渗透测试》的基础。

《车联网渗透测试》的初稿经受住了安全从业者和汽车工程师的同行评审，我对《车联网渗透测试》在开创汽车网络安全漏洞研究的新领域中所发挥的作用(无论其作用大小)感到满意。《车联网渗透测试》已被翻译成北美、欧洲和亚洲主要汽车市场的多种语言，并将成为全球主要的OEM厂商关于建立更安全的网联汽车的推荐读物，他们应将其中的隐含知识内化并应用于其中。

最终，《车联网渗透测试》为解决网联汽车网络安全问题而开辟的道路将变成一个学术领域。这套学术研究将以某种方式冲击这个万物互联世界中的专业知识、人员、项目、社区、挑战、探索和研究的极限。

《车联网渗透测试》旨在促进全球网络安全界的讨论，并在世界各地的研究人员的讨论中形成丰富的观点，他们会把这本书和自己从工作中获得的知识结合起来，在此基础上进行讨论。此外，我非常乐观地认为，有一天，我将看到网联汽车网络安全成为漏洞研究人员研究的一个突出领域，并成为希望了解并进入网络安全这一深厚领域的全球安全工程师的一个研究领域。

《车联网渗透测试》所产生的知识体系在某种程度上(无论是赞成还是反对)是非常令人欣慰的，特别是当我看到在这个新的漏洞研究领域里有许多杰出的研究人员(我有幸与他们中的一些人一起工作)实现了我的心愿，即切实影响汽车漏洞研究这个深奥的领域，并为全球的讨论作出贡献。

《车联网渗透测试》试图提供一个丰富的框架，以理解和实施对HU和TCU进行渗透测试、威胁建模和风险评估的步骤，同时理解那些随着时间的推移创建的不同框架的丰富性和异构性。

信息安全从未像现在这样成为汽车制造商的核心议题。《车联网渗透测试》的时效性从未像现在这样强，因为汽车制造商正在努力了解车载网络，该网络以前从未与外界连接，现在却很容易受到威胁，影响到资产的机密性、完整性、可用性和安全性，以及车辆的运行。

事实上，到2020年，道路上的汽车已有1000多万辆是自主驾驶的，因此，网联汽车的网络安全已成为这个时代的永恒主题。

也许《车联网渗透测试》将在网联汽车网络安全领域中，在那些观点截然相反的人之间激起持续讨论和对话，为新制定的标准作出贡献，并使人们认识到在开发阶段将安全纳入系统开发生命周期(System Development Life Cycle，SDLC)的重要性，而不是事后再考虑。

原始设备制造商面临的战略和战术网络安全问题日益普遍并且日趋严重，而且人们重新认识到，有必要确保网络安全不再局限于公司内部IT安全策略的孤岛，而应使其延伸到其连接的产品线。

我怀着谦虚的态度和极大的雄心，将《车联网渗透测试》作为行业的基石，开始在第三次工业革命，即万物互联的物联网中构建更安全的联网设备。

而且，我怀着极大的热情和远见，希望《车联网渗透测试》能在汽车制造商更广泛的生产线中占据一席之地，以推动识别和处理网联汽车中影响人们生命财产安全的IT风险。