Cruise：如何设定自动驾驶车型的安全优先级？

C&C的专长是实施远程攻击并获取车辆系统的物理控制权。基于自身经验加上借鉴其他团队的研究成果，他们为Cruise自动驾驶车型设计了一套防护策略，战略性地利用现有资源，有针对性地提升关键攻击难度。

2015年，Chris Valasek和Charlie Miller（自称C&C组合）成功入侵某友商车型，在黑客圈一战成名。后来他们被通用汽车旗下自动驾驶技术公司Cruise收入麾下，主导建立了Cruise的安全团队。近期，他们透露了设定自动驾驶车型安全优先级的方法和思路。

C&C在加入Cruise十几个月时间里，他们最重要的任务是打造有史以来最安全的车型（注：这里的“安全secure”指的是系统安全）。最近几个论坛上频频出现的话题就是安全，包括27日的Auto-E2019中国汽车技术青年学者论坛上，国家市场监管总局缺陷产品管理中心肖凌云博士就自动驾驶汽车安全问题，展开广泛的讨论。那么面对自动驾驶汽车集成的大量硬件和软件系统，面对这些可能存在的bug，面对搭载的数百万行代码，面对没有方向盘和制动踏板的自动驾驶车辆，自动驾驶安全如何保证？而就职于Cruise的C&C又是如何设定自动驾驶安全项目优先级的呢？


背景阅读
Cruise自动驾驶车型与外界的沟通方式

首先，要先了解Cruise自动驾驶车型与外界的沟通方式，才能更好的理解他们自动驾驶安全优先级设定。

每辆Cruise自动驾驶汽车都会配备一个通信电子控制单元（electronic control unit简称ECU），负责与内部的基础设施实现通信。该通信电子控制单元ECU同时也与车辆的主计算机模块保持通信，该计算机模块就像是自动驾驶车型的「大脑」。

对于安全从业者来说，这样的结构关系看上去可能有点惊人，但C&C设计的多层级安全控制机制能够有效降低持续入侵和获取车辆物理控制权的可能性。

网络层面，他们使用专有的APNs和IPSec通道。并且，他们的自动驾驶系统底层架构可以确保即便外部攻击者能够看到他们的信息流，也仍然可以保证车辆处于安全状态。

现实威胁模型Realistic Threat Model

C&C的专长是实施远程攻击并获取车辆系统的物理控制权。基于自身经验加上借鉴其他团队的研究成果，他们为Cruise自动驾驶车型设计了一套防护策略，战略性地利用现有资源，有针对性地提升关键攻击难度。

此文章将从以下三个方面，详解分析。第一，哪些攻击类型的影响和规模级别最高？第二，执行这些攻击的难易程度如何？第三，不同攻击类型可能对自动驾驶车辆的物理控制产生何种影响？

C&C判断当下的工作重点是那些可能获取车辆物理控制权的远程攻击上。更具体来说，他们会着重防御那些可以远距离实施的攻击类型，因为它们的影响范围可能扩展到整个车队。

主动防御

首先，他们会确保车辆只建立出站链接（Outbound connections），也就是说Cruise自动驾驶系统只会主动发起与外界建立链接，而不会对入站链接（Inbound connections）做出响应。同时，他们还移除了包括蓝牙和Wi-Fi在内可能成为潜在攻击对象的车载功能。

通过减少可能遭受攻击的代码数量，他们消除了对潜在恶意入站数据代码固有风险的担忧，提升了自动驾驶车型的整体安全等级。如果后期在投放应用时仍需搭载蓝牙和Wi-Fi，他们会为这些功能构建独立的网络和设备。

除此之外，他们采用的安全启动（和更新）机制以及只读文件系统能够确保通信设备抵御那些成功发起的外部攻击。过往的黑客职业生涯（专黑那些看起来功不可破的系统）教会他们一件事——不可能完全消除网联设备受侵入的风险。然而，当侵入事件发生时，他们必须确保入侵者无法实现持续性攻击。

那么，如何保障自动驾驶车型主计算机模块和车载通信单元之间的通信安全呢？

这个是个好问题。总的来说，自动驾驶车型的主计算机模块默认不信任所有通信电子控制单元（ECU），仅向其开放最基础的权限。即便是他们自己的通信设备，主计算机模块也不允许来自它们的入站通信（inbound communication）。二者间的通信将全部由自动驾驶车型的主计算机模块发起，由此确保通信设备难以向控制车辆的关键模块发出单边指令。

自动驾驶车型的安全不能一刀切，帮助自动驾驶车型抵御外界入侵远不止设置一个防火墙这么简单。事实上，他们会通过分层策略（layered approach）确保以下两件事：

1. 通过蜂窝网络远程侵入他们的车型是及其困难的；
2. 即便发生侵入事件，攻击者也难以获取车辆的实际控制权。
任何针对Cruise自动驾驶车型的攻击都必须绕过他们构建的多层防御机制。

值得一提的是，C&C称，他们时常收到人们转发的关于GPS欺骗干扰（GPS spoofing）或激光雷达欺骗干扰（LIDAR spoofing）的文章，并询问如何确保Cruise自动驾驶车型能够抵御这类攻击。其中不少文章认为由于自动驾驶车型使用了GPS和激光雷达等技术，所以自然成为了这类攻击的高风险对象，可能导致其被截停甚至发生碰撞事故。Cruise表示，这类攻击目前不会影响他们车辆的正常运行，不过，从长远来看，考虑到攻击方式的不断演进，他们将来会把这类攻击列入考虑范围。