2022T-BOX車載信息安全技術(shù)要求和測(cè)試方法

TBOX車載信息安全技術(shù)要求和測(cè)試方法II目 次前 言 II引 言 III范圍 1規(guī)性用件 1術(shù)、義縮語 1語定義 1略語 1總說明 2載TBOX息全要求 2件全 2作統(tǒng)全 2件全 3據(jù)全 3信全 3載TBOX息全方法 3件全 4作統(tǒng)全 5件全 7據(jù)全 8信全 11附錄A資性錄）安全脅目標(biāo) 12參考獻(xiàn) 14PAGEPAGE10車載TBOX信息安全技術(shù)要求范圍TBOX本標(biāo)準(zhǔn)適用于TBOX的研制、生產(chǎn)、測(cè)試、評(píng)估與認(rèn)證。GB/T25069-2010信息安全技術(shù)術(shù)語GB/T35273-2017信息安全技術(shù)個(gè)人信息安全規(guī)范GB/T18336-2015信息技術(shù)安全技術(shù)信息技術(shù)安全性評(píng)估準(zhǔn)則GB/T25069-2010、GB/T35273-2017和GB/T18336-2015界定的術(shù)語和定義適用于本文件。車載端TBOX TelematicsBOXFECUECU移動(dòng)聯(lián) mobilecommunication采用無線通信技術(shù)將移動(dòng)終端接入有線網(wǎng)絡(luò)的過程。CAN線 CANbusCAN總線是ISO國(guó)際標(biāo)準(zhǔn)化\h的串行通信協(xié)議?？s略語CAN控制器局域網(wǎng)絡(luò)ControllerAreaNetworkCNNVD中國(guó)國(guó)家信息安全漏洞庫(kù)ChinaNationalVulnerabilityDatabaseofInformationSecurityCNVD國(guó)家信息安全漏洞共享平臺(tái)ChinaNationalVulnerabilityDatabaseECU電子控制單元ElectronicControlUnitIP網(wǎng)絡(luò)互聯(lián)的協(xié)議InternetprotocolIVI車載信息娛樂系統(tǒng)In-VehicleInfotainmentMCU微控制單元MicrocontrollerUnitTBOX車聯(lián)網(wǎng)盒子TelematicsBOXTOE評(píng)估對(duì)象TargetofEvaluationTSP車聯(lián)網(wǎng)服務(wù)平臺(tái)TelematicsServiceProvider車載TBOXTBOXCANTSPPCAppPCTBOX，CANCAN車載網(wǎng)關(guān)CAN車載網(wǎng)關(guān)汽車TBOXTBOXCANTCP/IPTSP平臺(tái)通信模塊TBOXMCUPC端圖1TBOX結(jié)構(gòu)與邏輯示意圖TBOX硬件安全應(yīng)滿足如下要求：操作系統(tǒng)安全應(yīng)滿足如下要求：CNVDCNNVD6USDCANCAN如USB、SD如TBOX支持安裝軟件或配套軟件，則軟件安全應(yīng)滿足如下要求：CNVDCNNVD6數(shù)據(jù)安全應(yīng)滿足如下要求：通信安全應(yīng)滿足如下要求：CAN應(yīng)明確定義與CANTBOX測(cè)試編號(hào)6.1.1測(cè)試項(xiàng)目主芯片具備防拆保護(hù)措施，包括但不限于開蓋檢測(cè)、拆機(jī)告警等方式項(xiàng)目要求見5.1a)測(cè)試條件TBOX設(shè)備外觀完好測(cè)試步驟步驟1：使用拆解工具對(duì)TBOX進(jìn)行拆解；步驟2：觀察檢查其是否出現(xiàn)報(bào)警、自毀等現(xiàn)象。預(yù)期結(jié)果在步驟2測(cè)試編號(hào)6.1.2測(cè)試項(xiàng)目設(shè)備如開放調(diào)試接口的應(yīng)在上市前進(jìn)行禁用或采用安全調(diào)試模式項(xiàng)目要求見5.1b)測(cè)試條件車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1/JTAG步驟2：如存在開放接口，測(cè)試其是否采用安全調(diào)試模式。預(yù)期結(jié)果2測(cè)試編號(hào)6.1.3測(cè)試項(xiàng)目具備足夠的安全機(jī)制保證密鑰的產(chǎn)生、分發(fā)、存儲(chǔ)和銷毀過程的安全性項(xiàng)目要求見5.1c)測(cè)試條件提供密鑰管理的相關(guān)文檔測(cè)試步驟步驟1：審查廠商提供的文檔，判斷密鑰生成的安全性，檢查根密鑰的隨機(jī)數(shù)熵值；步驟2：檢查密鑰分發(fā)、存儲(chǔ)和銷毀的方式，評(píng)估密鑰安全風(fēng)險(xiǎn)。預(yù)期結(jié)果在步驟12測(cè)試編號(hào)6.1.4測(cè)試項(xiàng)目解項(xiàng)目要求見5.1d)測(cè)試條件提供加密方案實(shí)現(xiàn)的文檔，提交供硬件物理攻擊測(cè)試的電路板測(cè)試步驟步驟1：參考廠商提供的文檔，使用工具對(duì)加密運(yùn)算的過程進(jìn)行側(cè)信息收集或故障注入攻擊；步驟2：利用分析工具對(duì)測(cè)試電路板進(jìn)行相應(yīng)的密碼安全性分析；步驟3：得到密鑰安全性分析的結(jié)果。預(yù)期結(jié)果在步驟3測(cè)試編號(hào)6.2.1測(cè)試項(xiàng)目應(yīng)支持安全啟動(dòng)機(jī)制，對(duì)引導(dǎo)程序或固件等進(jìn)行有效性驗(yàn)證，只有通過驗(yàn)證的才能執(zhí)行項(xiàng)目要求見5.2a)測(cè)試條件車載TBOX處于正常工作狀態(tài)，提供引導(dǎo)程序或固件文件測(cè)試步驟步驟1：檢測(cè)系統(tǒng)是否開啟安全啟動(dòng)模式；步驟2：使用無簽名的固件進(jìn)行燒寫，測(cè)試是否能夠正常啟動(dòng)；步驟3：使用有簽名的固件進(jìn)行燒寫，測(cè)試是否能夠正常啟動(dòng)。預(yù)期結(jié)果在步驟23測(cè)試編號(hào)6.2.2測(cè)試項(xiàng)目敗后，操作系統(tǒng)能有效恢復(fù)至升級(jí)前的正常工作狀態(tài)項(xiàng)目要求見5.2b)測(cè)試條件提供升級(jí)文件，車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1級(jí)，檢查設(shè)備是否能恢復(fù)到正常工作狀態(tài)。預(yù)期結(jié)果在步驟1在步驟2測(cè)試編號(hào)6.2.3測(cè)試項(xiàng)目操作系統(tǒng)不應(yīng)含有CNVD與CNNVD6個(gè)月前公布的高危漏洞項(xiàng)目要求見5.2c）測(cè)試條件車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1：分析已公布的與操作系統(tǒng)相關(guān)的高危漏洞；步驟2：利用相關(guān)工具、腳本對(duì)設(shè)備進(jìn)行測(cè)試。預(yù)期結(jié)果在步驟2測(cè)試編號(hào)6.2.4測(cè)試項(xiàng)目非授權(quán)訪問項(xiàng)目要求見5.2d）測(cè)試條件車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1：檢查操作系統(tǒng)的和日志的上傳策略；步驟2：檢查日志是否記錄事件主體、發(fā)生時(shí)間、事件類型和是否成功等要素，并能按照策略上傳至服務(wù)器。預(yù)期結(jié)果在步驟2測(cè)試編號(hào)6.2.5測(cè)試項(xiàng)目應(yīng)定義并限制外圍存儲(chǔ)介質(zhì)（如U盤、SD卡等）上可讀取和可執(zhí)行的文件類型，避免來自外圍儲(chǔ)存介質(zhì)的惡意攻擊項(xiàng)目要求見5.2e)測(cè)試條件車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1：檢查外圍存儲(chǔ)介質(zhì)的可讀取和可執(zhí)行的文件類型。預(yù)期結(jié)果1測(cè)試編號(hào)6.2.6測(cè)試項(xiàng)目CANCANUSBSD隔離項(xiàng)目要求見5.2f）測(cè)試條件車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1：檢查CAN總線控制器是否具備安全控制功能；步驟2：檢查內(nèi)網(wǎng)CAN總線與對(duì)外接口是否隔離。預(yù)期結(jié)果在步驟1在步驟2測(cè)試編號(hào)6.3.1測(cè)試項(xiàng)目應(yīng)采用簽名認(rèn)證機(jī)制，未經(jīng)簽名的應(yīng)用軟件僅當(dāng)用戶確認(rèn)后才能執(zhí)行下一步操作項(xiàng)目要求見5.3a）測(cè)試條件提供應(yīng)用軟件列表，應(yīng)用軟件在車載TBOX上正常運(yùn)行測(cè)試步驟步驟1：使用簽名分析工具對(duì)列表中的應(yīng)用軟件進(jìn)行簽名檢查；步驟2：嘗試安裝未簽名的應(yīng)用，檢測(cè)安裝過程是否提示并告知風(fēng)險(xiǎn)；步驟3：運(yùn)行未簽名的應(yīng)用，檢測(cè)是否經(jīng)過用戶確認(rèn)后才執(zhí)行下一步操作。預(yù)期結(jié)果在步驟123測(cè)試編號(hào)6.3.2測(cè)試項(xiàng)目不應(yīng)非授權(quán)收集、傳輸用戶敏感信息項(xiàng)目要求見5.3b）測(cè)試條件提供應(yīng)用軟件列表，應(yīng)用軟件在車載TBOX上正常運(yùn)行測(cè)試步驟步驟1：調(diào)用應(yīng)用軟件的敏感功能；步驟2：檢查其是否符合“可知可控”原則。預(yù)期結(jié)果2測(cè)試編號(hào)6.3.3測(cè)試項(xiàng)目應(yīng)具備代碼混淆、加殼等安全措施，防止被逆向攻擊項(xiàng)目要求見5.3c）測(cè)試條件提供應(yīng)用軟件列表，應(yīng)用軟件在車載TBOX上正常運(yùn)行測(cè)試步驟步驟1：使用工具對(duì)應(yīng)用軟件進(jìn)行逆向分析；步驟2：檢測(cè)其是否具備代碼混淆、加殼等措施。預(yù)期結(jié)果在步驟2測(cè)試編號(hào)6.3.4測(cè)試項(xiàng)目應(yīng)采取訪問控制機(jī)制，防止對(duì)系統(tǒng)資源和其他軟件的非授權(quán)訪問項(xiàng)目要求見5.3d）測(cè)試條件提供應(yīng)用軟件列表，應(yīng)用軟件在車載TBOX上正常運(yùn)行測(cè)試步驟步驟1：檢查應(yīng)用軟件的訪問控制機(jī)制；步驟2：嘗試?yán)@過訪問機(jī)制，訪問系統(tǒng)資源和其他軟件。預(yù)期結(jié)果在步驟2測(cè)試編號(hào)6.3.5測(cè)試項(xiàng)目應(yīng)用軟件不應(yīng)含有CNVD與CNNVD6個(gè)月前公布的高危漏洞項(xiàng)目要求見5.3e）測(cè)試條件車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1：分析已公布的與應(yīng)用軟件相關(guān)的高危漏洞；步驟2：利用相關(guān)工具、腳本對(duì)設(shè)備進(jìn)行測(cè)試。預(yù)期結(jié)果在步驟2測(cè)試編號(hào)6.3.6測(cè)試項(xiàng)目應(yīng)具有記錄應(yīng)用狀態(tài)及使用情況的日志功能，并支持上傳和集中管理項(xiàng)目要求見5.3f）測(cè)試條件車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1：檢查應(yīng)用軟件的日志；步驟2：檢查日志中是否記錄應(yīng)用狀態(tài)和使用情況。預(yù)期結(jié)果在步驟2測(cè)試編號(hào)6.4.1測(cè)試項(xiàng)目項(xiàng)目要求見5.4a）測(cè)試條件提供設(shè)備采集用戶數(shù)據(jù)的說明文檔測(cè)試步驟步驟1：審閱廠家提供的文檔，判斷其是否明確告知采集用戶數(shù)據(jù)的內(nèi)容、業(yè)務(wù)用途等內(nèi)容；步驟2：檢測(cè)設(shè)備運(yùn)行中實(shí)際采集用戶數(shù)據(jù)情況是否與說明文檔一致。預(yù)期結(jié)果1在步驟2測(cè)試編號(hào)6.4.2測(cè)試項(xiàng)目項(xiàng)目要求見5.4b）測(cè)試條件對(duì)重要數(shù)據(jù)加密方式的相應(yīng)說明文檔測(cè)試步驟步驟1：嘗試以非授權(quán)的身份訪問重要數(shù)據(jù)；步驟預(yù)期結(jié)果在步驟123測(cè)試編號(hào)6.4.3測(cè)試項(xiàng)目安全運(yùn)行環(huán)境應(yīng)提供可靠的時(shí)間戳服務(wù)項(xiàng)目要求見5.4c)測(cè)試條件提供有關(guān)時(shí)間戳的說明文檔測(cè)試步驟步驟1：審查廠家提供的時(shí)間戳的說明文檔，檢查其時(shí)間戳方案是否合理。預(yù)期結(jié)果在步驟1測(cè)試編號(hào)6.4.4測(cè)試項(xiàng)目項(xiàng)目要求見5.4d）測(cè)試條件提供安全運(yùn)行環(huán)境對(duì)資源的保護(hù)方案測(cè)試步驟步驟1：審查廠家提供的保護(hù)方案，檢查其方案能否覆蓋隨機(jī)數(shù)源、內(nèi)存、緩沖區(qū)和終端資源等；步驟2：檢查安全運(yùn)行環(huán)境是否具備抵抗惡意代碼訪問受保護(hù)資源的能力。預(yù)期結(jié)果在步驟12測(cè)試編號(hào)6.4.5測(cè)試項(xiàng)目數(shù)據(jù)的傳輸應(yīng)進(jìn)行完整性保護(hù)，防止數(shù)據(jù)被篡改和偽造項(xiàng)目要求見5.4e）測(cè)試條件提供數(shù)據(jù)傳輸完整性保護(hù)方案測(cè)試步驟步驟1：審查廠商提供的數(shù)據(jù)傳輸完整性保護(hù)方案；步驟2：使用篡改、偽造等方式實(shí)施攻擊，檢測(cè)是否攻擊成功。預(yù)期結(jié)果在步驟1在步驟2測(cè)試編號(hào)6.4.6測(cè)試項(xiàng)目具備徹底刪除的能力，數(shù)據(jù)被刪除后不可被恢復(fù)、重新使用或訪問項(xiàng)目要求見5.4f）測(cè)試條件車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1：對(duì)選定數(shù)據(jù)執(zhí)行刪除操作；步驟2：嘗試恢復(fù)、使用或訪問被步驟1中刪除的數(shù)據(jù)。預(yù)期結(jié)果2測(cè)試編號(hào)6.5.1測(cè)試項(xiàng)目應(yīng)具備對(duì)通信數(shù)據(jù)的消息校驗(yàn)和認(rèn)證機(jī)制，防止攻擊者偽造、篡改信息項(xiàng)目要求見5.5a）測(cè)試條件車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1：修改通信數(shù)據(jù)的內(nèi)容，并重新計(jì)算消息校驗(yàn)值；步驟2：使用非授權(quán)的身份對(duì)步驟1后的數(shù)據(jù)進(jìn)行訪問；步驟3：使用授權(quán)的身份對(duì)步驟1后的數(shù)據(jù)進(jìn)行訪問。預(yù)期結(jié)果在步驟2在步驟3測(cè)試編號(hào)6.5.2測(cè)試項(xiàng)目應(yīng)采用控制策略避免大量集中地向CAN總線發(fā)送數(shù)據(jù)包，以避免造成總線擁塞和拒絕服務(wù)項(xiàng)目要求見5.5b）測(cè)試條件車載TBOX處于正常工作狀態(tài)測(cè)試步驟步驟1：審查廠家提供的控制策略文檔，應(yīng)能避免造成總線擁塞和拒絕服務(wù)。預(yù)期結(jié)果1測(cè)試編號(hào)6.5.3測(cè)試項(xiàng)目應(yīng)明確定義與CAN總線的通信功能，且僅包含業(yè)務(wù)相關(guān)功能，不應(yīng)使用透?jìng)鞴δ茼?xiàng)目要求見5.5c）測(cè)試條件