开源的汽车OTA框架Uptane的探索-电子发烧友网

Uptane:Securing Software Updates for Automobiles，uptane是专门为汽车领域制定的OTA标准，安全等级非常高。可以更好的包含汽车OTA的时候不被黑客攻击。

2022 年 10 月 13 日，Uptane 举办了与 escar Europe 2022 相关的免费线上行业会议。Uptane是一种开放和安全的软件更新框架设计，可保护通过无线方式交付的软件汽车电子控制单元（ECU）。该框架可防止恶意行为者，他们可以入侵用于签名和传递更新的服务器和网络。有多种不同的免费开源和闭源实现可用。Uptane被集成到汽车级Linux中，目前被许多大型OEM使用的开源系统，也被许多美国和国际制造商采用。

Uptane于2016年由纽约大学，UMTRI，SwRI和汽车行业专家合作创建。它是在美国国土安全部的资助下作为开源框架开发的。它扩展了许多生产软件更新系统中使用的更新框架。2018年7月，Uptane的正式标准化在一个名为Uptane的非营利财团下开始。Uptane设计和实施标准1.0版提供了框架安全设计和实施的程序，于2019年7月31日在IEEE/ISTO联合会的主持下发布。现在的倡议继续作为 Linux 基金会联合开发基金会项目，2021 年发布了 1.1.0 和1.2.0版本。最新版本 2.0.0于 2022 年 3 月发布。建议的部署策略正在积极制定中，并在本网站上发布和定期更新。

Uptane框架是TUF在汽车整车领域的衍生品，由美国国土安全部支持，属于Linux基金会联合研发基金项目。逐步被整合进AGL（Automotive Grade Linux）、COVESA（Connected Vehicle Systems Alliance）等项目中去。为该框架做出贡献的除了纽约大学等以外有诸多知名厂商。

Uptane脱胎于TUF框架（TUF（The Update Framework）框架帮助开发人员保护新的或现有的软件更新系统，这些系统通常被认为容易受到许多攻击。TUF 通过提供全面，灵活的安全框架来解决这个广泛的问题，让开发人员可以与任何软件更新系统集成。），并对汽车整车环境进行了适应。纵观TUF的设计，它包含了以下4个理念：信任分离、签名阈值、显式和隐式密钥废止机制以及关键密钥离线保护。在保留以上4个设计理念的基础上，Uptane增加了4项关键设计，以适应整车OTA过程中的客户端异构，资源有限及ECU之间无可信通信机制。

Uptane 框架所具有的主要抵御机制有以下四条。

第一，使用额外的存储空间从无休止的数据攻击中恢复。黑客会对于ECU执行无休止的数据攻击。然而，ECU往往只存储一个镜像文件。这样，如果这些攻击者会通过给ECU发送随机数据，而不是实际的镜像文件，让它无法启动到工作镜像中去。虽然，引导程序能够检查出随机数据和最近下载的元数据不匹配。为了解决这个问题，ECU可以使用一个额外的存储空间，使得它可以有足够的存储空间保存之前的镜像和最新下载的镜像。ECU在更新时，无需具有覆盖之前已知的良好镜像。这样，如果攻击者在数据传输时修改了镜像，它仍然可以引导到功能镜像。

第二，广播元数据防止混合软件版本攻击。攻击者控制了主ECU以后，就可以执行混合软件攻击，因为它们可以向不同的从ECU，同时展示不同版本的元数据。为了防止这个问题，主ECU需要向从ECU广播最新下载的元数据。所以，在CAN网络或者以太网络中，主ECU向某个从ECU发送的任何元数据，也需要同时发向其他的ECU。

第三，使用版本清单检测软件部分安装攻击。即使有时ECU没有受到任何其他攻击，但是也偶尔会出现一种软件版本部分安装攻击的情况，导致ECU只成功安装了部分的软件更新。无论这些攻击是如何发生的，OEM都可以通过软件版本清单和ECU关于它最近安装的签署信息，检测这种攻击。在验证和安装更新后，ECU会使用OEM在汽车制造期间提供的对称密钥，来验证其安装的软件，然后发送给主设备。ECU每个周期只会进行一次签署和发回它的版本清单。主设备将搜集这些签名，构建汽车版本信息，然后发送给汽车制造商。如果汽车制造商发现最近的汽车更新，和它们实际安装的不匹配，制造商将会收到警报，并且采取进一步行动。

第四，使用时间服务器限制冻结攻击。关于攻击者对于ECU采取的冻结攻击，是由于ECU桌面和服务器程序不同，ECU无法具有可靠的时钟。这样主设备不能判断元数据是否超时。为了解决这个问题，每个ECU应该使用外部时钟，周期性地更新目前的时间。

Uptane的威胁分析及规避措施是基于以下前提：

攻击者有能力干扰或修改网络通信数据：车外通信时，攻击者可操纵车辆与软件库之前的通信，通常是无线通信；车内通信时，攻击者可操纵一个或多个总线。

攻击者有能力破解Director Repository或者Image Repository并偷取之上的密钥，但不是同时发生。

破解主ECU或次ECU，但不同时发生。

可能会到的攻击方式描述

表2 Uptane威胁分析

编号	类型	攻击方式
1	读取更新	窃听攻击
2	拒绝更新	（1）阻止车外或车内网络通信（2）抑制更新速度，为进一步攻击争取时间（3）利用旧版本软件对ECU进行冻结攻击（4）仅使部分更新成功，导致整车无法更新完成（5）对软件库或者基础设施进行DOS攻击
3	干预ECU功能	（1）回滚攻击，欺骗ECU安装旧版本软件（2）发送大量数据消耗ECU存储资源甚是覆盖原始可用的数据和代码（3）单一软件包是合法的情况下，从过混合不兼容的软件版本导致ECU功能失效

沿用TUF的设计理念，以及针对汽车整车环境的适配，Uptane可以在更新过程被部分破解的情况下，最小化被入侵的范围和影响。

Uptane框架的基本架构如下图所示：

图1 Uptane架构

Uptane框架包含了一个时间服务器为无可靠时钟信号的ECU提供时间服务，主ECU与Image Repository及Director Repository交互，交互过程有签名验证、元数据验证及镜像下载。次ECU与主ECU交互，主ECU帮助次ECU做全部元数据验证。次ECU在条件有限的情况下做部分元数据验证。

Uptane的安全验证流程如下图所示：