CN107454107B - 一种检测注入式攻击的控制器局域网汽车总线报警网关 - Google Patents

Abstract

由于CAN总线的多主特征(任何接入CAN总线的设备都可以发送消息)，不能阻止注入式攻击，本发明公开了一种检测注入式攻击的控制器局域网CAN汽车总线报警网关的产生方法，在不改变CAN总线上的电子控制单元ECU硬件和软件的情况下，通过只修改CAN总线网关的软件，利用CAN总线协议中ECU发出数据帧的ID、响应其它ECU请求帧的时间、数据本身的最大值和最小值及数据产生的周期判断是否有Dos攻击、假扮攻击和模糊攻击等发出假冒数据的注入式攻击中的应用，解决了现有CAN总线中存在的安全技术问题。

Description

一种检测注入式攻击的控制器局域网汽车总线报警网关

技术领域

本发明涉及一种检测注入式攻击的控制器局域网CAN(Controller AreaNetworks)汽车总线报警网关的产生方法，尤其涉及在不改变CAN总线上的电子控制单元ECU(Electronic Control Unit)硬件和软件的情况下，通过只修改CAN总线网关的软件，利用CAN总线协议中ECU发出数据帧的ID、响应其它ECU请求帧的时间、数据本身的最大值和最小值及数据产生的周期判断是否有Dos和冒充已有ECU或新增ECU发出假冒数据的注入式攻击中的应用。

背景技术

控制器局域网CAN最早由Bosch公司于1985年研发，用于搭建车内网络，是一个汽车内部ECU之间有效、可靠、快速的串行传输总线，于1993年成为国际标准(ISO 11898)。

大部分汽车有两条CAN总线，一条是高速的，速率达500kbps(最高可达1M)，主要传输汽车在行驶中传动***单元的相关数据，如发动机、方向盘、刹车和变速箱等；另一条是低速的，速率达125kbps，主要用于传输车身单元的数据，如收音机、车门锁、车窗控制和温度(空调)等数据；两条总线通过一个网关相连，其主要作用是进行速度匹配和与其它总线的格式转换等，如图1所示。

CAN协议的一个最大特点是废除了传统的站地址编码，而是对发送的消息进行编码，对接入总线的ECU数量没有明确的限制，消息的标识符ID由11位(CAN 2.0A)或29位(CAN2.0B)二进制数组成，主要技术特征如下：

(1)CAN总线上没有主/从ECU，发送的数据帧里既没有指明发送节点地址，也没有指明接收节点地址，所有节点都能发送数据和接收其它节点发出数据的能力，也就是说发送ECU不知道发给谁，接收ECU也不知道是谁发的；

(2)多个节点同时发送数据时，总线仲裁使得具有较低值ID的消息获取总线使用权，较高值ID的消息等待总线空闲时再发送；

(3)所有其它ECU都可以同时接收一个发送ECU的数据，所有ECU都有过滤能力，限制接收它不需要的数据；

(4)CAN总线是串行的和异步的，总线上的ECU不需要同步它们的时钟；

(5)数据帧中的数据长度范围为0-8字节；

(6)CAN总线上有四种不同的帧，即数据帧、请求帧、错误帧和超载帧。数据帧由ECU周期性的发出数据，不同ECU发出数据的间隔周期是不同的，通常在10-10000毫秒间；请求帧用于请求其它ECU发出的数据(与数据帧ID相同)，但数据段没有内容，被请求的ECU需要响应该请求，CAN 2.0A数据帧与请求帧格式见图2；错误帧在发送和接收遇到错误时发出(发送和接收ECU都可以发出)用于纠正错误，超载帧用于发送数据太快，接收ECU跟不上发送的速度时发出；

(7)CAN总线没有安全组件，它假定所有的ECU是合法的、值得信任并且按它们的参数设定进行工作的。

然而，研究和实验表明车辆容易成为恶意对手(盗车者、自行改装、竞争对手等)破坏的目标，汽车内部所有ECU都容易受到利用CAN总线作为入口点的攻击(攻击者可以将设备通过在线诊断接口OBD将攻击设备接入CAN、或自行改造更换原有ECU)，最典型的就是注入式攻击，主要包含以下三类：

(1)拒绝服务攻击DoS(Denial of Service)：由于总线仲裁机制，低ID消息将获总线使用权，攻击者不停发送低ID(如00)消息，将阻止所有其它正常ECU发送消息，汽车将不能启动；

(2)假扮攻击：假扮原有ECU(消息ID相同，移除了原有ECU)，如为了获取更多发动机功率或速度的车辆改装就属这类攻击；

(3)模糊攻击：随机产生消息ID发送到CAN总线，其ID消息有可能是总线上没有的(与总线上相同ID的攻击类同于假冒攻击)，其目的是破坏汽车正常运行(数据乱七八糟，不在正常范围内)，严重可能导致事故。

由于CAN总线的多主特征(任何接入CAN总线的设备都可以发送消息)，不能阻止注入式攻击，但可以检测出这类攻击，并及时报警。

发明内容

为了解决现有CAN总线中存在的上述技术问题，本发明公开了一种检测注入式攻击的控制器局域网(CAN)汽车总线报警网关的产生方法，在不改变CAN总线上的电子控制单元ECU硬件和软件的情况下，通过修改总线网关的软件，根据各ECU发送消息(数据)的ID、周期、数据的最大/最小值和响应请求帧的响应时间等判定有无注入式攻击，并及时给出报警。具体技术方案如下：

一种检测注入式攻击的控制器局域网(CAN)汽车总线报警网关的产生方法，网关的内存持两个表格：静态表和动态表，其中静态表记录CAN总线上所有ECU发出消息的ID，周期T、数据的最大值Max最小值Min及响应请求帧的响应时间R，按ID由小到大排序；动态表记录着CAN总线上的所有两次数据帧发出的时间、数值大小和请求帧发出的时间及对应的响应帧的时间和大小，按按ID由小到大排序；其特征在于包括如下步骤：

(1)网关循环接收数据帧或请求帧；

(2)如果是数据帧，①首先检测其ID是否在静态表中，如果不是就报警；②检测其值(Value)是否在最大值Max和最小值Min之间，如果不是就报警；否则在动态表中查找类型为周期数据帧的ID；③如果该数据帧前面没有请求帧，说明是ECU自己周期性地发出数据，第二次接收到的数据的日期和大小存入动态表中当前(Current)对应的字段，然后比较数据发出的周期T是否正常，不正常报警；否则用当前(Current)中的接收时间和大小替换之前(Previous)对应的字段，转第(1)步，等待下一个(Next)数据帧，如此循环往复；④如果该数据帧前面有请求帧，说明有其它ECU请求数据，收到数据帧后将收到的时间和大小存入动态表中ID且类型为请求帧记录中的当前(Current)对应字段，比较响应时间R是否正常，不正常报警，否则删除动态表中ID且类型为请求帧的记录，转第(1)步；

(3)如果是请求帧，①首先检测其ID是否在静态表中，如果不是就报警；②在动态表中新建ID且类型为请求帧的记录，并将请求时间填入之前(Previous)对应的字段中的时间字段(大小为0)，转第(1)步。

进一步的，步骤(2)第②步中，若动态表没有类型为周期数据帧的ID，则新建周期数据帧，第一次数据接收到的日期和大小存入动态表中之前(Previous)对应的字段。

附图说明

图1是通用CAN结构图。

图2是数据帧、请求帧结构图。

具体实施方式

下面结合附图对本发明作进一步说明。

由于每个CAN总线上都有一个速度匹配的网关，可以监听CAN总线上的所有消息，修改其软件功能，使其判定有无注入式攻击。

(1)两个表格

网关的内存中，维持两个表格，一个是静态表，一个是动态表。

静态表：该表格记录了CAN总线上所有ECU发出消息的ID，周期T、数据的最大值Max最小值Min及响应请求帧的响应时间R，此表按ID由小到大排序，如表1所示：

ECU	ID	T	Max	Min	R
						ECU<sub>1</sub>	ID<sub>1</sub>	T<sub>1</sub>	Max<sub>1</sub>	Min<sub>1</sub>	R<sub>1</sub>
ECU<sub>2</sub>	ID<sub>2</sub>	T<sub>2</sub>	Max<sub>2</sub>	Min<sub>2</sub>	R<sub>2</sub>
						……	……	……	……	……	……
ECU<sub>N</sub>	ID<sub>N</sub>	T<sub>N</sub>	Max<sub>N</sub>	Min<sub>N</sub>	R<sub>N</sub>

表1

在表1的表中，前4项即ID，T、Max和Min是每一个ECU固有参数，很容易在车辆生产时获取，请求响应时间R需要车辆启动后获取，获取的方法是：

网关向CAN总线发送请求消息为ID_i的请求帧，并记录请求时的时间，然后等待具有消息ID_i的ECU响应数据帧，等待响应时间R_i；请求帧后收到的数据帧ID等于收到ID_i的时间与发出请求帧的时间差就是准确的响应时间R_i。

R_i＝接收到数据帧ID_i的时间-发出请求数据ID_i时间 (1)

网关中的表1已经可以检测DoS攻击和部分模糊攻击(总线上没有的消息ID)，网关监听CAN总线上的所有数据帧和请求帧，如果其ID不在表1所在的表中，肯定是DoS攻击或部分模糊攻击。

动态表：该表记录着CAN总线上的所有两次数据帧发出的时间、数值大小和请求帧发出的时间及对应的响应帧的时间和大小，按按ID由小到大排序，如表2所示。

表2

在表2中，类型为“周期数据帧”的记录为ECU₂自己周期性地发出的数据，周期为表1中的T₂，所有ECU(包含网关)都能接收到该数据，数据值value1和Value2只要在Min₂、Max₂之间，属于正常的数据；如果数据正常，在收到下一个(Next)数据帧时，用Current的值(时间和大小)替换Previous的值，用Next的值替换Current的值，如此循环往复。类型为“请求帧”(斜体+下划线)的记录前半部分为其它ECU请求ECU₂的请求帧(可能没有，也可能有多条，为简单起见只列出了一条)，其值为0，请求时间rt₂＞rt₁；其后半部分为ECU₂响应该请求的数据，其响应时间rt₃＜rt₁+表1中T₂，其值value3只要在Min₂、Max₂之间，属于正常的数据；如果数据正常，删除该数据项。

网关中的表2可以检测出部分假冒攻击和部分模糊攻击，只要“周期数据帧”的周期出错(增大或减小)或数据的大小(含响应请求帧的数据)不在Min₂、Max₂之间，直接报警。

剩下的一类攻击属模糊攻击，其消息ID属于CAN总线，其值也在Min、Max间，但值不是准确值。这类攻击可以从表1中的响应时间参数来检测，也就是表2中的rt₃-rt₂是否等于R₂，不等于说明有攻击需要报警。

1、按发明内容修改网关软件；

2、在车辆出厂时获取车上每个ECU的消息ID，产生周期T、最大/最小值Max/Min和响应时间R；如果增加新增的ECU或更换旧的ECU，必须在安全环境中(生产厂或4S店)获取更换ECU的上面几个参数；

3、按下面的算法检测注入式攻击：

(1)网关循环接收数据帧或请求帧；

(2)如果是数据帧，①首先检测其ID是否在表1中，如果不是就报警；②检测其值Value是否在Max和Min之间，如果不是就报警；否则在表2中查找类型为“周期数据帧”的ID(没有就新建，第一次数据接收到的日期和大小存入表2中Previous对应的字段)；③如果该数据帧前面没有请求帧，说明是ECU自己周期性地发出数据，第二次接收到的数据的日期和大小存入表2中Current对应的字段，然后比较数据发出的周期T是否正常，不正常报警；否则用Current中的接收时间和大小替换Previous对应的字段，转第(1)步，等待Next下一个数据帧，如此循环往复；④如果该数据帧前面有请求帧，说明有其它ECU请求数据，收到数据帧后将收到的时间和大小存入表2中ID且类型为“请求帧”记录中的Current对应字段，比较响应时间R是否正常，不正常报警，否则删除表2中ID且类型为“请求帧”记录，转第(1)步；

(3)如果是请求帧，①首先检测其ID是否在表1中，如果不是就报警；②在表2中新建ID且类型为“请求帧”的记录，并将请求时间填入Previous中的时间字段(大小为0)，转第(1)步。

Claims (2)

1.一种用于控制器局域网汽车总线报警网关的检测注入式攻击的方法，网关的内存持两个表格：静态表和动态表，其中静态表记录CAN总线上所有ECU发出消息的ID，周期T、ECU发出消息中的数据的最大值Max最小值Min及响应请求帧的响应时间R，按ID由小到大排序；动态表记录着CAN总线上的所有两次数据帧发出的时间、数据帧中数据的数值大小和请求帧发出的时间及对应的响应帧的时间和大小，按ID由小到大排序；其特征在于包括如下步骤：

(1)网关循环接收数据帧或请求帧；

(2)如果是数据帧，①首先检测其ID是否在静态表中，如果不是就报警；如果是，②则检测数据帧中数据的数值(Value)是否在最大值Max和最小值Min之间，如果不是就报警；否则在动态表中查找类型为周期数据帧的该ID的数据帧；③如果该周期数据帧前面没有请求帧，说明是ECU自己周期性地发出数据，第二次接收到的数据的时间和大小存入动态表中周期数据帧的本次发出或响应数据帧时间和数据的数值大小字段，然后比较数据发出的周期T是否正常，不正常报警；否则用周期数据帧的本次发出或响应数据帧时间和数据的数值大小字段中的接收时间和大小替换周期数据帧的上次发出或请求时间和数据的数值大小字段，转第(1)步，等待下一个(Next)数据帧，如此循环往复；④如果该数据帧前面有请求帧，说明有其它ECU请求数据，收到数据帧后将收到的时间和大小存入动态表中ID且类型为请求帧记录中的本次发出或响应数据帧时间和数据的数值大小字段，比较响应时间R是否正常，不正常报警，否则删除动态表中ID且类型为请求帧的记录，转第(1)步；

(3)如果是请求帧，①首先检测其ID是否在静态表中，如果不是就报警；如果是，②则在动态表中新建ID且类型为请求帧的记录，并将请求时间填入请求帧的的上次发出或请求时间和数据的数值大小字段中的时间字段，大小为0，转第(1)步。

2.如权利要求1所述的用于控制器局域网汽车总线报警网关的检测注入式攻击的方法，其特征在于：步骤(2)第②步中，若动态表没有查找到类型为周期数据帧的ID，则新建周期数据帧，第一次数据接收到的日期和大小存入动态表中周期数据帧的上次发出或请求时间和数据的数值大小字段。

Images