標準編號:	GB/T 40857-2021
中文名稱:	汽車網關信息安全技術要求及試驗方法
英文名稱:	Technical requirements and test methods for cybersecurity of vehicle gateway
中標分類:	T40    汽車綜合
行業分類:	GB    國家標準
ICS分類:	43.020 43.020    道路車輛綜合 43.020
發布機構:	國家市場監督管理總局 國家標準化管理委員會
發布日期:	2021-10-11
實施日期:	2022-5-1
標準狀態:	valid
翻譯語言:	英文
文件格式:	PDF
中文字符數:	17000 字
翻譯價格(元):	1090.0
交付時間:	付款后 1 個工作日

GB/T 40857-2021 Technical requirements and test methods for cybersecurity of vehicle gateway 1 Scope This document specifies the technical requirements for cybersecurity of hardware, communication and firmware data of vehicle gateway products as well as their test methods. It is applicable to the design and realization of cybersecurity for vehicle gateway products, and may also be used for product testing, evaluation and management. 2 Normative references The following documents contain provisions which, through reference in this text, constitute provisions of this document. For dated references, only the edition cited applies. For undated references, the latest edition of the referenced document (including any amendments) applies. GB/T 25069 Information security techniques - Terminology GB/T 37935-2019 Information security technology - Trusted computing specification - Trusted software base GB/T 40861 General technical requirements for vehicle cybersecurity 3 Terms and definitions For the purposes of this document, the terms and definitions given in GB/T 25069, GB/T 37935-2019, GB/T 40861 and the following apply. 3.1 vehicle gateway electronic control unit mainly used to safely and reliably forward and transmit data between multiple networks in a vehicle Note 1: Through network isolation and communication protocol conversion, the vehicle gateway may perform information interaction between functional domains sharing communication data. Note 2: The vehicle gateway is also called the central gateway. 3.2 backdoor channel that is able to bypass the control of security mechanisms such as system authentication and enter the information system [Source: GB/T 40861-2021, 3.12] 3.3 entity of root of trust functional module used to support the establishment and transfer of trust chain of trusted computing platform, and can provide external services such as integrity measurement, secure storage and cryptographic computation

Foreword i 1 Scope 2 Normative references 3 Terms and definitions 4 Abbreviations 5 Network topology of vehicle gateway 5.1 CAN gateway 5.2 Ethernet gateway 5.3 Hybrid gateway 6 Technical requirements 6.1 Requirements for cybersecurity of hardware 6.2 Requirements for cybersecurity of communication 6.3 Requirements for cybersecurity of firmware 6.4 Requirements for cybersecurity of data 7 Test methods 7.1 Test on cybersecurity of hardware 7.2 Test on cybersecurity of communication 7.3 Test on cybersecurity of firmware 7.4 Test on cybersecurity of data Annex A (Informative) Example of vehicle gateway topology Annex B (Informative) Examples of typical attacks Bibliography

1范圍 本文件規定了汽車網關產品硬件、通信、固件.數據的信息安全技術要求及試驗方法。 本文件適用于汽車網關產品信息安全的設計與實現，也可用于產品測試、評估和管理。 2規范性引用文件 下列文件中的內容通過文中的規范性引用而構成本文件必不可少的條款。其中，注日期的引用文件,僅該日期對應的版本適用于本文件;不注日期的引用文件,其最新版本(包括所有的修改單)適用于本文件。 GB/T 25069信息安全技術術語 GB/T 37935-2019信息安全技術可信計算規范可信軟件基 GB/T 40861汽車信息安全通用技術要求 3術語和定義 GB/T 25069 ,GB/T 37935-2019、GB/T 40861界定的以及下列術語和定義適用于本文件。 3.1 汽車網關 vehicle gateway 主要功能為安全可靠地在車輛內的手個網絡間進行數據轉發和傳輸的電子控制單元。 注1:汽車網關通過不同網絡間的隔離和不同通信協議間的轉換,可以在各個共享通信數據的功能域之間進行信息交互。 注2:汽車網關也稱中央網關。 3.2 后門. backdoor 能夠繞過系統認證等安全機制的管控而進入信息系統的通道。 [來源:GB/T 40861-2021 ,3.12] 3.3 可信根實體. entity of root of trust 用于支撐可信計算平臺信任鏈建立和傳遞的可對外提供完整性度量、安全存儲、密碼計算等服務的功能模塊。 注:可信根實體包括TPCM.TCM.TPM等。 [來源:GB/T 37935-2019,3.12] 4縮略語 下列縮略語適用于本文件。 ACL 訪問控制列表(Access Control Lists) ARP 地址解析協議(Address Resolution Protocol) 5汽車網關網絡拓撲結構 5.1 CAN網關 基于CAN和/或CAN-FD總線的車內網絡結構中,大多數的ECU.域控制器之間都會通過CAN和/或CAN-FD總線進行通信。 這類結構中的汽車網關主要有CAN和/或CAN-FD總線接口,可稱為CAN網關。 典型的CAN網關拓撲結構見附錄A中圖A.1。 5.2 以太網網關 基于以太網的車內網絡結構中,大多數的ECU.域控制器之間會通過以太網進行通信。 這類結構中的汽車網關主要有以太網接口,可稱為以太網網關。 典型的以太網網關拓撲結構見圖A.2。 5.3 混合網關 部分新-代車內網絡結構中,一部分ECU.域控制器之間通過以太網通信,而另一部分ECU、域控制器之間仍通過傳統通信協議(例如:CAN.CAN-FD、LIN、MOST等)通信。 這類結構中的汽車網關既有以太網接口,還有傳統通信協議接口,可稱為混合網關。 典型的混合網關拓撲結構見圖A.3。 附錄B中舉例列出了針對汽車網關和車內網絡通信的部分典型攻擊。. 6技術要求 6.1 硬件信息安全要求 6.1.1 按照7.1 a)進行試驗,網關不應存在后門或隱蔽接口。 6.1.2按照7.1b)進行試驗,網關的調試接口應禁用或設置安全訪問控制。 6.2 通信信息安全要求 6.2.1 CAN網關通信信息安全要求 6.2.1.1訪 問控制 網關應在各路CAN網絡間建立通信矩陣,并建立基于CAN數據幀標識符(CANID)的訪問控制策略,按照7.2.1 a) 進行試驗后，應在列表指定的目的端口檢測接收到源端口發送的數據幀;按照 7.2.1 b)進行試驗后,應對不符合定義的數據幀進行丟棄或者記錄日志。 6.2.1.2拒絕服務攻擊檢測 網關應對車輛對外通信接口的CAN通道(例如:連按OBD-II端口的通道和連接車載信息交互系統的通道)進行CAN總線DoS攻擊檢測。 網關應具備基于CAN總線接口負載的DoS變擊檢測功能,宜具備基于某個或多個CAN ID數據幀周期的DoS攻擊檢測功能。 按照7.2.1 c)、d)進行試驗,當網關檢測勇某一路或多路CAN通道存在DoS攻擊時,應滿足以下要求: a)網關未受攻擊的CAN通道的通信功能和預先設定的性能不應受影響; b)網關對檢測到的攻擊數據幀進行丟棄或者記錄日志。 6.2.1.3數據幀健 康檢測 網關宜根據通信矩陣中的信號定義,對數據幀進行檢查,檢查內容包括DLC字段、信號值有效性等，按照7.2.1e)、f)進行試驗,對不符合通信矩陣定義的數據幀進行丟棄或者記錄日志。 6.2.1.4數據幀異常檢測 網關宜具有數據幀異常檢測功能,即檢查和記錄數據幀之間發送與接收關系的機制,按照7.2.1g)進行試驗,對檢測到異常的數據幀進行丟棄或者記錄日志。 示例: 網關檢測到一定時間內數據幀的發送頻率與預定義的額率差距較大,或相鄰時間同一數據幀的信號值內容沖突或者不正常跳躍時,對數據幀進行丟棄或者記錄日志。 6.2.1.5 UDS會話檢測 網關應檢查UDS會話發起的CAN通道是否正常,按照7.2.1 h)進行試驗,對非正常通道發起的會.話進行攔截或者記錄日志。. 注:正常通道通常包括連接OBD-II端口的通道和連接車載信息交互系統的通道。 6.2.2 以太網網關通信信息安全要求 6.2.2.1 網絡分域 網關應支持網絡分域，按照7.2.2a)進行試驗,對不符合網絡分域的數據包進行丟棄。 示例:用VLAN分隔車載網絡內的不同域。 6.2.2.2訪問控制 網關應配置訪問控制列表(ACL),訪問控制列表中的訪問控制要素主要應包括源IP地址、目的IP地址、協議類型(例如TCP、UDP、ICMP等)、協議源端口、協議目的端口,也可包括物理端口、通信方向(輸入或輸出)、源MAC地址目的MAC地址等。 訪問控制列表應遵循默認拒絕原則，即丟棄所有不符合條件的數據包。 訪問控制列表應遵循最小化授權原則,即只授予必要的權限。 按照7.2.2 b) c)進行試驗,對不符合訪問控制列表的數據包進行丟棄或者記錄日志。 6.2.2.3拒絕服務攻擊檢測 網關應對車輛對外通信的以太網通道進行以太網DoS攻擊檢測。支持ICMP協議、TCP協議和UDP協議的網關,檢測的DoS攻擊類型,應分別至少包括ICMP泛洪攻擊、TCP泛洪攻擊和UDP泛洪攻擊。 按照7.2.2d)進行試驗,當網關檢測到以太網DoS攻擊時，應確保自身正常的功能和預先設定的性能不受影響,并對檢測到的攻擊數據包進行丟棄或者記錄日志。 6.2.2.4 協議狀態檢測 網關宜具有對部分或全部的TCP/IP會話流進行狀態檢查的功能。檢查項包括TCP握手狀態、數據包長度、包序列和TCP會話關閉狀態瓷，按照7.2.2 e)進行試驗,對檢測到的攻擊數據包進行丟棄或者記錄日志。 6.2.3 混合網關通信信息安全要求 對于混合網關,CAN通信和以太網通信的信息安全要求應分別符合6.2.1和6.2.2的規定。 6.3固件信息安全要求 6.3.1 安全啟動 網關應具備安全啟動的功能,可通過可信根實體對安全啟動所使用的可信根進行保護。按照7.3a).b).c)進行試驗,網關的可信根、Bootloader程序及系統固件不應被篡改,或被篡改后網關無法正常啟動。 6.3.2 安全日志 如網關具有安全日志功能,則滿足如下要求: a)按照7.3 d)、e).f)進行試驗，當網關探測到不符合6.2要求的通信、網關發生軟件配置變更、網關軟件完整性校驗失敗等各類事件時，應對相關信息進行記錄; b)按照7.3g)進行試驗，網關的安全日志中，應至少包括觸發日志的事件發生時間(絕對時間或相對時間)、事件類型和車輛唯-.標識碼; c)按照7.3h)進行試驗,網關應對安全日志進行安全存儲,防止非物理破壞攻擊情況下日志記錄的損毀,同時防止未授權的添加、訪問、修改和刪除,安全日志記錄存儲的位置可在網關內.其他ECU內或云端服務器內; 按照7.3 i)進行試驗,網關的安全日志中,不應包含任何形式的個人信息。 6.3.3 安全漏洞. 按照7.3 j)進行試驗,網關不應存在權威漏洞平臺6個月前公布且未經處置的高危及以上的安全漏洞。 注:處置包括消除漏洞.制定減級措施等方式。 6.4 數據信息安全要求 網關中的安全重要參數應以安全的方式存儲和處理,防止未經授權的訪問.修改、刪除和檢索。按照7.4進行試驗，網關內的安全區域或安全模塊不被未經授權的破解、讀取和寫人。可通過使用提供適當授權程序的安全區域、安全模塊或等效安全技術來實現。 7試驗方法 7.1硬件信息安全試驗 網關硬件信息安全試驗按照下列流程及要求依次進行; 拆解被測樣件設備外殼,取出PCB板,檢查PCB板硬件是否存在后門或隱蔽接口; b)檢查是否有存在暴露在PCB板上的JTAG ,USB.UART .SPI等調試接口,如存在則使用試驗 工具嘗試獲取調試權限。 7.2 通信信息安全試驗 7.2.1CAN網關通信信息安全試驗 7.4 數據信息安全試驗 網關數據信息安全試驗按照下列流程及要求依次進行: a)試驗人員嘗試對網關安全區域或安全模塊的授權訪問控制進行破解(例如:使用暴力破解或字典破解方式,嘗試破解安全區域或安全模塊的訪問口令); b)被測樣件送樣方提供網關內部安全存儲區域的地址范圍或安全模塊的訪問方式,試驗人員使用送樣方授權的軟件工具,嘗試對安全區域或安全模塊進行讀取訪問; c)試驗人員使用非送樣方授權的軟件工具或訪問方式,嘗試對安全區域或安全模塊進行讀取和寫人。? 附錄A(資料性)汽車網關拓撲結構示例附錄B(資料性）典型攻擊舉例 參考文獻