从STRIDE到EVITA：聊聊车载网络威胁建模中，那个更适合你的安全属性模型
车载网络安全建模：STRIDE与EVITA模型的深度对比与应用指南
当工程师第一次面对车载网络威胁建模时，往往会被各种安全属性模型的选择所困扰。就像一位汽车设计师需要根据车辆用途选择不同的材料——跑车需要轻量化碳纤维，越野车需要高强度钢架，而智能电动汽车的安全架构同样需要精准匹配其独特的威胁场景。
1. 车载网络安全建模的核心挑战
现代汽车的电子电气架构正在经历从分布式到集中式的革命性转变。传统的CAN总线网络正在向以太网 backbone+区域控制器的混合架构演进，这种变化带来了前所未有的安全挑战。我曾参与过某车企中央计算平台的威胁建模项目，团队最初直接套用了传统IT系统的STRIDE模型，结果发现至少30%的威胁场景无法被准确覆盖。
车载网络与传统IT系统存在本质差异：
- 实时性要求：刹车指令的延迟可能直接导致事故
- 生命周期：汽车10年以上的服役期远超消费电子产品
- 物理接触风险：OBD接口等物理暴露点成为攻击入口
- 功能安全与信息安全交织：一个ECU的妥协可能触发连锁反应
提示：在评估安全模型时，建议先绘制系统边界图，明确哪些组件可能暴露在攻击面中。区域控制器的引入实际上重新定义了整车网络的安全边界。
下表对比了三种典型车载网络架构的安全特性：
| 架构类型 | 代表协议 | 带宽 | 安全机制 | 典型攻击面 |
|---|---|---|---|---|
| 传统CAN | CAN 2.0B | 1Mbps | 有限ID过滤 | 总线嗅探、注入 |
| CAN FD | CAN FD | 8Mbps | 部分认证 | 高速DoS攻击 |
| 汽车以太网 | SOME/IP | 100Mbps+ | 完整TLS堆栈 | 协议漏洞利用 |
2. 主流安全属性模型解析
2.1 CIA三元组：基础但不足
机密性(Confidentiality)、完整性(Integrity)、可用性(Availability)构成了信息安全的基础模型。在车载环境中，我们发现CIA存在明显局限：
# 典型CAN总线消息结构示例 can_id = 0x123 data = [0x01, 0x02, 0x03, 0x04] # 缺乏原生加密和认证机制- 无法处理ECU固件更新时的真实性验证
- 未考虑车辆特有的功能安全需求
- 对新鲜度(防止重放攻击)没有明确要求
2.2 STRIDE模型的适应性分析
微软提出的STRIDE模型将威胁分为六类：
- Spoofing（伪装）
- Tampering（篡改）
- Repudiation（抵赖）
- Information disclosure（信息泄露）
- Denial of Service（拒绝服务）
- Elevation of privilege（权限提升）
在区域控制器架构中，我们发现STRIDE对以下场景处理不足：
- 传感器数据的新鲜度要求
- 车云通信的端到端安全
- OTA更新链的完整性与抗抵赖
2.3 EVITA模型的整车适配性
EVITA项目专为车载环境设计的安全属性包括：
- 真实性：确保ECU身份可信
- 完整性：防止数据篡改
- 可用性：维持关键功能运行
- 授权：最小权限控制
- 抗否认性：操作可追溯
- 新鲜度：防止重放攻击
- 匿名性：保护用户隐私
在中央计算平台项目中，我们使用EVITA模型发现了STRIDE遗漏的12个关键威胁场景，包括：
- 区域控制器间的时钟同步攻击
- 传感器数据的时间戳欺骗
- 功能权限的上下文滥用
3. 资产-属性映射方法论
3.1 资产分类与优先级
基于EVITA框架，我们将车载资产分为五类：
- 通信资产：总线、网关、网络协议栈
- 计算资产：ECU、SoC、HSM
- 数据资产：用户数据、标定参数
- 接口资产：OBD、蓝牙、USB
- 服务资产：自动驾驶功能、远程控制
3.2 属性映射实战
以下是我们为某域控制器建立的简化映射表：
| 资产类别 | 真实性 | 完整性 | 可用性 | 授权 | 新鲜度 |
|---|---|---|---|---|---|
| 车内通信 | ✓ | ✓ | ✓ | ✓ | ✓ |
| ECU固件 | ✓ | ✓ | ✓ | ✓ | ✗ |
| 用户偏好 | ✗ | ✓ | ✗ | ✓ | ✗ |
| OTA更新 | ✓ | ✓ | ✓ | ✓ | ✓ |
注意：实际项目中，每个✓都应对应具体的保护机制设计文档和验证用例。
4. TARA分析中的模型选择指南
4.1 架构特征匹配
根据电子电气架构的演进阶段选择模型：
- 分布式架构：基础CIA+STRIDE
- 域控制器架构：扩展STRIDE
- 区域控制+中央计算：完整EVITA
4.2 攻击树构建技巧
结合CAPEC数据库时，我们总结出高效方法：
# 示例：从CAPEC筛选车载相关攻击模式 grep "automotive" capec_db.xml | grep "CAN" > vehicle_attack_patterns.txt- 按攻击机制过滤（如"总线注入"）
- 按资产类型筛选（如"ECU固件"）
- 按安全属性分类（如"完整性破坏"）
4.3 可行性评估框架
我们改良的风险计算公式：
风险值 = (攻击可行性 × 损害程度) / 现有防护强度其中攻击可行性评估维度：
- 所需专业知识等级
- 工具获取难度
- 物理接触需求
- 时间窗口要求
5. 未来架构的安全建模前瞻
随着中央计算平台的普及，我们发现三个新兴趋势：
- 动态资产注册：新功能OTA带来的资产变化
- 服务网格安全：原子服务间的零信任通信
- AI模型保护：自动驾驶模型的完整性与抗逆向
在某预研项目中，我们扩展了EVITA模型，新增：
- 可验证性：AI决策的可解释与审计
- 弹性：遭受攻击时的优雅降级
- 可更新性：安全策略的动态调整
实施这类复杂模型时，团队需要建立"安全属性看板"，实时跟踪每个属性的实现状态和验证结果。在中央计算平台开发中，我们每周会审查看板上的50+安全属性指标，确保没有遗漏关键保护点。