[论文解读] Secure OTA Software Updates in Connected Vehicles: A survey

Subir Halder, Amrita Ghosal+1 more|arXiv (Cornell University)|Apr 1, 2019

Vehicular Ad Hoc Networks (VANETs)参考文献 49被引用 12

一句话总结

本综述对联网汽车中过无线（OTA）软件更新的安全挑战与解决方案进行了全面分析，重点关注威胁、标准及密码技术。研究识别出密钥管理、延迟、隐私保护以及并行更新等方面的关键研究空白，并提出未来在汽车环境中实现安全、高效且合乎伦理的OTA更新系统的研发方向。

ABSTRACT

This survey highlights and discusses remote OTA software updates in the automotive sector, mainly from the security perspective. In particular, the major objective of this survey is to provide a comprehensive and structured outline of various research directions and approaches in OTA update technologies in vehicles. At first, we discuss the connected car technology and then integrate the relationship of remote OTA update features with the connected car. We also present the benefits of remote OTA updates for cars along with relevant statistics. Then, we emphasize on the security challenges and requirements of remote OTA updates along with use cases and standard road safety regulations followed in different countries. We also provide for a classification of the existing works in literature that deal with implementing different secured techniques for remote OTA updates in vehicles. We further provide an analytical discussion on the present scenario of remote OTA updates with respect to care manufacturers. Finally, we identify possible future research directions of remote OTA updates for automobiles, particularly in the area of security.

研究动机与目标

• 分析由于无线连接带来的攻击面扩大，导致联网汽车中过无线（OTA）软件更新面临的安全挑战。
• 考察现有OTA更新协议中用于汽车系统的安全机制与密码技术。
• 识别密钥管理、更新延迟、隐私保护以及并行或部分更新支持方面的关键研究空白。
• 评估主要汽车制造商在OTA更新实施方面的现状，重点关注特斯拉在部署方面的领导地位。
• 提出未来在安全、私密且高效OTA更新系统方面的研究方向，尤其关注伦理与合规性要求。

提出的方法

• 系统性地调研现有文献中关于联网汽车OTA更新协议的研究，重点关注安全与隐私方面。
• 根据其安全机制对现有OTA更新系统进行分类，包括数字签名和代码签名等密码技术。
• 分析ISO 26262、SAE J3061、ISO 21434和UNECE WP.29等标准，这些标准规范了汽车系统的功能安全与网络安全。
• 对不同原始设备制造商（OEM）的OTA更新架构进行对比评估，突出其在更新分发、信任模型和更新范围（如特斯拉的全系统更新）方面的差异。
• 讨论新兴趋势，如车辆关系管理（VRM）平台及其在集中化、安全化和可扩展的OTA更新管理中的作用。
• 识别技术与伦理挑战，包括密钥生命周期管理、匿名密钥使用，以及在安全关键型自动驾驶系统中实现低延迟更新安装的问题。

实验结果

研究问题

• RQ1 针对联网汽车中的OTA更新机制，主要的安全威胁和攻击向量有哪些？
• RQ2 现有基于密码学与信任机制（如代码签名、数字签名）如何确保OTA更新的完整性和真实性？
• RQ3 在安全性、可扩展性与部署复杂性方面，本地更新与OTA更新的关键差异是什么？
• RQ4 国际标准如ISO 21434和UNECE WP.29如何影响安全OTA更新系统的设计与实现？
• RQ5 在自动驾驶汽车中，OTA更新的密钥管理、隐私保护以及低延迟软件安装方面，仍存在哪些主要未解难题？

主要发现

• 到2022年，OTA更新可使全球汽车制造商每年节省超过350亿美元，凸显其在经济与运营上的重要性。
• 使用区块链技术进行OTA更新可使软件安装延迟相比传统车载总线方法减少五倍以上。
• 大多数现有系统依赖预编程密钥，因而易受长期暴露威胁；动态密钥管理是亟待解决的关键开放挑战。
• 目前仅有特斯拉支持对所有电子控制单元（ECU）的近乎完整、全无线更新，而其他多数制造商仍依赖单播、点对点的更新机制。
• 虽然已提出如匿名密钥集等隐私保护机制，但尚未实现标准化部署，最优密钥轮换频率仍处于研究之中。
• 关于软件行为与更新完整性的伦理关切目前仍基本未被解决，表明未来在自动驾驶汽车的伦理软件更新方面亟需进一步研究。