【車載通訊協定資安】
DoIP 車載乙太網診斷資安防護
EB AutoCore TLS 1.3 傳輸加密、車輛識別路由激活與 Dcm 證書認證實踐。深度解析在 AUTOSAR CP 架構中，如何確保 DoIP 診斷連線與 OTA 刷寫通訊的機密性、完整性與合法性。
1. 車載乙太網 DoIP 診斷威脅情境
依據 ISO 13400 標準定義的 DoIP（Diagnostic communication over Internet Protocol） 是新一代車載遠端韌體更新（OTA）、產線高速刷寫與售後診斷的基石。相較於 CAN 總線（最大數百 Kbps 至數 Mbps），車載 100BASE-T1 / 1000BASE-T1 乙太網將診斷通訊速率提升了數百倍。
然而，將診斷堆疊開放於 TCP/IP 網路亦使其成為高危險攻擊管道：
- 未授權遠端診斷接入（Rogue Tester Access）：攻擊者透過車載 Wi-Fi、蜂巢式網路模組（T-Box）或 OBD-II 實體插孔連接乙太網，冒充合格原廠診斷儀發送 UDS 敏感指令。
- 診斷資料監聽與篡改（Eavesdropping & MITM）：若 DoIP 採明文傳輸（TCP Port 13400），傳輸中的 ECU 韌體映像檔、診斷安全訪問金鑰與車身資料將完全暴露於中間人監聽之下。
- 路由激活欺騙（Routing Activation Spoofing）：攻擊者繞過認證直接發送激活請求，導致網關將未授權封包轉發至動力或安全子網。
- 刷寫過程惡意重放（Malicious Flash Tampering）：攔截 UDS 0x34/0x36/0x37 傳輸資料區塊，篡改應用韌體位址與可執行代碼，企圖覆寫 Bootloader 或執行惡意軟體。
2. EB AutoCore DoIP 安全防護架構
在 AUTOSAR Classic Platform (CP) 架構中，EB AutoCore / ACG (AutoCore Generic) 藉由 DoIP ＋ TLS ＋ Dcm ＋ KeyM 縱向協同架構，建立起多層次端到端防禦機制：
支援 TLS 握手與 X.509 診斷憑證"]:::tester NET_PHY["【實體層與網路堆疊】Eth Driver ＋ EthIf ＋ TcpIp (Port 13400/3496)"]:::tester TLS_MOD["【傳輸層安全】EB AutoCore TLS 模組
TLS 1.2 / TLS 1.3 雙向握手 · AES-GCM 線速加密"]:::sec SOAD_MOD["【通訊適配層】EB AutoCore SoAd
Socket 插槽路由 · 安全連接綁定"]:::sec DOIP_MOD["【DoIP 核心模組】EB AutoCore DoIP
車輛宣告 · 路由激活認證 (Routing Activation)"]:::diag PDUR_MOD["【PDU 路由層】PduR 模組"]:::diag DCM_MOD["【診斷通訊管理】EB AutoCore Dcm
0x27 Seed&Key ＋ 0x29 憑證安全訪問 (SecA)"]:::diag FBL_MOD["【安全刷寫】Secure Boot / Flash 驗證"]:::diag KEYM_MOD["【金鑰與憑證中樞】KeyM 模組
根憑證庫管理 · 診斷憑證鏈驗證"]:::crypto CSM_MOD["【密碼服務管理器】CSM 模組
非對稱簽章校驗 · 亂數種子生成"]:::crypto TESTER <-->|加密 TCP 連接| NET_PHY NET_PHY <--> TLS_MOD TLS_MOD <--> SOAD_MOD SOAD_MOD <--> DOIP_MOD DOIP_MOD <--> PDUR_MOD PDUR_MOD <--> DCM_MOD DCM_MOD <--> FBL_MOD TLS_MOD <-->|雙向驗證| KEYM_MOD DCM_MOD <-->|0x29 憑證校驗| KEYM_MOD KEYM_MOD <--> CSM_MOD
3. 車輛宣告與路由激活認證機制
DoIP 通訊分為兩大階段：發現階段（UDP廣播/單播） 與 資料交換階段（TCP會話）。EB AutoCore DoIP 提供嚴格的握手準入控制：
| 階段 | 協定封包型別 (DoIP Payload Type) | 安全控制防護機制 |
|---|---|---|
| 車輛識別 | 0x0001 車輛識別請求 / 0x0004 車輛宣告 |
可配置僅在指定網路介面響應車輛宣告（VIN, EID, GID），防止外部掃描工具任意探測內部網絡拓撲。 |
| 路由激活 | 0x0005 路由激活請求 / 0x0006 路由激活響應 |
強制身分鑑別（Activation Authentication）：客戶端在建立 TCP 後，必須先發送激活請求。EB AutoCore 支援掛載專屬 Callout 驗證客戶端源 IP、Tester 邏輯位址與安全憑證。若認證失敗，立即中斷 Socket 連接。 |
| 診斷訊息 | 0x8001 診斷訊息 / 0x8002 診斷確認 |
僅在路由激活完成（State: ACTIVE）後才允許轉發至 PduR。未激活前收到的任何 0x8001 封包直接丟棄並觸發安全警告。 |
4. DoIP over TLS 握手與安全診斷時序
ISO 13400-2 規範了 DoIP over TLS。下圖展示外部診斷儀經由 TLS 1.3 建立加密連線、通過路由激活，進而在加密隧道內進行安全診斷與韌體更新的完整時序：
5. Dcm 0x27 / 0x29 憑證認證與安全刷寫
雖然 TLS 已經在傳輸層提供了鏈路防竊聽與完整性保護，但在應用層，針對核心安全操作（如 ECU 韌體擦除、金鑰注入、讀取敏感記憶體），EB AutoCore Dcm 提供了第二道防線：
- 傳統 0x27 服務：基於 Seed & Key（挑戰-應答），種子由 CSM 真隨機數產生器（TRNG）動態產生，並具備錯誤延遲鎖定計時器，防範暴力破解。
- 現代 0x29 服務 (Authentication)：基於非對稱密碼學（PKI）。診斷儀出示由 OEM 根證書簽署的 Role-based X.509 診斷憑證，Dcm 透過 KeyM 解析憑證擴展項（Extensions），精確授予「僅允許讀取 DTC」、「允許常規配置」或「全權限韌體刷寫」之等級。
6. EB tresos 關鍵配置參數解析
在 EB tresos Studio 中建立 DoIP 安全通訊時，需在 DoIP、SoAd 與 Dcm 模組間進行嚴謹配置：
| 配置模組與容器 | 參數名稱 (Parameter Name) | 配置取值範例 | 工程意義與防護考量 |
|---|---|---|---|
DoIP / DoIPRoutingActivation |
DoIPRoutingActivationAuthenticationCallback |
DoIP_UserAuthCallback |
指定路由激活時調用的身分驗證回調函數，自訂驗證來源位址與認證標誌。 |
SoAd / SoAdSocketConnectionGroup |
SoAdSocketTlsConnectionRef |
/Tls/TlsConnection_DoIP |
將 DoIP TCP 監聽通訊埠綁定至 TLS 模組，啟用傳輸層安全加密連線。 |
Dcm / DcmDspSecurityRow |
DcmDspSecurityNumAttDelay |
3 |
安全訪問比對失敗達 3 次即觸發懲罰延遲，定時器倒數期間拒絕所有認證請求。 |
DoIP / DoIPGeneral |
DoIPMaxTesterConnections |
2 |
限制並行連接的診斷儀數量，防止攻擊者建立海量 Socket 耗盡內存。 |
7. 法規符合性（UN R155 / UN R156）工程映射
在整車網路安全與軟體升級認證中，DoIP 模組是重點審核對象：
- UN R155 第 7.3 條（車輛網路安全管理系統 CSMS）：滿足對外診斷介面的「存取控制（Access Control）」與「防禦未經授權之遠端韌體注入」要求。
- UN R156（軟體升級管理系統 SUMS）：確保透過 DoIP 執行的 OTA 傳輸鏈路具備加密性，且軟體版本與校驗碼在跳轉至 Bootloader 前通過數位簽章驗證。
🚀 Jotactic（捷策動能）：EB AUTOSAR DoIP 診斷安全技術支持與服務
車載乙太網 DoIP 安全診斷通訊涉及 TLS 加密通道、路由激活控制與 Dcm 證書認證的深度整合。Jotactic（捷策動能） 基於 EB AUTOSAR 原生架構與標準配置工作流程，在不修改 EB 原廠代碼的前提下，為客戶提供專業技術服務：
💡 備註：EB AUTOSAR 提供標準化 DoIP 與 TLS 診斷通訊模組供客戶開發使用；ECU 與整車是否符合特定法規或通過通訊安全認證，屬於 Tier 1 與 OEM 客戶系統層級之工程範疇。捷策動能基於 EB 原生機制提供配置與技術支持服務，不修改 EB 原廠代碼，非 AUTOSAR 基礎軟體開發商。歡迎聯絡捷策動能團隊獲取技術支持。