【車載通訊協定資安】
LIN 總線安全防護

1. LIN 總線資安威脅與現實挑戰

區域互聯網路（LIN, Local Interconnect Network）因其極低節點成本、單線傳輸（Single-wire）與主從式排程（Master-Slave Schedule Table）架構，廣泛應用於車窗升降、雨刷、電動後視鏡、氛圍燈、空調風門與智慧電瓶感測器（IBS）等車身次系統中。

傳統整車網路架構中，工程師常將 LIN 總線視為「末梢封閉網路」，誤以為其不具備直接對外連網能力而忽略其資安防護。然而，在現代車載威脅分析（TARA）中，LIN 總線面臨著明確而危險的攻擊路徑：

• 物理外露線束搭接（Harness Tapping）：例如安裝於車門外的電動後視鏡 LIN 線束極易被有心人士拆解並搭接硬體探針。攻擊者可在 LIN 總線上注入偽造的診斷請求（UDS 診斷報文 0x3C / 0x3D）。
• 橫向移動跳板攻擊（Lateral Movement Pivot）：若 LIN Master 閘道節點缺乏嚴密的通訊與診斷路由過濾，攻擊者可藉由末梢 LIN 匯流排作為跳板，誘使 LIN Master 閘道將惡意診斷指令轉發至骨幹 CAN / CAN FD 甚至車載乙太網路，危及底盤與動力域安全。
• 感測器數值篡改與拒絕服務（Spoofing & DoS）：針對關鍵電池感測器（IBS），攻擊者若篡改充電電流或電壓報文，可能導致整車電源管理控制器做出錯誤充放電決策；惡意節點持續拉低 LIN 總線電平（Bus Low Jamming）亦會造成整個子網通訊癱瘓。
• 資源極度受限的防護困境：LIN 傳輸鮑率通常僅 19.2 kbps，每訊框最大負載僅 8 Bytes。若直接套用 AUTOSAR SecOC 標準 64-bit MAC 與新鮮度計數器，將完全耗盡有效訊號載荷，必須仰賴更靈活的架構防護與輕量化策略。

2. EB AutoCore LIN 安全防護總體架構

面對 LIN 總線帶寬與算力極度受限的特性，EB AutoCore 採取「閘道深層邊界防禦 + LinTp 傳輸層診斷鑑別 + 軟體資安感測監控」的多層次防禦體系。LIN Master 作為車載網路分區的第一道防火牆，阻斷任何末端次網絡的越權滲透。

3. 閘道邊界隔離與 PduR 嚴格路由過濾

防止 LIN 總線被作為滲透跳板的核心在於 EB AutoCore PduR（PDU Router） 的架構邊界隔離設計。在傳統配置中，部分工程師為了除錯便利，往往設定跨匯流排透傳路由（Forwarding All），給攻擊者開啟了入侵通道。

在 EB tresos 中配置 PduR 路由表時，必須落實下列策略：

1. 禁止 LIN 到 CAN 的 PduR 直通路由（PduRRoutingPath）：末端 LIN 訊框必須終止於 LinIf，經由 Com 模組解碼為內部訊號（Signals），由 RTE 派發至上層控制邏輯校驗有效性（Range Check / Plausibility Check）後，才決定是否更新 CAN 發送緩衝區。
2. 嚴格隔離 LIN 診斷路由通道：LIN 的診斷訊框固定使用 Master 請求幀（NAD 0x3C）與 Slave 應答幀（NAD 0x3D）。PduR 必須嚴格限定 LinTp 僅能與本地 Dcm 建立通道，嚴禁將 LinTp 路由關聯至 CanTp 或 DoIP 傳輸層。

4. LinTp 傳輸層診斷授權與固件更新防護

LIN 從節點常具備透過 LinTp（ISO 17987-2）進行線上韌體更新（FOTA/Bootloader）或校準參數讀寫的能力。若缺乏安全控制，攻擊者可在 LIN 總線上搭接工具，對末端節點進行惡意刷寫或讀取敏感標定數據。

透過 EB AutoCore Dcm 模組的 DcmDspSecurity 容器配置：

• 非對稱加密 / 現代雜湊演算法支持：透過 EB CSM 串接硬體加密引擎或安全軟體庫，支援基於 AES-128 CMAC 或 ED25519/ECDSA 的種子密鑰校驗，徹底取代安全性薄弱的簡易查表或線性反饋移位暫存器（LFSR）。
• 暴力破解防護（Attempt Counter & Delay Timer）：配置 DcmDspSecurityNumAttDelay 與 DcmDspSecurityDelayTime。當 LIN 總線上連續出現錯誤金鑰嘗試時，強制鎖定診斷介面數秒至數分鐘，阻止自動化探針的窮舉攻擊。

5. 輕量級鑑別與新鮮度折衷考量

對於少數安全要求極高的 LIN 節點（例如智慧型高壓電池斷路器感測器或電子方向盤鎖），若必須對常態週期報文進行資料完整性保護，則必須在有限的 8 位元組負載中做出精細權衡：

6. IdsM LIN 匯流排資安感測器與異常偵測

由於 LIN 總線為單線半雙工架構，易受外部電氣干擾與惡意拉低電平攻擊。EB AutoCore IdsM（Intrusion Detection System Manager） 提供了針對 LIN 協定棧的專屬資安感測器（Security Sensors）：

透過 LinIf 與 LinTp 的資安掛載回調（Security Callout），當末梢 LIN 匯流排發生異常探針搭接、惡意重發或嘗試對未知 NAD 實施窮舉掃描時，IdsM 即時截獲事件並執行過濾，防止微控制器日誌緩衝區因連續錯誤而枯竭。

7. EB tresos 配置實務與關鍵參數

在 EB tresos Studio 中進行 LIN 總線安全防護與閘道隔離配置時，工程師應著重以下模組參數配置：

8. UN R155 / ISO 21434 法規對應與技術支持

雖然 LIN 總線屬於低速子網，但在整車資安型式認證中依然扮演不可或缺的防護角色：

• ISO 21434 第 9 章（概念階段）與第 10 章（產品開發）：透過邊界隔離機制與嚴格路由架構，將 LIN 子網劃分為獨立信任網段（Trust Zone），有效降低威脅擴散風險並滿足 TARA 安全目標。
• UNECE UN R155 Annex 5 威脅對應：防範「未經授權的診斷指令發起（M14）」與「透過車載實體介面發動橫向滲透（M15）」，落實次系統安全基線。