【車載通訊協定資安】
車載乙太網路 MACsec 安全防護

1. 車載乙太網路骨幹之鏈路層安全威脅

隨著車輛電子電氣（E/E）架構朝向區域控制（Zonal Architecture）與中央計算平台演進，車載乙太網路（100BASE-T1、1000BASE-T1 以及 Multi-Gigabit 乙太網）已成為連接智駕域、座艙域、區域閘道（Zonal ECU）與高效能中央電腦（HPC）的核心通訊骨幹。

傳統傳輸層資安方案（如 TLS 1.3）僅能保護基於 TCP 的通訊連線（如 DoIP 診斷或 MQTT 雲端連線），對於整個車載乙太網鏈路存在以下防護盲區：

• 非 IP 與非 TCP 協議完全暴露：車載網絡中存在大量非 IP 流量（如 IEEE 802.1AS 精密時間同步 PTP 協議、IEEE 1722 音視頻傳輸 AVTP 協議）以及基於 UDP 的 SOME/IP 與廣播服務。TLS 無法跨協議保護這些二層數據。
• 物理搭接中間人攻擊（L2 Man-in-the-Middle）：攻擊者可在區域控制器與中央網關之間的雙絞線物理鏈路上搭接惡意設備，實施 ARP 欺騙、MAC 地址仿冒（MAC Spoofing）、廣播風暴以及惡意注入偽造控制訊框。
• 高吞吐量下的 CPU 資源枯竭：若在千兆乙太網路上純粹依靠主微控制器的 CPU 運行軟體加密（如軟體 SecOC 或軟體 TLS），在達到數百兆至千兆傳輸速率時，CPU 負荷將迅速突破 100%，導致控制器無法執行即時車控演算法。

2. MACsec (IEEE 802.1AE) 協定核心機制

MACsec（Media Access Control Security，IEEE 802.1AE） 運行於 OSI 第二層（資料鏈結層），能夠對實體鏈路上流經的所有訊框（包含 IP、SOME/IP、DoIP、PTP、AVTP） 提供線速（Line-rate）的點對點加密、完整性校驗與防重放保護。

3. EB AutoCore MACsec 整合與分層架構

在 EB AutoCore 框架中，MACsec 實現了與底層乙太網驅動（Eth）、乙太網介面（EthIf）以及密碼堆疊（KeyM / CSM / Crypto Driver）的無縫銜接。更關鍵的是，上層協議棧（TcpIp、SOME/IP、DoIP、PduR）完全無需修改任何代碼，實現了全透明的鏈路安全保障。

4. 硬體線速卸載（Hardware Offload）與微秒級低延遲

車載乙太網路對延遲要求嚴苛（如雷達/相機高頻串流通常要求小於 10 微秒傳輸時延）。在 EB AutoCore 架構中，MACsec 的核心加解密與 ICV 認證完全透過 硬體卸載（Hardware Acceleration） 執行。

此外，針對高頻寬下的防重放問題，EB AutoCore 支援 擴展封包號（XPN, Extended Packet Number，64-bit）：

• 傳統 32-bit PN 在千兆全雙工傳輸時，約數十分鐘便會發生數值溢出（PN Exhaustion），必須頻繁觸發昂貴的金鑰更新。
• 採用 64-bit XPN 後，即使在 10 Gbps 連續線速飽和傳輸下，金鑰計數器幾百年也不會溢出，徹底保證了車輛在長週期運行中的通信持續性與抗重放安全。

5. MKA 金鑰協商與 SAK 動態輪換管理

MACsec 的通信安全依賴於安全關聯金鑰（SAK, Secure Association Key）。EB AutoCore 支援靜態金鑰配置與基於 IEEE 802.1X-2010 MKA（MACsec Key Agreement） 的動態協商機制：

6. IdsM 第二層安全感測器與異常偵測

雖然 MACsec 硬體引擎能自動丟棄損壞或惡意訊框，但在整車安全運營中心（VSOC）架構下，必須將攻擊事件及時感知並回報。EB AutoCore IdsM 與 MACsec 緊密聯動：

7. EB tresos 配置實務與關鍵參數

在 EB tresos Studio 中進行 MACsec 與乙太網安全配置時，關鍵參數配置如下：

8. UN R155 / ISO 21434 認證對應與技術支持

車載乙太網作為全車高速骨幹，其鏈路安全直接決定整車架構防護等級：

• ISO 21434 第 10 章（產品開發）：透過 MACsec 二層線速加密與防重放機制，於底層物理介面建立「縱深防禦（Defense-in-Depth）」之第一道不可繞過防線，達成 TARA 中針對實體線束暴露的安全目標。
• UNECE UN R155 Annex 5：滿足 M9「防範車載通訊遭監聽與資訊洩漏」及 M14「防範通訊數據被篡改」，全面守護骨幹網數據機密性與完整性。