🛡️ 車載通訊協定資安技術專題 · SOME/IP 篇

【車載通訊協定資安】
SOME/IP 服務導向資安防護

EB AutoCore 服務發現授權、報文身分鑑別與存取控制清單 (ACL)。全面解析在 AUTOSAR CP 架構中，如何防禦 SOME/IP 動態服務網路下的惡意服務欺騙、未授權調用與事件竊聽攻擊。

SD 服務發現授權身分鑑別存取控制 ACL ISO 21434

1. SOA 服務導向架構與 SOME/IP 資安威脅

隨著車載電子電氣架構轉向中央計算與區域控制器（Zonal Architecture），基於車載乙太網的 SOME/IP（Scalable service-Oriented MiddlewarE over IP） 成為高頻寬通訊的核心協定。SOME/IP 支援遠端程序調用（RPC）、事件訂閱（Publish/Subscribe）與服務動態發現（SOME/IP-SD）。

然而，動態服務導向的靈活性也帶來了全新的攻擊面：

惡意服務發布與欺騙（Rogue Service Spoofing）：攻擊者控制車載資訊娛樂系統（IVI）或外連網關後，可在乙太網上廣播偽造的 SOME/IP-SD OfferService，欺騙底盤或動力 ECU 調用惡意服務。
未授權方法調用（Unauthorized Method Invocation）：服務端（Server）若缺乏調用者身份校驗，任何具有 IP 通訊能力的節點皆可調用高權限 Method（例如「遠端開關窗」、「重置感測器」或「觸發校準流程」）。
未經授權之敏感資料訂閱（Eavesdropping via Eventgroup）：攻擊者向合法服務端發送 SubscribeEventgroup 請求，竊取行車軌跡、電池電壓或駕駛行為等隱私資料。
服務發現風暴攻擊（SD Storm / Denial of Service）：大量發送隨機的 FindService 報文，使服務端 ECU 疲於回應與維護會話狀態表，耗盡記憶體與 CPU。

🚨 實車防禦重點

在傳統訊號導向（Signal-based）通訊中，通訊矩陣是靜態預先定義的；而在 SOA 架構下，服務是動態尋找與綁定的。若未在服務發現與傳輸階段建立雙重授權鑑別，整個車載以太網將面臨水平越權與全網滲透風險。

2. EB AutoCore SOME/IP 資安縱深防禦體系

在 AUTOSAR Classic Platform (CP) 架構中，EB AutoCore / ACG (AutoCore Generic) 透過多層次安全機制實現 SOME/IP 的端到端防護：

flowchart TD classDef app fill:#e9f2ff,stroke:#0052cc,stroke-width:2px,color:#091e42; classDef someip fill:#f3e8ff,stroke:#6554c0,stroke-width:2px,color:#091e42; classDef sec fill:#e3fcef,stroke:#00875a,stroke-width:2px,color:#091e42; classDef net fill:#fff0b3,stroke:#d97008,stroke-width:2px,color:#091e42; CLIENT_APP["【應用層客戶端】Consumer SW-C
發起 Method Call 或訂閱 Event"]:::app SERVER_APP["【應用層服務端】Provider SW-C
提供 Service 實作"]:::app SOMEIP_CORE["【SOME/IP 協定核心】EB AutoCore SomeIpXf / SomeIpTp
訊息封裝 · 存取控制清單 (ACL) 檢查"]:::someip SD_MODULE["【服務發現模組】EB AutoCore Sd (SOME/IP-SD)
動態服務發現與受控 Offer / Find"]:::someip SECOC_LAYER["【PDU 級訊息鑑別】SecOC 模組
針對安全敏感 Method 附加 MAC 與新鮮度"]:::sec TLS_LAYER["【傳輸層加密保護】TLS / DTLS 模組
機密性保護與證書鏈身分鑑別"]:::sec SOAD["【通訊適配層】SoAd (Socket Adaptor)
通訊插槽派發 · 連接白名單校驗"]:::net TCPIP["【網路傳輸層】TcpIp 協定堆疊＋ EthIf 模組"]:::net IDSM["【入侵檢測模組】EB AutoCore IdsM
捕獲非法服務調用與異常訂閱事件"]:::sec CLIENT_APP --> SOMEIP_CORE SERVER_APP --> SOMEIP_CORE SOMEIP_CORE <--> SD_MODULE SOMEIP_CORE -->|敏感控制訊號| SECOC_LAYER SOMEIP_CORE -->|高頻寬串流| TLS_LAYER SECOC_LAYER --> SOAD TLS_LAYER --> SOAD SOAD --> TCPIP SOMEIP_CORE -.->|上報越權調用事件| IDSM SD_MODULE -.->|上報偽造服務發現| IDSM

圖 1：EB AutoCore SOME/IP 與 SOME/IP-SD 縱深防禦架構

3. SOME/IP-SD 服務發現授權與過濾控制

為了防範偽造服務與服務發現風暴，EB AutoCore 提供了基於靜態規則與動態過濾的服務發現防護機制：

防禦維度	防護機制名稱	工程實現與運作原理
服務端認證	受限服務發布 (Restricted OfferService)	僅允許通過身分驗證且綁定指定 IP/MAC 的 ECU 發布特定 `ServiceID`。非授權節點發送的 OfferService 訊框在 Sd 模組層直接丟棄。
客戶端准入	訂閱白名單 (Subscription ACL)	服務端在收到 `SubscribeEventgroup` 請求時，比對客戶端 IP 與 Client ID。未在授權清單內的客戶端將收到 `Subscription Negative Acknowledge`。
服務尋找防護	FindService 速率限制 (Rate-Limiting)	限制單一 IP 單位時間內允許查詢服務的頻率，防止掃描器探測全車 SOA 拓撲或引發 CPU 饑餓。

4. 服務訂閱與安全方法調用時序

下圖展示客戶端（Client ECU）透過 SOME/IP-SD 進行授權訂閱，隨後發起受保護之高安全方法調用（SecOC / TLS 鑑別）的完整交互時序：

%%{init: {"themeVariables": {"fontSize": "32px", "actorFontSize": "32px", "messageFontSize": "32px", "noteFontSize": "32px"}}}%% sequenceDiagram participant Client as 客戶端 ECU (Client) participant Eth_Bus as 車載乙太網匯流排 participant Sd as EB AutoCore Sd 模組 participant SomeIP as EB AutoCore SomeIpXf participant SecOC as SecOC / CSM participant IdsM as IdsM 入侵檢測 participant Server as 服務端 ECU (Server) Note over Client, Server: 階段一：受控服務發現與訂閱 Server->>Eth_Bus: 1. SOME/IP-SD: OfferService (ServiceID: 0x1234, Instance: 0x01) Client->>Eth_Bus: 2. SOME/IP-SD: SubscribeEventgroup (Client IP: 192.168.1.10) Eth_Bus->>Sd: 3. 接收訂閱請求 Sd->>Sd: 4. 檢查訂閱白名單 (ACL Verification) alt 客戶端在白名單內 Sd-->>Client: 5a. 訂閱確認：SubscribeEventgroupAck else 非法客戶端嘗試訂閱 Sd-->>Client: 5b. 拒絕訂閱：SubscribeEventgroupNack Sd->>IdsM: 6b. IdsM_SetSecurityEvent(SEV_SOMEIP_UNAUTHORIZED_SUBSCRIPTION) end Note over Client, Server: 階段二：安全遠端方法調用 (Secure RPC) Client->>SomeIP: 7. 呼叫敏感方法：Method_ID 0x0001 (Request) SomeIP->>SecOC: 8. 計算身分鑑別碼 (Attach MAC ＋ Freshness) SecOC->>Eth_Bus: 9. 傳輸 Secured SOME/IP 報文 Eth_Bus->>SomeIP: 10. 服務端接收 SOME/IP 請求 SomeIP->>SecOC: 11. Csm_MacVerify 校驗請求真實性 alt 驗證通過 SomeIP->>Server: 12a. 派發至應用層執行業務邏輯 Server-->>Client: 13a. 回傳執行結果 (Response) else 鑑別失敗 (竄改或重放) SomeIP->>SomeIP: 12b. 立即拋棄此請求 SomeIP->>IdsM: 13b. IdsM_SetSecurityEvent(SEV_SOMEIP_MAC_VERIFY_FAILED) end

圖 2：EB AutoCore SOME/IP-SD 服務發現授權與安全 RPC 調用時序圖

5. 存取控制清單 (ACL) 與 IdsM 異常監控

EB AutoCore SOME/IP 模組內建 Method / Event 存取控制機制。在設定檔中，每個 MethodId 與 EventGroupId 均可明確指定合法的調用者身分特徵（如 Client ID 區間、IP 範圍或所需之安全訪問等級）。

⚠️ 阻斷攻擊與安全事件回報聯動

當外部節點嘗試掃描未公開的 Method，或以無效的權限憑據調用執行元件時，EB AutoCore SOME/IP 模組不僅會在網路層回傳 E_NOT_OK，同時會將調用者 IP、目的 Service ID 與異常時間戳封裝為安全事件（SEv），通報至 IdsM，進而將事件聚合上報至雲端 VSOC，協助車隊營運者即時發現潛在的內部滲透行為。

6. EB tresos 關鍵配置參數解析

在 EB tresos Studio 中建立 SOME/IP 資安配置時，核心參數需在 SomeIpXf、Sd、SoAd 與 SecOC 模組間相互對接：

配置模組與容器	參數名稱 (Parameter Name)	配置取值範例	工程意義與防護考量
`Sd / SdInstanceConfig`	`SdSubscribeEventgroupAclRef`	`/Acl/AllowedClientsGroup1`	指定該服務實例所關聯的客戶端訂閱白名單，非名單內 IP 請求將被直接拒絕。
`SomeIpXf / SomeIpMessage`	`SomeIpSecOCProtectionEnabled`	`TRUE`	為指定的 SOME/IP 訊息啟用 SecOC 報文保護，自動在序列化後調用 CSM 計算 MAC。
`SoAd / SoAdSocketConnectionGroup`	`SoAdSocketTlsConnectionRef`	`/Tls/TlsConnection_SomeIp`	將特定 SOME/IP 通訊通道綁定至 TLS/DTLS 傳輸層，實現全通道加密傳輸。
`IdsM / IdsMEvent`	`IdsMSecurityEventId`	`SEV_SOMEIP_UNAUTHORIZED_ACCESS`	註冊 SOME/IP 越權調用安全事件識別碼，配置對應之閾值過濾與取樣規則。

7. 法規符合性（UN R155 / ISO 21434）工程映射

在面對現代軟體定義汽車（SDV）的法規審查時，SOME/IP 協定安全對應關鍵法規需求：

UN R155 Annex 5 威脅緩解（Mitigations for In-Vehicle Network）：落實 M12「防止通訊遭未授權截聽」與 M15「服務導向架構（SOA）存取授權控制」，防禦外部跳板控制整車關鍵服務。
ISO 21434 軟體元件架構設計規範：滿足「最小權限原則（Principle of Least Privilege）」與「縱深防禦原則（Defense-in-Depth）」，確保跨 ECU 方法調用具備不可抵賴性。

🚀 Jotactic（捷策動能）：EB AUTOSAR SOME/IP 資安技術支持與服務

車載乙太網 SOME/IP 涉及動態服務發現、序列化（Serialization）、傳輸層綁定與資安授權的多層次連動。Jotactic（捷策動能） 基於 EB AUTOSAR 原生架構與標準配置工作流程，在不修改 EB 原廠代碼的前提下，為客戶提供專業技術服務：

✔

EB tresos 模組參數配置服務：協助客戶在 EB tresos Studio 中進行 SOME/IP-SD 服務發現授權、SomeIpXf 序列化配置、SecOC 訊息綁定與 SoAd 連接的標準參數配置與 ARXML 匯入匯出。

✔

技術支持與諮詢服務：提供 EB AUTOSAR SOME/IP 標準安全通訊配置流程、存取控制清單（ACL）設定與異常診斷的技術諮詢，協助客戶排查配置過程中的問題。

✔

基於 EB 機制的客製化 Demo 專案開發：基於 EB 原生架構與標準 API 建立 SOME/IP 服務發現與安全方法調用驗證 Demo 專案，輔助客戶進行模組功能驗證。

💡 備註：EB AUTOSAR 提供標準化 SOME/IP 通訊與資安模組供客戶開發使用；ECU 與整車是否符合特定法規或通過通訊安全認證，屬於 Tier 1 與 OEM 客戶系統層級之工程範疇。捷策動能基於 EB 原生機制提供配置與技術支持服務，不修改 EB 原廠代碼，非 AUTOSAR 基礎軟體開發商。歡迎聯絡捷策動能團隊獲取技術支持。