[发明专利]基于TrustZone的CAN总线数据防护方法及系统

说明书

本发明一种基于TrustZone的汽车CAN总线数据防护方法及系统，所述方法是基于具有支持TrustZone技术的设备平台的汽车，设备平台至少包括处理器和CAN设备，所述处理器可运行在安全态和非安全态，所述设备平台可运行安全操作系统和普通操作系统，包括设置汽车安全CAN设备过程和车辆控制数据传送过程；设置汽车安全CAN设备模块和车辆控制数据传送模块。通过与车辆通信的CAN模块运行在安全操作系统上，普通操作系统不能直接访问安全CAN模块，需通过安全操作系统进行CAN数据收发。实现不需要外接安全加密芯片或者防火墙设备，或者使用秘钥，即可以有效的阻止车辆CAN总线遭受来自外部的恶意攻击。

技术领域

本发明属于计算机信息安全技术领域，具体涉及一种基于TrustZone的CAN总线数据防护方法及系统。

背景技术

汽车已经从奢侈品逐渐变成大众消费品，而人们对汽车的需求也不仅仅只满足于它的代步功能，对车上的影音娱乐系统和人机交互体验的要求也逐渐提高，而这些功能都是依赖操作系统进行实现的。车载娱乐和车载控制系统就成为了黑客们新的攻击目标。如果这个操作系统被黑客攻陷，黑客就可以随意控制车辆的运行状态，从而车上人员的安全都将受到极大的威胁。随着车联网的快速发展，汽车信息安全尤为重要。

防止车辆被攻击就是要保护车辆总线免受来自外部非法手段的攻击，目前主要的数据保护方式有：

1.对经过总线的数据进行加密，缺点是会严重影响车身网络的带宽。

2.采用数字签名的方式，车身总线的安全数据在传输时进行数字签名，是一种有效的数据保护方法，同时不受网络带宽影响。但这种方法如果秘钥丢失，则风险较大，缺点是需要额外对秘钥进行保护；

3.安装防火墙，在总线接口上安装硬件防火墙，防止恶意攻击。缺点就是需要增加额外的硬件设备。

发明内容

本发明在于为解决上述问题而提出一种使用TrustZone技术来保护汽车CAN总线的方法及系统，该技术把运行软件和底层硬件分成安全和普通两部分，只有运行于安全环境的软件才能访问处于安全环境的设备，这种方法可以有效的防止来自车载控制系统非安全软件的攻击。

本发明一种基于TrustZone的CAN总线数据防护方法，所述方法是基于具有支持TrustZone技术的设备平台的汽车，设备平台至少包括处理器和CAN设备，所述处理器可运行在安全态和非安全态，所述设备平台可运行安全操作系统和普通操作系统，包括如下过程：

设置汽车安全CAN设备过程：将与汽车CAN总线进行通信的CAN设备设置成安全CAN设备，只有处于安全态的处理器才能访问CAN设备；安全操作系统运行在处理器的安全态，只有运行在安全操作系统的软件才能访问CAN设备；

车辆控制数据传送过程：当运行于普通操作系统的汽车控制客户端程序需要通过CAN设备发送车辆控制数据时，其调用运行于安全操作系统的安全汽车控制服务端程序，使处理器由运行在非安全态模式切换到运行在安全态模式，进而访问CAN设备完成车辆控制数据传送，从而确保数据传送的安全。

进一步的，车辆控制数据传送过程具体包括如下步骤：

S1.运行于普通操作系统的汽车控制客户端程序把需要发送的CAN数据按数据帧格式写入共享内存中，进入S2步骤；

S2.汽车控制客户端程序调用TrustZone底层驱动程序，并传入一个参数A，然后进入休眠等待，进入S3步骤；

S3.TrustZone底层驱动程序把传入的参数A保存到固定地址，然后调用SMC指令，使处理器进入到监控模式下，进入S4步骤；

S4.监控模式下的监控程序把当前环境切换到安全态，并跳到安全操作系统，进入S5步骤；