01 · T-Box架构与功能定位
T-Box（车载网联终端）是车云链路的核心枢纽，典型形态为"通信SoC＋车规MCU"的双芯片架构：SoC运行Linux/安卓类系统承载远程服务、数据上报与娱乐互联；MCU负责CAN收发、电源管理、休眠唤醒与eCall等强实时功能，并通过内部总线与SoC隔离——即使SoC侧被攻陷，关键车控指令仍需经MCU层的策略校验。主要功能面：
- 远程服务：远程解锁/上锁、空调预启、充电管理、车况查询；
- 紧急呼叫：eCall（紧急自动呼叫）/B-Call（道路救援），涉及生命安全，可用性要求极高；
- 数据通道：车况遥测、故障码（DTC）上传、驾驶行为数据（衔接UBI保险）；
- 升级通道：OTA的下载与执行代理（详见第5页）。
安全定位：T-Box同时暴露于互联网侧（蜂窝网络）与车内网络侧（CAN/以太网），天然是双向跳板。其固件安全遵循子课题01方法论（Secure Boot、调试口封闭、固件签名），本节重点讨论链路与应用层。
02 · 通信链路安全
- 传输加密：蜂窝链路（4G/5G）上应全量启用TLS 1.2/1.3（RFC 8446）；对远程控制等高敏指令采用双向TLS（mTLS）——云端验证车辆证书、车辆验证云端证书，双向压制中间人攻击。
- 证书生命周期管理：车辆证书须有明确有效期与轮换机制；证书锁定（pinning）可防中间人，但会导致证书轮换困难，二者需在架构设计中显式权衡；证书吊销在车辆长离线场景下需配合短时令牌与本地白名单降级策略。
- 应用层防护：指令消息附加时间戳与一次性随机数（nonce）防重放；关键指令要求应用层二次签名（HSM内完成）；报文序列号单调递增，服务端拒绝跳跃回退。
- 网络侧加固：车企普遍采用APN专网或5G网络切片隔离车辆流量；T-Box不应响应外部主动发起的入站连接（连接均由车端发起），关闭一切非必要监听端口。
03 · 设备身份与密钥管理
- 一车一证/一车一密：每辆车拥有唯一设备身份（证书或对称密钥），禁止多车共用——一旦共用，单点泄露即波及全部同型车辆（与子课题05的"一机一密"原则一致）。
- 产线注入：密钥在产线安全工位一次性写入HSM/安全存储，写入过程审计留痕；研发、产线、售后三侧密钥体系分离。
- 密钥分层：设备根密钥（不出HSM）→会话密钥（TLS协商）→服务密钥（按服务签发）；支持按服务维度独立吊销与轮换。
- 硬件保护：私钥运算全部在HSM内完成（私钥不可读），抗提取攻击；HSM选型参照第2页EVITA分级。
04 · API与应用安全（含真实案例）
车云API是典型的"授权缺陷高发区"：接口数量大、迭代快、涉及车辆与用户双重对象。两个已被公开披露并修复的代表性案例：
| 时间 | 案例 | 缺陷与后果 | 修复与启示 |
|---|---|---|---|
| 2016.2 | 日产Leaf配套App | 远端API仅凭车架号（VIN， windshield可见）即可调用：读取车辆信息、远程控制空调——无有效身份认证 | 日产随后下线修复。启示：VIN是公开可见标识符，绝不能作为唯一鉴权凭据 |
| 2022.12 | SiriusXM智能网联服务接口（影响本田、日产、英菲尼迪部分联网车辆） | 研究者发现其车辆授权接口可通过篡改请求中的授权字段并替换为已知VIN，实现对他人车辆的未授权访问（执行远程操作、读取定位等） | 披露后修复。启示：对象级授权（每次访问校验"该身份能否操作该车"）与遍历检测（批量VIN枚举告警）缺一不可 |
4.1 API治理基线
- 鉴权全覆盖：所有端点（包括内部微服务间调用）默认鉴权；车辆身份与用户账号分离授权。
- 对象级授权（防IDOR）：每次资源访问校验主体-对象绑定关系，禁止以"知道标识符即可访问"替代授权。
- 速率限制与异常检测：单账号/VIN的调用频率限制；异地登录、批量VIN遍历、非常规指令序列触发风控。
- 第三方授权最小化：向充电、地图、语音等第三方服务开放时采用OAuth 2.0最小scope授权，可撤回、可审计。
05 · 云平台安全
- 资产与暴露面管理：微服务/API网关统一纳管，杜绝"影子接口"；对外暴露面持续扫描。
- 数据安全：车辆数据分区存储（遥测/用户档案/重要数据分离）、静态加密与访问审计；位置轨迹等敏感个人信息按法规要求的最小范围收集与留存。
- 变更与发布：车云配置变更走审批与回滚预案——2023年5月丰田披露：T-Connect/G-Link/G-Link Lite/G-BOOK等云服务数据库因配置错误，约215万辆车的导航终端ID、车架号及车辆位置信息可能在约10年间（2012年1月—2023年4月）遭未授权访问；2022年10月其还披露过另一起事件——T-Connect网站源码（含数据库访问密钥）曾被误上传至公开GitHub仓库，致约296,019名客户的邮箱与客户管理编号自2017年12月起暴露约5年。两起事件分别对应"云配置漂移"与"代码/密钥管理失效"两类典型风险。
- 车队级弹性：车企云是DDoS与撞库的高价值目标（衔接子课题06）；核心服务多活部署，紧急呼叫等生命安全服务具备降级运行能力。
06 · 汽车数据合规要点
《汽车数据安全管理若干规定（试行）》（国家网信办、国家发改委、工信部、公安部、交通运输部五部门发布，2021年10月1日施行）确立了汽车数据处理的基本规则：
- 默认不收集原则：汽车数据处理者处理个人信息应当取得个人同意或者符合法律规定的其他情形；除非驾驶人自主设定，每次驾驶时默认为不收集状态，驾驶人的设定信息应当被保存并便于删除。
- 敏感个人信息强化保护：生物识别特征、宗教信仰、特定身份、医疗健康、金融账户、行踪轨迹等敏感个人信息的处理需满足单独同意等更高要求。
- 重要数据制度：重要数据处理者应按规定开展风险评估，向省级网信部门和有关部门于每年12月15日前报送年度汽车数据安全管理情况；重要数据出境须通过安全评估。
- 车内处理与匿名化偏好：规定倡导 sensitive data 的车内处理与匿名化；向车外提供的座舱数据默认应经脱敏。
合规红线提示：位置轨迹数据既是高价值安全数据（远程服务依赖），也是法规明确的敏感个人信息——采集范围、留存周期、出境路径必须在产品设计阶段就写入数据字典与隐私影响评估（PIA），而非事后补救。
07 · 生态接口安全
- 充电运营平台：充电预约/支付接口的授权与防重放；快充桩PLC信令漏洞（BrokenWire，2023年披露）提示充电链路固件安全同样关键。
- 车队管理与UBI保险：FMS接口的数据范围最小化；驾驶行为数据的二次使用需车主授权。
- 数字钥匙：CCC（Car Connectivity Consortium）数字钥匙标准使手机成为车钥匙——手机端TEE/SE、钥匙分享吊销、中继攻击防护成为新的评估面，与子课题03的消费设备安全深度交叉。
本节参考来源（第4页）
Troy Hunt关于日产Leaf API问题的披露与分析（2016年2月）：troyhunt.com。
Sam Curry等关于SiriusXM智能网联服务接口的披露（2022年12月）：samcurry.net。
《汽车数据安全管理若干规定（试行）》（五部门，2021年10月1日施行）：gov.cn（中国政府网政策库）。
RFC 8446（TLS 1.3）：rfc-editor.org/rfc/rfc8446；OAuth 2.0框架：rfc-editor.org/rfc/rfc6749。
丰田云服务数据库配置错误官方披露（2023年5月，约215万辆车）：丰田官网声明及主流科技媒体报道；丰田T-Connect网站源码密钥泄露官方披露（2022年10月，296,019名客户）：丰田官网声明。
Car Connectivity Consortium（CCC）Digital Key规范：carconnectivity.org。