车载云计算安全综述

纪健全 姚英英 常晓林

摘   要：伴随智能交通系统的快速发展，车辆的物理资源设备愈发趋向于计算机化。车载云计算以车辆自组网与云计算为基础，实现对底层物理资源的充分利用，以满足安全驾驶、车载娱乐等服务需求。然而，车载云计算在提高云服务效率的同时，也面临着诸多安全威胁与挑战。安全已成为车载云计算领域亟待解决的重要问题之一。文章首先介绍了车载云计算的架构，并从完整性、可用性、机密性等方面对其安全需求进行分析，之后分别阐述了可能受到的安全攻击，并在此基础上总结了相应的防护对策，最后讨论了车载云计算安全的未来研究方向。

关键词：车载云计算;安全需求;攻击

中图分类号： TP309          文献标识码：A

1 引言

近年来，车辆自组网[1]（Vehicle Ad hoc Network，VANET）已經成为智能交通系统发展的重要基础。与此同时，云计算被应用于交通领域。通过将其与VANET相结合形成车载云计算（Vehicular Cloud Computing，VCC）[2]，实现了在快速变化的自组织网络中进行通信和资源共享，为用户提供了低成本高效率的云服务。

然而，由于受VANET[3]和云计算[4]两种技术本身存在的安全漏洞所影响，VCC的安全问题也日益凸显。无论是广泛的资源自主共享，还是快速移动车辆间的无线通信，亦或是云成员的可信程度都给VCC带来了极大的安全挑战[5]。

一方面，攻击者和合法用户都可以平等地成为VCC系统的一部分，在资源被不断共享和租用时，车辆很容易与攻击者进行交互并不易察觉。与此同时，车辆的高机动性也使得用户成员在快速变化，这也意味着敏感数据被访问的可能性逐渐增大。

另一方面，在VCC中云的动态部署经常位于停车场、路边基础设施等区域，这些地方很容易受到内部攻击的影响，因此用户会对云服务提供商的安全防护能力产生质疑，存在于VCC中的安全隐患随时都可能给用户带来巨大的损失。由此可见，针对VCC的安全问题有待进一步研究解决。

本文首先介绍了VCC的基本架构，并对其安全需求进行详细剖析，之后分析了在VCC中可能受到的恶意攻击，并讨论相应的防护对策，最后概述了VCC安全的未来研究方向。

2  VCC的基本架构

在VCC中，车辆的快速移动使车载云的形成具有动态自主性，参与交互的实体也不断发生变化，同时车辆既可以通过广播道路信息作为服务提供者，也可以通过享受集中式的互联网云服务作为消费者。这些导致了各类VCC架构的出现。Gu等人[6]提出了VCC两层架构：第一层是基于互联网云计算平台，主要为用户提供数据获取的云服务需求;第二层则是由多个车载云所构成，以满足用户对车载云服务的需求。Ahmed等人[7]详细阐述了VCC技术的发展及其特性，同时将VCC架构分成三层进行介绍，分别是车辆内部层、通信层和云计算层。

车辆内部层主要是利用传感器收集车内各类信息，整理后上传云端或作为其他应用程序的输入进行存储;通信层则是方便车辆与云层之间进行交互，其分为车对车（Vehicle to Vehicle，V2V）通信和车对基础设施（Vehicle to Infrastructure，V2I）通信两类;云计算层又被分为三个子层，分别是云基础设施、云应用和云服务，它主要是利用云中存储的计算资源为用户提供网络服务。

本节将VCC基本架构分为两部分进行介绍：车载云和互联网云，如图1所示。

（1）车载云

车载云的形成主要是基于V2V与V2I通信。车辆内部的控制器局域网总线将物理资源进行整合并利用传感器收集车辆信息，之后通过车载单元（On Board Unit，OBU）实现与其他车辆或路侧单元（Road Side Unit，RSU）的信息交互。而车载云是将底层设备的物理资源整合形成设施云，进而按需部署，在减少未充分利用车载资源的同时，为用户提供高效的云服务。根据VCC应用场景的不同，形成车载云的难度也会有所差异。

例如，在大型停车场附近部署车载云会相对容易，因为在这类环境中，车辆会长期处于静止状态，这使得大量的物理资源被长时间搁置，因此这些车辆便可以成为云服务的提供者[8]，利用专用短程通信将闲置资源进行汇总形成自主云，从而进行高性能的存储、计算服务。但是，对于在城市道路或高速公路上的车辆来说，其高机动性特点使车载云的形成较为困难，车辆的快速移动使云成员不断发生动态变化，同时车辆作为服务提供者和服务消费者的身份也在随时变换，这些都对车载云的性能提出了更高的要求。

（2）互联网云

互联网云则是基于传统意义上的云所构成的网络，它可以通过RSU等基础设施实现与车辆的通信交互。互联网云主要分为基础设施即服务（Infrastructure as a Service，IaaS）、平台即服务（Platform as a Service，PaaS）、软件即服务（Software as a Service，SaaS）三层。IaaS中最主要的部分为虚拟化层，其包含了计算、存储等虚拟化资源;PaaS主要是为了开发云上的应用程序，利用应用程序接口（Application Programming Interface，API）来作为云服务提供商与用户之间的交互通道;SaaS则是通过网络提供应用服务，来满足用户信息娱乐、互联网浏览等需求。

3  VCC安全需求分析

在VCC中，物理资源可以在车辆间进行动态共享，各类数据也会被广泛传播，一旦攻击者对VCC中的信息造成威胁，其后果不堪设想。因此，构建VCC的首要需求就是保证其安全性。本节从完整性、可用性、机密性、不可抵赖性和认证五个方面对VCC系统中的安全需求进行分析。

（1）完整性

基于车辆内部的完整性主要是针对车载数据与车载通信两部分。对车载数据而言，完整性应防止未经授权的实体对OBU上的本地数据进行更改;并且应保证用户对车辆内部软件进行更新升级操作的真实性。而针对车载通信的完整性，OBU应验证经车载网络传输的消息数据是否发生未经授权的更改，同时位于车载平台中的所有实体都应该向除自身以外的其他车辆证明其内部资源的真实和完整性。

基于无线网络通信的完整性，应防止未经授权实体对位于无线通信信道上的数据进行修改、删除等操作[9]，同时经无线网络传输而收到的消息也应由OBU进行完整性验证。

基于云的完整性则是针对云系统的虚拟化资源、云数据信息的安全防护需求，尤其是防止内部人员的恶意篡改。

（2）可用性

VCC的形成主要是基于V2V与V2I通信，由于云的多租户性特点，无线通信信道的共享面临着极大的安全挑战。尤其是针对可用性的安全威胁，很容易导致网络通信的中断，从而影响信息数据的安全传输。因此，针对可用性需求，主要是保证无线网络通信处于稳定安全的工作状态[10]，从而使用户能够随时访问云资源，享受云服务。

（3）机密性

存在于VCC中的信息数据通常涉及用户的敏感信息，例如有关交通状况的广播通信一般与车辆位置信息相关，基于车载软件的数据容易分析出驾驶员的行车轨迹、生活喜好等隐私信息。因此，在VCC中保证机密性至关重要。机密性安全需求首先应防止恶意人员对车载数据或通信进行篡改和泄露。其次，应对无线网络通信中的数据进行安全加密，只有授权实体才可进行访问[11]。同时，对车辆的身份和位置信息实施匿名隐私保护。此外，应识别验证云实体的合法身份，仅允许对已授权的云实体公开数据信息，实现对系统资源的访问限制，并且应根据云实体的不同分别设置其特定的访问控制权限。

（4）不可抵赖性

不可抵赖性则适用于车辆发生冲突的情况，为保证数据的发送方和接收方诚实的面对自身行为，从而对发送和接收的数据不可否认[12]。因此，不可抵赖性的实现保证了对信息源头的可追溯性，并且验证数据的真实性。同时不可抵赖性还包括云实体与其他任何实体存在有交互的不可否认性。

（5）认证

认证主要是为了防止攻击者在无线通信网络中的恶意攻击，采用认证方式确保信息发送者的合法性和真实性[13]，防止恶意实体的侵入。基于车辆的高机动性特点，有必要对其位置信息进行验证，从而保证所接收信息的真实性和与当前环境的关联程度。

4  安全攻击

对于在动态变化的物理资源上实现车载云的部署，VCC面临着许多安全威胁。因此，本节针对上述安全需求，分析其相应的安全攻击。

（1）针对完整性攻击

数据篡改：攻击者对通信信道上的数据进行恶意删除、修改等操作[18]，以达到破坏数据完整性的目的。同时，还可能在通信网络中广播伪造信息，如发送虚假的安全消息，营造出一个良好的行车环境，从而使驾驶员做出错误判断。此外，攻击者还可能對云数据进行未经授权的更改，并且由于云服务对API的高依赖性，针对云中的软件应用程序，一旦攻击者对API进行恶意控制，就会导致用户数据、软件程序的破坏。

伪装攻击：攻击者冒充合法车辆的身份信息，在无线网络通信中向目标车辆发送恶意消息[14]，使合法车辆做出错误判断。

中间人攻击：攻击者参与合法车辆之间的正常通信，使车辆双方误以为都在与对方通话，实则是与攻击者进行通信，从而可以达到监听的目的。此外，攻击者还可能在通信中进行插入或删除信息等操作，实现通信控制[15]。

（2）针对可用性攻击

拒绝服务（Denial of Service，DoS）攻击：攻击者在V2V、V2I通信网络中发送过量的虚假信息，使网络中的资源被不必要的消耗，OBU无法与RSU进行交互，从而造成严重的后果。此外，攻击者可能会发送大量的垃圾邮件、广告信息等，致使通信带宽达到饱和状态，其目的在于信道被大量占用，造成安全信息的延迟传输[16]。针对云服务，当授权用户请求访问时，攻击者通过控制消耗大量的车载云资源，致使合法访问受限，从而降低云服务质量。例如，因软件应用程序自身漏洞的存在，攻击者可能会发送大量假数据包，同时禁止授权用户享受云服务。

恶意软件攻击：此类攻击通常是利用安装在OBU或RSU设备上的恶意组件来渗透实体，一般以病毒形式感染无线通信信道，以此破坏正常通信。

（3）针对机密性攻击

窃听：由于车辆的高机动性，在VCC中共享的数据资源，其加密和解密过程一般存在有延迟性，因此攻击者可能会对通信信道实施监听[17]，收集有用信息并加以分析从而破坏数据的机密性。

位置跟踪：攻击者可以利用路边的基础设施或者连接WiFi网络获取车载云通信过程中的完整移动视图。此外，攻击者还可能部署位置跟踪设备，当定位系统持续不断地自动跟踪车辆时，会产生大量隐私信息，从而收集敏感数据。

信息窃取：基于云上的软件应用程序，一般以加密方式处理敏感数据，但由于程序设计本身可能存在漏洞，导致攻击者实现未经授权的访问，从而窃取数据信息。

（4）针对不可抵赖性攻击

此类攻击就是指车辆对发送或接收到的信息持否认态度，从而形成争议事件。尤其在紧急情况下，攻击者往往会挑起事端，从而占用资源，致使交通系统的混乱。

（5）针对认证攻击

Sybil攻击：攻击者会创建大量的假名，通过传输这些伪造实体的恶意信息，致使网络通信受到阻塞，同时会误导车辆做出错误判断[18]。并且网络中的合法用户无法识别恶意车辆的真实身份信息，也无法获知其所在位置，因此这类攻击很难防范。

假冒攻击：在VCC中，为识别通信车辆的身份，每辆车都有其唯一的ID。而在这类攻击中，攻击者会冒充合法车辆的身份，然后在网络通信中发送恶意信息，从而造成交通秩序的混乱。

5 防护对策

尽管在VCC中，快速移动的车辆、动态变化的通信网络、自组织形成的车载云都会给VCC的安全带来极大的威胁;但研究表明一些针对VANET与云计算的防护对策同样适用于VCC。因此，本节将根据不同地安全攻击总结相应的防护对策。

（1）基于完整性的防护对策

针对数据篡改。主要解决方法就是对通信中的信息进行加密操作，并使用消息认证码来查看其完整性。Kumar等人[19]提出了一种基于椭圆曲线加密技术的端对端认证安全方案，为通信过程提供机密性、完整性、可用性三位一体的安全服务。

针对伪装或中间人攻击，防护对策主要是基于加密和认证技术的安全协议[20，21]，保证信息传输的可靠性。同时，利用证书吊销列表对通信中的恶意节点进行检测并及时广播，从而减少此类攻击的危害性。

（2）基于可用性的防护对策

针对DoS攻击。Quyoom等人[22]提出了一种恶意无关包检测算法，通过验证数据包的源节点，锁定Sybil攻击的源头。若发送恶意数据包，则该车辆节点会被跟踪，以便进行后续操作。此外，缓解DoS攻击的方法可以依赖于OBU，当发生攻击时，OBU可以切换信道或使用跳频技术来保证通信信道的可用性。

针对恶意软件攻击，通常情况下使用反恶意软件来防止。然而在软件更新时，防范这类攻击将更加困难，因此应提前对更新进行签名并验证，以保证操作的真实性，从而缓解此类攻击。

（3）基于机密性的防护对策

针对机密性攻击，其防护对策主要是基于非对称密码加密和公钥基础设施的假名方案。除此之外还有基于身份加密[23]、群签名[24]等。

针对位置跟踪，Memon等人[25]提出使用动态假名信任管理系统，一旦车辆完成规定的初始化操作，便可以自主地生成假名，从而缩短假名的有效期，最终实现对隐私数据的保护。

此外，针对内部人员对云数据的窃取行为，Kaza提出了一种攻击诱饵技术[26]。通过监控用户行为来发现恶意内部人员，进而云会向攻击者发送大量诱饵信息，以此防止真实数据被窃取。

（4）基于不可抵赖性的防护对策

在VCC中，不可抵赖性、完整性和车辆隐私保护是通信安全的基本要求。但就以往相关研究来看，这些防护需求的实现往往又存在一定的矛盾性。Li等人[27]则提出了一种新的条件性隐私保护与不可抵赖框架。通过将公钥加密进入假名机制，保证合法的第三方能获得车辆的真实身份，从而实现其不可抵赖性。

（5）基于认证的防护对策

针对Sybil攻击，Sharma等人[28]提出了一个基于动态证书生成技术的系统模型来限制Sybil攻击，同时利用邻近信息来检测Sybil节点。Chaubey等人[29]总结了检测Sybil攻击的关键技术。

针对假冒攻击，Limbasiya等人[30]提出了一种高效安全的V2V数据传输协议，通过使用单向哈希函数在接收端快速发送有价值的信息來避免攻击。Bajaj等人[31]提出了一种基于身份的签名协议，通过使用VANET中批验证的概念，减少通信过程中的计算时间，并验证了其抵抗攻击的有效性。

6 未来研究展望

目前，研究表明针对VANET与云计算的防护对策在VCC中同样适用，但这项新技术的出现还伴随有其他的安全漏洞。一方面，在VCC中车辆不断地对云上资源进行访问和共享，对高机动性车辆及时进行可信判断与信用评分存在一定难度。另一方面，VCC的开放性使攻击者不具有明显特征，而能够成为系统中普通的一员与合法用户进行交互，从而破坏通信的安全性。此外，VCC中存在许多由不同机构制定的标准体系，因标准不同而造成的耦合度问题也会为资源服务、安全防护带来不便。这些安全漏洞都有可能给用户带来巨大损失。因此，未来基于VCC的安全依然是研究的重点方向。

7 结束语

VCC作为云计算应用于VANET中的一项创新技术，旨在为用户提供安全驾驶、车载娱乐等智能体验。通过将未充分利用的车载资源进行动态整合与按需部署，加强了实体间的信息交互，以满足用户的云服务需求。然而，基于云的多租户性、车辆的高机动性等特点， 在VCC环境下保证资源数据与通信的安全则面临很多潜在威胁与挑战。本文首先介绍了VCC的基本架构，详细阐述了其安全需求，其次分析了针对VCC的安全攻击及相应的防护对策，最后对VCC安全的未来研究方向进行了展望。

基金项目：

国家自然科学基金“联合基金项目”： 动静协同的恶意代码智能分析方法研究（项目编号：U1836105）。

参考文献

[1] Regan A C， Chen R. Chapter 2： Vehicular ad hoc networks[M]. Vehicular Communications and Networks： Architectures， Protocols， Op-eration and Deployment， Chen W， Ed. Elsevier， 2015： 29–35.

[2] Olariu S， Khalil I， Abuelela M. Taking VANET to the clouds[J]. International Journal of Pervasive Computing & Communications， 2011， 7（1）：7-21.

[3] Gillani S， Shahzad F， Qayyum A， Mehmood R. A Survey on Security in Vehicular Ad Hoc Networks[C].International Workshop. Springer， Berlin， Heidelberg， 2013.

[4] 鄧宇珊.探究云计算之安全问题[J].网络空间安全， 2018， 9（09）： 82-85.

[5] Yan G， Wen D， Olariu S， Weigle M C. Security Challenges in Vehicular Cloud Computing[J].IEEE Transactions on Intelligent Transportation Systems， 2013， 14（1）：284-294.

[6] Gu L， Zeng D， Guo S. Vehicular cloud computing： A survey[C].2013 IEEE Globecom Workshops （GC Wkshps）， Atlanta， GA， 2013： 403-407.

[7] Ahmed Z E， Saeed R A， Mukherjee A. Challenges and opportunities in vehicular cloud computing[M].Cloud Security： Concepts， Meth-odologies， Tools， and Applications.IGI global， 2019： 2168-2185.

[8] Hussain R， Son J， Eun H， Kim S， and Oh H. Rethinking Vehicular Communications： Merging VANET with Cloud Computing[C].IEEE 4th In-ternational Conference on Cloud Computing Technology and Science （CloudCom）. IEEE， 2012： 606–609.

[9] Siddiqui N R， Khaliq K A， Pannek J. VANET Security Analysis on the Basis of Attacks in Authentication[M].Dynamics in Logistics - Proceedings of LDIC 2016 Bremen， Germany， Lecture Notes in Logistics， 2016： 491–502.

[10] Kaur N， Kad S. A Review on Security Related Aspects in Vehicular Adhoc Networks[J].Procedia Computer Science， 2016， 78：387-394.

[11] Hasrouny H， Samhat A E， Bassil C， Laouiti A. VANet security challenges and solutions： A survey[J]. Vehicular Communications， 2017， 7（JAN.）：7-20.

[12] Afzal Z， Kumar M. Security of Vehicular Ad-Hoc Networks （VANET）： A survey[J].Journal of Physics Conference Series， 2020， 1427： 012015.

[13] Mansour M B， Salama C， Mohamed H K， Hammad S A. Vanet security and privacy-an overview[J].International Journal of Network Security & Its Applications （IJNSA）， 2018， 10（2）：13-34.

[14] Dai Nguyen H P， Zoltán R. The Current Security Challenges of Vehicle Communication in the Future Transportation System[C].2018 IEEE 16th International Symposium on Intelligent Systems and Informatics （SISY）， Subotica， 2018： 000161-000166.

[15] Abdelgader A M S， Shu F， Zhu W， Ayoub K. Security challenges and trends in vehicular communications[C].2017 IEEE Conference on Systems， Process and Control （ICSPC）， Malacca， 2017， pp. 105-110.

[16] Kaur R， Singh T P， Khajuria V. Security Issues in Vehicular Ad-Hoc Network （VANET）[C]. 2018 2nd International Conference on Trends in Electronics and Informatics （ICOEI）， Tirunelveli， 2018： 884-889.

[17] Akalu R. Privacy， consent and vehicular ad hoc networks （vanets）[J]. Computer Law & Security Review， 2018， 34（1）： 37–46.

[18] Sheikh M S， Liang J. A comprehensive survey on VANET security services in traffic management system[J].Wireless Communications and Mobile Computing， 2019， 2019（2）： 1-23.

[19] Kumar G， Saha R， Rai M K， Kim T. Multidimensional Security Provision for Secure Communication in Vehicular Ad Hoc Networks Using Hierarchical Structure and End-to-End Authentication[J]. IEEE Access， 2018， 6： 46558-46567.

[20] Jo H J， Kim J H， Choi H， Choi W， Lee D H， Lee I. MAuth-CAN： Masquerade-Attack-Proof Authentication for In-Vehicle Networks[J].IEEE Transactions on Vehicular Technology， 2020， 69（2）：2204-2218.

[21] Sheikh M S， Liang J， Wang W. A Survey of Security Services， Attacks， and Applications for Vehicular Ad Hoc Networks 〔VANETs〕[J]. Sensors 2019， 2019， 19（16）： 3589.

[22] Quyoom A， Ali R， Gouttam D N， Sharma H. A novel mechanism of detection of denial of service attack （DoS） in VANET using Malicious and Irrelevant Packet Detection Algorithm （MIPDA）[J]. International Conference on Computing， Communication & Automation， Noida， 2015： 414-419.

[23] Wan C， Zhang J. Efficient identity-based data transmission for vanet[J].Journal of Ambient Intelligence and Humanized Computing， 2017， 9（3）： 1–11.

[24] Liu X， Yang Y， Xu E， Jia Z. An Authentication Scheme in VANETs Based on Group Signature[M].Intelligent Computing Theories and Application. ICIC 2019. Lecture Notes in Computer Science， 2019， 11643： 346-355.

[25] Memon I， Mirza H T. MADPTM： Mix zones and dynamic pseudonym trust management system for location privacy[J]. International Journal of Communication Systems， 2018， 31（1）： e3795.

[26] Kaza V. Securing cloud by mitigating insider data theft attacks with decoy technology using Hadoop[J].International Journal of Engineering and Technology， 2018， 7（2.31）.

[27] Li J， Lu H， Guizani M. ACPN： A Novel Authentication Framework with Conditional Privacy-Preservation and Non-Repudiation for VANETs[J].IEEE Transactions on Parallel & Distributed Systems， 2015， 26（4）：938-948.

[28] Sharma A K， Saroj S K， Chauhan S K， Saini S K. Sybil attack prevention and detection in vehicular ad hoc network[C].2016 International Conference on Computing， Communication and Automation （ICCCA）， Noida， 2016： 594-599.

[29] Chaubey N K， Yadav D. A Taxonomy of Sybil Attacks in Vehicular Ad-Hoc Network （VANET）[M].IoT and Cloud Computing Advancements in Vehicular Ad-Hoc Networks. IGI Global， 2020： 174-190.

[30] Limbasiya T， Das D. Lightweight Secure Message Broadcasting Protocol for Vehicle-to-Vehicle Communication[J].IEEE Systems Journal， 2020， 14（1）： 520-529.

[31] Bajaj K， Limbasiya T， Das D. An Efficient Message Transmission and Verification Scheme for VANETs[M].Distributed Computing and Internet Technology， ICDCIT 2020， Lecture Notes in Computer Science， 2020， 11969： 127-143.