42、设备通信与交互安全保障指南

最新推荐文章于 2025-11-21 01:35:21 发布

原创最新推荐文章于 2025-11-21 01:35:21 发布 · 62 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#设备通信安全 #CAN总线 #证书

嵌入式Linux安全实战专栏收录该内容

45 篇文章 ¥499.90

订阅专栏¥69.90

会员秒杀 ¥9.9 重磅福利

超级会员免费看

设备通信与交互安全保障指南

在当今数字化时代，设备之间的通信与交互安全至关重要。本文将深入探讨设备通信安全的相关知识，包括CAN总线的特点与安全隐患、使用证书增强安全性的具体操作，以及如何确保网络连接的安全。

1. CAN总线概述

CAN（Controller Area Network）总线是一种车辆标准，主要用于控制电子控制单元（ECUs）之间的通信。它于1983年首次推出，虽然目前没有标准连接器，但DB9连接器已成为事实上的标准。

CAN总线的应用非常广泛，不仅在汽车领域，还在海事环境、农业设备、大型建筑自动化以及现代机器人等领域得到了应用。然而，CAN总线存在一些安全隐患：
- 缺乏加密 ：CAN总线通信未进行加密，任何通过该总线传输的凭证都是以明文形式传输，这意味着任何监听总线流量的人都可以看到这些数据，并可能利用这些数据进行恶意活动。
- 缺乏认证 ：任何人只要能够访问总线，就可以控制总线，导致所有安全措施失效。这使得黑客有可能轻松访问汽车的门锁、GPS记录或控制系统，进行恶意操作。

2. 使用证书增强安全性

证书在全球安全通信的许多方面都有应用。硬件和软件供应商通常会对其驱动程序和操作系统包进行数字签名，可信机构使用证书来确保用户可以安全地使用DNS和互联网。一般来说，安全证书可以通过全球证书颁发机构（CA）组织获得，许多互联网服务提供商（ISPs）也可以为其客户提供SSL证书。

在Linux系统中，还可以创建自签名证书。自签名证书通常适用于内部实验室工作，但在生产环境中被认为是不够的，不适合用于产品。下面将通过两个实践练习来介绍如何创建自签名证书并将其应用到自定义DNF存储库服务器中。

2.1 练习1：创建自签名证书

以下是创建自签名证书的详细步骤：
1. 验证Web服务器状态 ：使用以下命令验证Web服务器是否正在运行并托管存储库。

$ sudo systemctl status httpd.service

通过浏览器确认服务 ：打开Web浏览器，访问服务器地址，确认服务正在托管存储库。
设置系统变量 ：设置一个系统变量，将 <hostname> 替换为系统的完全限定域名（FQDN）。

# export ssl_name=<hostname>

创建初始.pem文件 ：使用 openssl 命令创建一个初始的.pem文件，用于存储证书信息。

# openssl genrsa -out ${ssl_name}.pem 4096

验证.pem文件 ：使用以下命令验证上一步是否成功生成了新的.pem文件。

# ls -l *.pem

创建.csr文件 ：运行以下命令创建.csr文件，此过程需要交互式输入一些信息，如国家、州、城市、组织名称等。

# openssl req -new -key ${ssl_name}.pem -out ${ssl_name}.csr

示例交互式输入如下：

You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:US
State or Province Name (full name) []:MA
Locality Name (eg, city) [Default City]:Wilmington
Organization Name (eg, company) [Default Company Ltd]:Embedded Security Book
Organizational Unit Name (eg, section) []:Development
Common Name (eg, your name or your server's hostname) []:bm02.local
Email Address []:admin@bm02.local
Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:EmbeddedBook
An optional company name []:EmbeddedBook

验证.csr文件 ：使用以下命令验证上一步是否成功生成了.csr文件。

# ls -l *.csr

创建临时证书 ：运行以下命令创建一个有效期为90天的临时证书。

# openssl x509 -req -days 90 -in ${ssl_name}.csr -signkey ${ssl_name}.pem -out ${ssl_name}.cert

验证所有文件 ：使用以下命令验证是否成功创建了所有三个文件（.pem、.csr和.cert）。

# ls -l *<hostname>*

2.2 练习2：将证书添加到自定义存储库服务器

以下是将自签名证书添加到自定义DNF存储库服务器的详细步骤：
1. 安装mod_ssl ：使用以下命令安装 mod_ssl 模块。

# dnf install -y mod_ssl

复制证书文件 ：将之前创建的.cert和.pem文件复制到相应的目录。

# cp bm02.local.cert /etc/pki/tls/certs/
# cp bm02.local.pem /etc/pki/tls/certs/
# cp bm02.local.pem /etc/pki/tls/private/

编辑ssl.conf文件 ：使用以下命令编辑 /etc/httpd/conf.d/ssl.conf 文件，并进行相应的修改。

$ sudo vi /etc/httpd/conf.d/ssl.conf

具体修改内容如下：
- 取消注释 DocumentRoot "/var/www/html" 。
- 取消注释并修改 ServerName 为你的主机名和端口（如 ServerName bm02.local:443 ）。
- 修改 SSLCertificateFile 为你的.cert文件路径（如 SSLCertificateFile /etc/pki/tls/certs/bm02.local.cert ）。
- 修改 SSLCertificateKeyFile 为你的.pem文件路径（如 SSLCertificateKeyFile /etc/pki/tls/private/bm02.local.pem ）。
- 取消注释并修改 SSLCertificateChainFile 为你的.pem文件路径（如 SSLCertificateChainFile /etc/pki/tls/certs/bm02.local.pem ）。
4. 重启httpd服务 ：使用以下命令重启 httpd 服务。

# systemctl restart httpd

验证httpd服务状态 ：使用以下命令验证 httpd 服务是否正常运行。

# systemctl status httpd

测试服务器和存储库URL ：打开浏览器，访问服务器地址（使用https），确认服务器是否通过https和自签名证书正常运行。同时，测试存储库URL（使用https），确认存储库是否可以正常访问。

3. 确保网络连接安全

在确保设备通信安全的过程中，网络连接的安全性也至关重要。几乎所有的机器在某种程度上都会与其他机器进行通信，但在嵌入式Linux系统中，有些设备可能是独立的，不连接到任何网络，或者处于安全受限的局域网段中。

网络配置和安全化是基本Linux系统管理的重要组成部分。在构建产品时，需要考虑产品将部署在客户的生态系统中，因此需要确保产品的网络连接是安全的。下面将介绍Linux防火墙的主要设置组和命令行工具。

3.1 Linux防火墙主要设置组

设置组	描述
连接（Connection）	定义的命名网络连接
区域（Zone）	预定义的信任级别
接口（Interface）	计划应用新设置的接口
服务（Services）	预定义的可访问服务
端口（Ports）	快速定义多个端口或端口范围
配置（Configuration）	配置状态（运行时或永久）
IPSets	可管理和部署的白名单或黑名单

3.2 命令行工具

firewall-cmd 是管理Linux防火墙的主要命令行工具，它功能丰富且易于脚本化。可以使用以下命令查看其所有选项：

$ firewall-cmd --help

以下是 firewall-cmd 的一些常用选项：
- 通用选项 ：
- -h, --help ：打印简短的帮助文本并退出。
- -V, --version ：打印 firewalld 的版本字符串。
- -q, --quiet ：不打印状态消息。
- 状态选项 ：
- --state ：返回并打印 firewalld 的状态。
- 处理源绑定的选项 ：
- --list-sources ：列出绑定到某个区域的源。
- --add-source=<source>[/<mask>]|<MAC>|ipset:<ipset> ：将源绑定到某个区域。
- --change-source=<source>[/<mask>]|<MAC>|ipset:<ipset> ：更改源绑定的区域。
- --query-source=<source>[/<mask>]|<MAC>|ipset:<ipset> ：查询源是否绑定到某个区域。
- --remove-source=<source>[/<mask>]|<MAC>|ipset:<ipset> ：移除源与某个区域的绑定。
- 辅助选项 ：
- --new-helper=<helper> --module=<module> [--family=<family>] ：添加新的辅助程序。
- --new-helper-from-file=<filename> [--name=<helper>] ：从文件中添加新的辅助程序。
- --delete-helper=<helper> ：删除现有的辅助程序。
- --load-helper-defaults=<helper> ：加载辅助程序的默认设置。
- --info-helper=<helper> ：打印辅助程序的信息。
- 锁定选项 ：
- --lockdown-on ：启用锁定模式。
- --lockdown-off ：禁用锁定模式。
- --query-lockdown ：查询锁定模式是否启用。
- 锁定白名单选项 ：
- --list-lockdown-whitelist-commands ：列出白名单上的所有命令行。
- --add-lockdown-whitelist-command=<command> ：将命令添加到白名单。
- 紧急选项 ：
- --panic-on ：启用紧急模式。
- --panic-off ：禁用紧急模式。
- --query-panic ：查询紧急模式是否启用。

通过以上步骤和工具，可以有效地提高设备通信和交互的安全性，保护设备和数据免受潜在的安全威胁。在实际应用中，需要根据具体情况选择合适的安全措施，并定期进行安全检查和更新。

设备通信与交互安全保障指南（续）

4. 防火墙配置示例及流程

在了解了 Linux 防火墙的主要设置组和命令行工具后，下面通过一个 mermaid 流程图来展示配置防火墙的大致流程，同时给出一些具体的配置示例。

graph LR
    A[开始] --> B[确定网络连接和区域]
    B --> C[选择要配置的接口]
    C --> D[确定允许的服务和端口]
    D --> E[设置配置状态（运行时/永久）]
    E --> F[添加或管理 IPSets]
    F --> G[检查配置并应用]
    G --> H[测试网络连接]
    H --> I[结束]

以下是一些使用 firewall-cmd 进行具体配置的示例：

4.1 添加服务到区域

假设我们要将 SSH 服务添加到公共区域（public zone），并使其永久生效，可以使用以下命令：

# 临时添加 SSH 服务到公共区域
$ firewall-cmd --zone=public --add-service=ssh
# 永久添加 SSH 服务到公共区域
$ firewall-cmd --zone=public --add-service=ssh --permanent
# 重新加载防火墙配置使永久配置生效
$ firewall-cmd --reload

4.2 开放特定端口

如果我们要开放 TCP 端口 8080 给所有区域，可以使用以下命令：

# 临时开放 TCP 端口 8080
$ firewall-cmd --add-port=8080/tcp
# 永久开放 TCP 端口 8080
$ firewall-cmd --add-port=8080/tcp --permanent
# 重新加载防火墙配置使永久配置生效
$ firewall-cmd --reload

4.3 管理 IPSets

假设我们要创建一个名为 trusted_ips 的 IPSet，用于存储信任的 IP 地址，并允许这些 IP 地址访问特定服务：

# 创建一个名为 trusted_ips 的 IPSet
$ firewall-cmd --permanent --new-ipset=trusted_ips --type=hash:ip
# 向 trusted_ips 中添加一个 IP 地址
$ firewall-cmd --permanent --ipset=trusted_ips --add-entry=192.168.1.100
# 允许 trusted_ips 中的 IP 地址访问 SSH 服务
$ firewall-cmd --permanent --zone=public --add-rich-rule='rule source ipset=trusted_ips service name=ssh accept'
# 重新加载防火墙配置使永久配置生效
$ firewall-cmd --reload