19、汽车安全测试方法之模糊测试深度解析

汽车安全测试方法之模糊测试深度解析

1. 汽车安全测试方法概述

汽车行业的实际安全测试方法多种多样，主要包括安全功能测试、漏洞扫描、模糊测试和渗透测试。以下是对这些测试方法的详细介绍：
| 测试方法 | 测试重点 | 测试目标示例 |
| — | — | — |
| 安全功能测试 | 确保汽车系统特定安全功能正确实现 | AUTOSAR SecOC 规定的安全车内通信的 MAC 生成和验证功能、加密算法及随机数生成函数的实现 |
| 漏洞扫描 | 检测已知安全漏洞、已知弱点以及基于已知攻击模式的未知漏洞 | 测试 UDS 安全访问等认证机制 |
| 模糊测试 | 通过提供畸形输入来检测未知漏洞 | 观察系统对畸形输入的意外行为 |
| 渗透测试 | 全面测试目标系统的安全性，涵盖软件和硬件 | 无特定示例，需“人类安全测试员”模拟真实攻击者 |

汽车组织应建立测试框架，实现系统、高效的测试。模糊测试作为识别未知漏洞的强大且高效的方法，可自动化运行，下面将深入探讨模糊测试。

2. 模糊测试环境组成

模糊测试环境通常由三部分组成：模糊引擎、注入器和监视器。
- 模糊引擎 ：负责生成模糊内容，这些内容是畸形消息，通过替换、添加或删除消息的某些部分来引入异常。
- 注入器 ：将生成的模糊数据传递到目标系统。对于汽车目标系统，不同类型的测试使用不同的注入器，例如：
- 协议模糊测试：使用网络通信设备。
- 文件格式模糊测试：使用 USB 存储棒。
- 监视器