文献阅读：基于电压规避的汽车CAN入侵检测（二）

论文名称：Evading Voltage-Based Intrusion Detection on Automotive CAN

DUET的介绍

攻击策略和方法

电压破坏

正如之前提到的，ECU电压特性不可更改，但总线上VIDS测量的电压特性可以被破坏，这就是电压破坏策略，两个受损的ECU分别作为攻击者和同谋来修改VIDS测量的电压样本。首先，攻击者处于passive状态，接着同谋帮助其与受害者ECU同步传输，这样就能破坏电压样本，并且不会再总线留下痕迹。这种策略针对的是VIDS在总线上物理收集数据的过程，也就说明了任何基于电压数据的学习模型都不能幸免于电压破坏攻击所造成的数据集中毒。

DUET

利用电压破坏的策略，本文提出了DUET这种新型的伪装攻击，其可逃避所有现有VIDS的检测。如下图，DUET以隐形的，两阶段的方式来执行基于训练集的攻击策略。两阶段分别是：基于电压指纹的操作（阶段1）和基于电压指纹的模拟（阶段2）。攻击者使用电压破坏策略首先破坏阶段1中的受害者电压指纹和阶段2中同谋的电压指纹。如此一来，DUET二人组一起工作，VIDS就会在阶段1时将受害者的损坏电压指纹学习为其真实指纹，接着在阶段二中将同谋的损坏指纹也分类为受害者的指纹。

对CAN通信特点的利用 

DUET主要利用的是CAN通信的三个特点：

• 静态ID
• 消息的周期性
• 可预测有效负载前缀(一组可预测的位，表示CAN消息的仲裁字段后的常量、计数器或多值数)

攻击者模型

遵循现有的技术的攻击模型，让攻击者做一次逆向工程，以推断出目标车辆或具有相同品牌和型号的车辆中CAN消息的有效载荷和周期性的基本理解。假设DUET背后的攻击者至少能够在汽车上两个ECU上实现任意代码执行。攻击者和同谋可以通过其ECU上的CAN控制器和收发器在总线上读取和注入消息，并在攻击期间使用消息有效负载来协调其运动。