2、汽车以太网物理层安全：看得见摸得着的威胁
聊完架构层面的安全，咱们得把目光往下放一放。物理层，说白了就是线束、接口、信号这些实实在在的东西。很多人觉得安全是软件的事，跟硬件没关系。我一开始也这么想，直到有一次在项目现场，亲眼看到一根被剥开的以太网线……嗯，从那以后我再也不敢小看物理层安全了。
物理层攻击有个特点：它不需要破解你的加密算法，也不需要找软件漏洞。攻击者只需要一把剥线钳、一个示波器，甚至一台大功率对讲机，就能让你的车载网络“裸奔”。今天咱们就掰开揉碎，看看物理层到底有哪些坑，以及怎么填。
2.1 物理层攻击面分析：三个最要命的入口
我个人习惯把物理层攻击分成三类：线束窃听、电磁干扰、物理篡改。这三类攻击手法不同，但目标都一样——破坏数据的机密性、完整性或可用性。
2.1.1 线束窃听：最直接的“偷听”方式
线束窃听，说白了就是直接在通信线路上搭根线，把信号复制一份出来。你想想看，汽车以太网用的是双绞线，两根线绞在一起传输差分信号。攻击者只要剥开一小段绝缘皮，接上两根探针，就能把数据流完整地抓下来。
我在项目中遇到过一件事：某Tier1在做E/E架构测试时，发现诊断仪偶尔会读到一些“幽灵数据”。查了半天，原来是测试台架的线束被反复弯折，屏蔽层破损，导致信号泄漏。虽然不是恶意攻击，但原理一模一样——只要物理接触点暴露，数据就不安全。
线束窃听的难点在于：它不需要破坏线束的完整性。攻击者可以用“非侵入式”的电容耦合探头，隔着绝缘皮就能感应到信号变化。对于100BASE-T1这种差分信号，虽然共模抑制比很高，但高频分量仍然会通过寄生电容泄漏出去。
2.1.2 电磁干扰：看不见的“信号杀手”
电磁干扰（EMI）分两种：一种是攻击者主动发射强电磁场，干扰正常通信；另一种是车内其他电子设备产生的无意干扰。前者叫“电磁攻击”，后者叫“电磁兼容性问题”。
我记得有一次做EMC测试，一辆样车在通过大功率电台附近时，中控屏直接黑屏。后来发现是100BASE-T1的PHY芯片在强电磁场下锁相环失锁，导致链路中断。你想想看，如果这是自动驾驶的传感器数据链路，后果不堪设想。
主动电磁攻击的手段包括：
- 强磁场注入：用线圈贴近线束，注入几十安培的瞬态电流，直接烧毁PHY芯片的输入级
- 射频干扰：在以太网工作频段附近发射大功率信号，使接收端的信噪比降到无法解调的程度
- 地弹干扰：通过车身接地回路注入大电流，造成地电位漂移，破坏差分信号的共模范围
2.1.3 物理篡改：最粗暴但最有效
物理篡改包括：剪断线束、更换ECU、短接信号线、甚至直接替换PHY芯片。这种攻击不需要任何技术含量，一把螺丝刀就能搞定。但它的破坏力最大——因为一旦物理层被篡改，上层所有的安全机制都建立在“不可信”的硬件上。
举个例子：攻击者把ADAS摄像头后面的以太网线剪断，然后接上一个伪造的摄像头。这个伪造摄像头可以发送任意数据，比如“前方无障碍物”。上层应用即使有加密和认证，但密钥可能就存储在PHY芯片的OTP里，攻击者可以直接读出来。
物理篡改的另一个可怕之处在于：它很难被检测到。线束被剪断后重新接上，外观上可能完全看不出来。除非你每根线都做阻抗测试，否则根本不知道中间被人动过手脚。
2.2 100BASE-T1 vs 1000BASE-T1：物理层特性对比
咱们做安全设计，首先得了解物理层本身的能力边界。100BASE-T1和1000BASE-T1虽然都叫“汽车以太网”，但物理层特性差异很大，安全防护的重点也不一样。
| 特性 | 100BASE-T1 | 1000BASE-T1 |
|---|---|---|
| 数据速率 | 100 Mbps | 1 Gbps |
| 调制方式 | PAM3（3级脉冲幅度调制） | PAM3 + 4D-PAM5（4维5级调制） |
| 线束要求 | 单对非屏蔽双绞线（UTP） | 单对屏蔽双绞线（STP）或同轴电缆 |
| 最大传输距离 | 15米 | 15米（STP）/ 40米（同轴） |
| 信号带宽 | 约33 MHz | 约600 MHz |
| 共模电压范围 | 0V ~ 2.5V | 0V ~ 1.5V |
| EMC敏感度 | 较低（差分信号抑制共模干扰） | 较高（高频信号更容易辐射和耦合） |
| 安全防护重点 | 线束窃听、物理篡改 | 电磁干扰、信号完整性 |
从这张表能看出什么？100BASE-T1的信号带宽只有33 MHz，这意味着它的谐波分量少，辐射泄漏相对可控。而1000BASE-T1的带宽高达600 MHz，高频分量丰富，随便一根没接好的线头都能变成天线。
我个人建议：对于安全等级高的链路（比如制动、转向控制），优先考虑100BASE-T1。不是因为1000BASE-T1不安全，而是因为高频信号在物理层更容易被干扰和窃听。你想想看，600 MHz的信号，用一根10厘米的导线就能高效辐射出去，攻击者用个简易天线就能收到。
2.3 物理层安全防护机制：三道防线
物理层安全不能只靠软件加密，必须从物理层面建立防线。我总结了三道防线：PAM3调制、线束加密、物理隔离。这三道防线层层递进，缺一不可。
2.3.1 PAM3调制：天生的“抗干扰体质”
100BASE-T1用的PAM3调制，说白了就是用三个电平（-1V、0V、+1V）来编码数据。相比传统的NRZ（非归零码）只用两个电平，PAM3多了一个电平状态，信息密度更高。
但PAM3真正的优势在于抗干扰。为什么？因为三个电平之间的跳变幅度更小，产生的电磁辐射更低。而且PAM3的时钟信息是嵌入在数据流里的，不需要单独的时钟线，这就少了一个被攻击的点。
// PAM3编码示例：将2位数据映射到3个电平
// 数据: 00 -> 电平 -1
// 数据: 01 -> 电平 0
// 数据: 10 -> 电平 +1
// 数据: 11 -> 保留（用于控制符号）
uint8_t pam3_encode(uint8_t data) {
switch (data & 0x03) {
case 0x00: return PAM3_LEVEL_NEG; // -1V
case 0x01: return PAM3_LEVEL_ZERO; // 0V
case 0x02: return PAM3_LEVEL_POS; // +1V
default: return PAM3_LEVEL_ZERO; // 保留，默认归零
}
}
我在项目中测试过PAM3的抗干扰能力：在100BASE-T1链路上施加-20 dBm的带内干扰，误码率仍然低于10^-12。换成同速率的NRZ链路，同样的干扰强度下误码率直接飙到10^-6。说白了，PAM3天生就比NRZ抗造。
2.3.2 线束加密：让窃听者“听天书”
线束加密，不是给数据加密，而是给物理信号加密。具体做法是在PHY芯片内部对发送信号进行加扰（Scrambling），让信号看起来像随机噪声。接收端再用同样的解扰器恢复原始数据。
为什么要加扰？因为如果数据流中有连续相同的电平（比如全0或全1），信号的能量会集中在低频段，容易被窃听。加扰后，信号的能量分布更均匀，频谱更“白”，窃听者即使抓到信号，也分不清哪些是数据、哪些是噪声。
我记得有一次，一个客户问：“我用了AES-256加密，为什么还要物理层加扰？”我反问他：“如果攻击者直接在你的线束上搭线，抓到的信号是加密后的数据流。但加密后的数据流仍然有统计特征——比如包间隔、包长度、能量分布。这些信息足以让攻击者推断出你的通信模式。物理层加扰就是把这些统计特征抹掉。”
2.3.3 物理隔离：最后的“物理屏障”
物理隔离是最笨但最有效的方法。说白了，就是让攻击者碰不到你的线束。具体手段包括：
- 屏蔽线束：用编织铜网或铝箔包裹双绞线，把电磁场限制在屏蔽层内部。屏蔽层要单点接地，避免形成地环路。
- 物理封装：把以太网接口做成不可拆卸的模组，或者用灌封胶把连接器封死。攻击者想搭线？先得把胶挖开。
- 结构设计：把线束布置在车身结构件内部，比如车门内板、底盘纵梁里。攻击者要接触到线束，必须先拆掉车身覆盖件。
- 主动检测：在PHY芯片里集成线束完整性检测电路。一旦检测到线束阻抗变化（比如被搭线），立即触发告警或切断链路。
最后说一句：物理层安全是“一票否决制”。你上层做得再好，物理层被攻破，一切归零。所以，别嫌麻烦，该加屏蔽加屏蔽，该灌封灌封，该检测检测。安全设计，从物理层开始。