2. 数据安全威胁模型：针对黑匣子的常见攻击手段与攻击者画像
大家好，我是老周。今天我们来聊聊黑匣子的安全威胁模型。说白了，就是搞清楚谁会来搞你的黑匣子，以及他们打算怎么搞。
我做了十几年嵌入式安全，见过太多想当然的设计。很多人觉得黑匣子藏在飞机尾巴里，谁能碰到？嗯，这个想法很危险。你想想看，一个价值几百万的飞行数据，在利益面前，什么防护都不算多。
2.1 攻击者画像与动机分析
先说说谁会对黑匣子下手。我习惯把攻击者分成三类，每一类的动机和手段都不一样。
| 攻击者类型 | 典型动机 | 技术能力 | 攻击成本承受力 |
|---|---|---|---|
| 内部人员 | 掩盖事故、篡改记录 | 中高（了解系统架构） | 低（利用职务便利） |
| 商业竞争对手 | 窃取飞行参数、逆向工程 | 高（专业团队） | 高（愿意投入资源） |
| 黑客/研究爱好者 | 技术挑战、名声、漏洞披露 | 中（擅长软件逆向） | 中（时间成本为主） |
关键认知：最危险的往往不是技术最强的黑客，而是拥有物理接触权限的内部人员。我在项目中遇到过一起案例，地勤人员利用维护窗口期，用便携式编程器直接改写存储芯片内容。这种攻击，防火墙再强也防不住。
2.2 物理篡改攻击
物理攻击是最直接的手段。攻击者拿到了黑匣子本体，想怎么折腾都行。我个人习惯把物理攻击分成三个层次。
2.2.1 存储芯片直接读写
拆开黑匣子外壳，找到Flash或EEPROM芯片。用编程器夹子一夹，数据就出来了。更狠的直接把芯片吹下来，放到专用读取设备上。
避坑指南：我曾经见过一个设计，把加密密钥明文存在外部Flash里。攻击者用逻辑分析仪抓SPI总线，密钥直接暴露。嗯，这个设计后来被我们彻底重做了。
2.2.2 电路板级攻击
不直接动存储芯片，而是攻击电路板上的信号线。比如：
- JTAG/SWD调试接口：如果没锁死，可以直接读取固件和内存
- 电源纹波分析：通过监测电源线上的微小波动，推断CPU正在执行的指令
- 探针攻击：用微细探针直接接触芯片内部走线
2.2.3 环境篡改
更隐蔽的方式。攻击者不直接改数据，而是改变黑匣子的工作环境。比如：
- 在记录期间施加高温，让传感器输出异常值
- 切断供电，导致数据写入不完整
- 用强磁场干扰磁记录单元（老式黑匣子）
2.3 电磁干扰攻击
这个很有意思。攻击者不需要接触黑匣子，用电磁波就能搞破坏。我刚开始接触这个领域时，觉得这像是科幻片里的情节。直到我在实验室里亲眼看到，一个精心设计的电磁脉冲，能让正在写入的Flash数据全部翻转。
2.3.1 电磁脉冲（EMP）攻击
用高功率电磁脉冲照射黑匣子。效果包括：
- 正在写入的数据位发生翻转（bit flip）
- CPU复位或跑飞
- 存储芯片内部电荷泄漏
个人经验：我们做过一次测试，用500W的射频功放在10cm距离发射1GHz连续波。结果黑匣子的实时时钟直接跳到了1970年1月1日。你想想看，如果事故发生时时间戳被篡改，调查方向会完全跑偏。
2.3.2 电磁侧信道攻击
不破坏数据，而是窃取数据。攻击者用高灵敏度天线靠近黑匣子，捕捉CPU处理加密运算时泄露的电磁辐射。通过分析这些辐射波形，可以反推出密钥。
为什么会这样？因为CPU在执行不同指令时，电流消耗不同，产生的电磁场也不同。攻击者收集几千条波形，用统计方法就能把密钥一位一位地还原出来。
2.4 固件逆向攻击
如果物理防护做得够好，攻击者就会转向软件层面。固件逆向，说白了就是把你的二进制代码反汇编，读懂你的逻辑，找到漏洞。
2.4.1 静态逆向分析
攻击者拿到固件文件（可能是从芯片里读出来的，也可能是从OTA升级包中提取的），然后用IDA Pro、Ghidra这类工具反汇编。
// 攻击者视角：寻找加密密钥的硬编码
// 在反汇编中搜索类似这样的模式
0x08001234: LDR R0, =0xDEADBEEF // 可能是密钥
0x08001238: LDR R1, =0xCAFEBABE // 可能是IV
0x0800123C: BL AES_Encrypt // 调用加密函数我见过最离谱的一次，某厂商把AES密钥直接写在代码注释里。编译时注释被忽略，但字符串常量区里明晃晃地躺着那串密钥。攻击者用strings命令一搜就出来了。
2.4.2 动态逆向分析
更高级的手法。攻击者给黑匣子供电，用调试器（如J-Link、ST-Link）连接调试接口，单步执行固件。他们可以：
- 在关键函数处设置断点
- 修改寄存器值绕过安全检查
- Dump内存中的临时解密数据
核心观点：固件逆向的终极目标不是读懂代码，而是找到「信任锚点」。攻击者一旦找到你验证数据完整性的那个if判断，把它patch成永远为真，你的防篡改就形同虚设了。
2.4.3 固件降级攻击
这个手法很巧妙。攻击者不破解最新固件，而是找一个有漏洞的旧版本固件，强行刷进黑匣子。旧版本里的安全漏洞已经被公开，攻击者利用起来轻车熟路。
我曾经在给某客户做安全审计时发现，他们的黑匣子虽然用了安全启动，但版本号检查只做了「大于等于」，没做「等于」。攻击者把版本号字段改成0xFF，直接绕过了版本检查，刷入了有后门的旧固件。
2.5 攻击链综合分析
实际攻击中，攻击者不会只用单一手段。他们会组合使用。我总结了一个典型的攻击链：
- 侦察阶段：通过公开资料了解黑匣子型号、使用的芯片、通信协议
- 物理获取：通过内部人员或事故现场获取黑匣子本体
- 固件提取：用编程器读取Flash，或通过调试接口Dump固件
- 逆向分析：反汇编固件，定位加密模块和校验逻辑
- 漏洞利用：找到密钥或绕过校验的方法
- 数据篡改：修改原始记录数据，重新计算校验值，写回芯片
- 痕迹清理：擦除调试日志，恢复芯片原始状态
我的建议：设计防篡改方案时，不要只防某一种攻击。你要假设攻击者已经拿到了你的固件，已经读出了你的芯片内容。在这个前提下，你还能保证数据不被篡改吗？如果能，你的设计才算及格。
好了，这一章我们梳理了攻击者的画像和常见攻击手段。下一章我会讲讲，针对这些威胁，我们具体怎么设计防护方案。嗯，内容会有点硬核，大家做好准备。