Replay-Resistant Admission and Permissioned Quorum Consensus in Connected Vehicle Networks: A Fail-Closed, Implementation-Grounded Security Study

想象一个城市，其中的每一辆汽车、每一个交通灯和每一块路牌都能瞬间相互交谈，分享关于事故、天气和交通拥堵的信息，以确保每个人的安全。这就是联网车辆网络（connected vehicle networks）所承诺的愿景，这项技术依赖于在空气中飞行的持续数字信息流。然而，这种开放的无线电环境是脆弱的。一个坏人可以伪装成一辆车，反复发送同一条消息以造成混乱，或者欺骗系统接受一份虚假报告。为了让这项技术发挥作用，工程师必须解决三个具体问题：决定谁被允许加入对话、确保一条消息是新鲜的而不是回收利用的旧消息，以及验证对下一步行动进行投票的人是否确实是获得授权的官员。

由沃罗涅日林业技术大学的 Md Shahanur Islam Shagor 进行的一项新研究正是在应对这些挑战。该研究专注于一个名为 OmniGuard 的特定安全系统，旨在管理车辆如何加入网络以及它们如何就共享信息达成共识。研究人员并没有试图构建一个能在每一种想象得到的灾难场景中都工作的完美、不可破解的系统，而是构建了一个实用的、受控的环境。他们创建了一种“失效关闭”（fail-closed）的设计，这意味着如果系统感到困惑或不堪重负，它只会停止接受新的输入，而不是进行冒险的猜测。该研究测试了这种方法是否能成功拦截虚假身份、阻止重放消息，并确保只有正确的人可以对关键决策进行投票，同时保持系统对其局限性的透明度。

研究人员首先将“真实存在”的概念与“被允许”的概念分离开来。在许多系统中，如果一辆车证明自己拥有有效的数字 ID，它就会立即被准许进入。在这里，系统采取了更严格的方法。即使一辆车拥有完美的数字 ID，除非它在由注册表管理的特定预先批准名单上，否则仍会被拒绝进入。这个注册表充当了守门人的角色，负责检查授权车辆的主列表。如果一辆车试图在不在名单上的情况下加入，或者如果列表丢失，系统会自动拒绝连接。这防止了配置错误的系统意外向任何人敞开大门的情况。一旦车辆被准许进入，系统就会将其连接与其特定身份绑定。这意味着车辆无法借用另一辆车的凭证来潜入投票会议。

接下来，团队解决了重放攻击（replay attacks）的问题，即黑客截获一条有效的消息并在稍后再次发送以欺骗系统。为了阻止这种情况，系统会记录它最近看到的每一条消息，并由一个被称为“随机数”（nonce）的唯一代码进行标识。如果收到的消息带有系统已经见过的代码，则会被视为重复消息并予以拒绝。研究人员设计了系统以一种非常特定的方式处理这些唯一代码的洪流。这些代码的存储空间是固定大小的，就像一个只能装一定量水的桶。如果黑客试图用成千上上的个新的、唯一的代码填满这个桶，以迫使系统忘记旧的代码，系统不会丢弃任何东西。相反，当桶满时，它只会停止接受任何新的代码，直到旧的代码自然过期。这确保了已经在系统中的有效消息不会受到重放攻击，即使系统正处于大规模攻击之下，尽管这也意味着在洪流期间，合法的流量可能会被暂时阻断。

这项研究的核心在于这些车辆如何达成决策。系统使用一组授权验证者（validators）来对提案进行投票，例如更改交通规则或确认安全警报。研究人员设定了一条规则：只有当特定多数的验证者投出赞成票时，提案才会被接受。在他们包含三个验证者的测试设置中，需要两票才能通过一项决策。系统会检查每一张选票是否来自当前在名单上的验证者，投票是否针对正确的时间段，以及投票是否已经投过两次。为了确保投票的真实性，每张选票都带有只有该验证者才知道的密钥签名。如果黑客试图更改投票的内容或冒充另一个验证者，签名将无法匹配，系统就会拒绝该投票。

为了证明这种设计的有效性，研究人员进行了一系列严格的测试。他们创建了一个计算机扮演攻击者的场景，试图以 192 way（192 种方式）破坏系统。攻击者尝试更改提案的哈希值、更换时间段、使用虚假身份、损坏数字签名，或从已经投过票的验证者那里发送消息。在这 192 次尝试中，系统每一次都正确识别了错误并拒绝了投票。研究人员随后用有效投票测试了系统。当两个授权验证者投出正确的票时，系统接受了它们并完成了决策。当在决策已经做出后尝试进行第三次投票时，系统正确地拒绝了它，从而防止了结果被更改。另一项测试证实，当用于消息代码的内存填满时，系统拒绝了新流量，而没有删除旧的有效消息的证据，从而保持了重放保护的完整性。

研究还明确说明了这个系统无法做到的事情。它并不是为了阻止一群获得授权的验证者共同进行恶意行为而设计的。如果足够多的获准验证者决定投票支持一个坏主意，系统将会接受它，因为它信任其授权成员中的大多数。研究人员明确指出，这并不是一个“拜占庭容错”（Byzantine fault-tolerant）系统，即那种可以抵御群体中一定数量叛徒的协议。相反，该系统依赖于这样一个假设：管理授权验证者名单的人是值得信赖的，且名单本身是安全的。如果注册表遭到破坏，整个网络的安全性也会随之受到威胁。

结果表明，对于受控的、许可制的联网车辆网络，这种方法提供了一个坚实且可测试的安全层。它成功地分离了加入网络、证明新鲜度和投票的任务，确保了某一领域的失败不会导致整个系统的崩溃。该系统旨在对其边界保持透明：它会拦截外部人员、阻止重放消息并防止重复投票，但它需要人工监督来管理谁被允许投票。通过使用高容量的模拟攻击进行测试并记录零异常失败，研究人员证明了他们的设计能够抵御其所针对的特定威胁。这项工作为联网车辆网络如何管理信任与协作提供了一个清晰、可复制的蓝图，无需依赖复杂的、未经证实的理论，为更安全、更可靠的道路提供了一条务实的路径。