文章总结： 本文解析29服务ACR认证流程，定位为介于27服务与APCE之间的轻量级认证方案，无证书由OEM自定义，采用对称或非对称加密。详述单向认证（2905/2906）与双向认证（2905/2907）流程，核心要点包括algorithmIndicator全程不可修改、单向认证诊断仪挑战字段预留不生效、双向认证核心为双方独立挑战签名交叉校验，非对称ACR安全强度高于传统27服务且具备重放保护。
综合评分： 72
文章分类： 车联网安全,应用安全,安全工具
一文读懂29服务的ACR认证流程
谈思实验室
2026年9月19日 18:00
上海
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
点击上方蓝字谈思实验室
获取更多汽车网络安全资讯
ACR基于挑战-响应的认证也分为单向认证和双向认证，整体的认证流程表述上来看跟APCE是差不多的，区分点在于：
- APCE是基于PKI证书交换的认证，采用非对称加密；具备可追溯性（强身份识别），安全级别更高；
- ACR是没有证书的，由OEM自定义，采用对称/非对称加密，不具备可追溯性（弱身份识别），安全级别相对较低。
ACR认证可以看作一个中间态，是一个“加强版”的27服务，是一个“轻量版”的APCE认证，化解了27服务安全性较低的问题和APCE认证部署PKI的复杂性问题。
01
ACR单向认证流程（29 05\29 06）
1、（可选的）诊断仪请求ECU的认证配置信息
- 认证返回参数AuthenticationReturnParameter=03表示基于ACR非对称加密。
2、诊断仪发送带有所有权证明算法的请求身份验证挑战。
- 🎯algorithmIndicator是认证过程中协商好的，用于指示后续计算所有权证明的具体算法。
06…0A…00表示采用的是对称or非对称，ECU全程依赖该算法完成后续验签及校验。
算法一次性协商，后续验签过程中是不修改的。
3、ECU记下算法类型后，发送Challenge挑战。
4、诊断仪拿到Challenge后用自己的私钥对Challenge进行非对称签名，算出所有权证明，再把算出了凭证回传给ECU。
- 请求报文中的诊断仪Challenge在单向认证流程中没有使用，在双向认证流程中使用。
5、ECU用预先存储的诊断仪公钥对Challenge进行验签，验证结果与当初发的Challenge是否一致。
02
ACR双向认证流程（29 05\29 07）
ACR双向认证流程主要用29 07服务进行，在ECU的69 07响应中不仅有Challenge信息，还需要提供ECU所有权证书（整体流程不在赘述）。
03
核心提炼
- algorithmIndicator仅在诊断仪发起29 05服务阶段声明，全程不可动态修改。
- 单向认证并非缺少字段，而是诊断仪挑战字段预留不生效，双向认证才会启用。
- 双向认证的核心是双方独立挑战、独立签名、交叉校验，不是简单重复单向流程。
- ACR无证书不代表不安全，非对称ACR安全强度还是高于传统27服务的，至少具备重放保护。
来源：乙乙的车COOL
end
谈思汽车媒体门户
精品活动推荐
AutoSec系列沙龙
专业社群
部分入群专家来自：
新势力车企：
特斯拉、理想、极氪、小米、零跑汽车、阿维塔汽车、智己汽车、小鹏、岚图汽车、蔚来汽车、吉祥汽车、赛力斯……
外资传统主流车企代表:
大众中国、大众酷翼、奥迪汽车、宝马、福特、戴姆勒-奔驰、通用、保时捷、沃尔沃、现代汽车、日产汽车、捷豹路虎、斯堪尼亚……
内资传统主流车企：
吉利汽车、上汽乘用车、长城汽车、上汽大众、长安汽车、北京汽车、东风汽车、广汽、比亚迪、一汽集团、一汽解放、东风商用、上汽商用……
全球领先一级供应商：
博世、大陆集团、联合汽车电子、安波福、采埃孚、科世达、舍弗勒、霍尼韦尔、大疆、日立、哈曼、华为、百度、联想、联发科、普瑞均胜、德赛西威、蜂巢转向、均联智行、武汉光庭、星纪魅族、中车集团、潍柴集团、地平线、紫光同芯、字节跳动、……
二级供应商(500+以上)：
中科数测、ETAS、BlackDuck、NXP、上海软件中心、Deloitte、奇安信、为辰信安、云驰未来、信长城、泽鹿安全、纽创信安、复旦微电子、天融信、奇虎360、中汽中心、中国汽研、上海汽检、加特兰微电子、浙江大学……
人员占比
公司类型占比
文章
不要错过哦，这可能是汽车网络安全产业最大的专属社区！
首发!小米雷军两会上就汽车数据安全问题建言：关于构建完善汽车数据安全管理体系的建议
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：谈思实验室 《一文读懂29服务的ACR认证流程》