Desafíos de seguridad de datos en automoción

Los fabricantes de automóviles se esfuerzan por evitar las infracciones de seguridad y la piratería de datos en los vehículos nuevos y, al mismo tiempo, agregan características nuevas y cada vez más autónomas a los vehículos que pueden abrir la puerta a nuevas vulnerabilidades.

Estos dos objetivos a menudo están en desacuerdo. Al igual que con la seguridad en cualquier sistema complejo, nunca nada es completamente seguro. Pero incluso manejar este problema de múltiples capas es un desafío. Las arquitecturas de los vehículos de hoy, y las que se están desarrollando para los vehículos del futuro, son cada vez más complejas y, a menudo, están más allá del control de una sola empresa. Involucran componentes de hardware y software, con datos generados y procesados ​​en múltiples niveles y en múltiples lugares: dentro de un vehículo, entre diferentes vehículos y externamente en la infraestructura conectada. Algunos de esos datos son críticos para la funcionalidad del vehículo y están estrictamente controlados, pero incluso los datos menos críticos pueden proporcionar un vector de ataque potencial.

“Si tienes un vehículo completamente autónomo y conectado, y alguien puede piratear el automóvil y tomar el control, de repente se convierte casi en un arma”, dijo Robert Schweiger, director de soluciones automotrices de Cadencia. “Es por eso que los OEM y toda la industria automotriz son muy sensibles con este tema. Si no hay seguridad, todas las sofisticadas tecnologías ADAS no verán la aceptación del consumidor. La seguridad es primordial y súper importante”.

Esas preocupaciones se están haciendo eco en toda la industria de chips. “Tenemos muchos desafíos con los vehículos hoy en día porque hay una cantidad cada vez mayor de sistemas avanzados de asistencia al conductor que requieren muchas unidades de control electrónico”, señaló Thierry Kouthon, gerente técnico de productos en Rambus. “Todas las funciones del coche que antes eran mecánicas o hidráulicas ahora están informatizadas. De lo contrario, no puede controlar el automóvil por computadora. Pero esto también proporciona superficies de ataque para los piratas informáticos. Los sistemas de información y entretenimiento son un excelente punto de entrada para los ataques debido a una serie de conexiones inalámbricas al vehículo. Al mismo tiempo, está la electrificación de los vehículos, lo que multiplica el número de unidades de control electrónico en esos vehículos. Hay menos partes móviles, pero más partes electrónicas, lo que representa una mayor superficie de ataque. Finalmente, los vehículos autónomos por naturaleza no utilizan la interacción del conductor y, por lo tanto, necesitan sistemas electrónicos aún más avanzados”.

Fig. 1: Riesgos potenciales de seguridad en los vehículos. Fuente: Rambus

La seguridad de los datos en cualquier sistema electrónico es difícil. Pero dentro de un vehículo, esos datos deben moverse, almacenarse, procesarse y actualizarse.

“Cuando observamos la seguridad cibernética y todos los aspectos que giran en torno a la seguridad cibernética: datos en tránsito, datos que se mueven del punto A al punto B, datos en reposo que se almacenan en el vehículo o fuera del vehículo, pero de una forma u otra. asociado con el vehículo, ¿cuál es el riesgo de almacenarlo?” preguntó Chris Clark, gerente sénior en Sinopsis grupo automotriz. “¿Cuál es el riesgo de transmitirlo? ¿Cuál es el riesgo incluso de usar estos datos? ¿Debería usarse? Ese es el estándar de oro hoy en día sobre cómo las organizaciones ven eso”.

La industria automotriz ha logrado algunos avances en la protección de datos en los últimos cinco años, pero aún tiene un largo camino por recorrer.

“Estamos aprendiendo cómo hablar realmente sobre seguridad cibernética, tal vez no de manera significativa, pero estamos comenzando a usar los mismos términos”, dijo Clark. “Estamos analizando lo que hace una industria en comparación con otra, y si podemos utilizar algo de lo que han aprendido para realmente progresar en materia de seguridad para proteger una organización y proteger al consumidor. Pero a menos que haya una regulación, las actividades y los procesos de ciberseguridad están ahí para proteger a una organización, no necesariamente al individuo”.

Esto se complica por el hecho de que en los vehículos existe una creciente superposición entre seguridad y privacidad. Cuanto más se protegen los datos y más características autónomas tiene un vehículo, más potencialmente infringe la privacidad.

“¿El fabricante de mi automóvil o quienquiera que esté brindando un servicio sabe lo que estoy haciendo? Dado lo que sucedió con las redes sociales, la gente intentará monetizar esos datos”, dijo Jason Oberg, CTO de Tortuga Lógica. “En el caso de los seguros de automóviles, esto ya está ocurriendo. Pero puede imaginar recibir ciertos anuncios según el lugar al que conduce. Tal vez usted va a McDonald's todo el tiempo y pueden detectar que está haciendo eso, por lo que comienza a recibir anuncios de Instagram, Facebook y Google que dicen: 'Aquí está esta nueva venta en McDonald's'. O si está en el aeropuerto y saben que le gusta viajar, es posible que le brinden anuncios específicos sobre viajes. Eso es probablemente inevitable”.

Esto es potencialmente mucho más grave que una simple molestia. “Si un 'Zero Day' se encuentra una vulnerabilidad en todos los autos fabricados con las mismas claves de autenticación, o algo está integrado en las partes del auto y alguien lo descubre, luego pueden espiar el auto de su vecino o el comportamiento de conducción de su vecino, o cualquier auto. de ese modelo”, dijo Oberg. “Si se trata de una plataforma de redes sociales, no hay un dispositivo físico. Inicia sesión en un sistema y hay una infraestructura para protegerlo. Pero si es un dispositivo físico, ese vector de ataque ahora está abierto. Tener acceso físico, encontrar vulnerabilidades de hardware, este tipo de cosas ahora son vectores de ataque viables para obtener esa información”.

Para los piratas informáticos, hay una buena razón para aprovechar ese flujo de datos. Puede abrir la puerta al robo de IP para la tecnología utilizada en esos vehículos. Al mismo tiempo, los datos personales que se roban son cada vez más valiosos y se agregarán más a los vehículos con el tiempo.

“Es muy concebible que su automóvil tenga una infraestructura de tipo Apple Pay, o algo que almacene información localmente en el automóvil”, dijo Oberg. “O tal vez son algunos datos biométricos, y eso está almacenado localmente en el hardware de ese vehículo. Ahora existe un vector de ataque viable para explotar potencialmente ese tipo de datos. Y a medida que tenemos más dispositivos IoT distribuidos y se recopilan más cosas sobre los comportamientos personales de las personas, el dispositivo en sí se convierte en un vector de ataque viable. Vamos a ver más de lo que sucede con el impacto directo en el consumidor de este tipo de problemas. Todavía no hay muchos automóviles que recopilen información personal, pero los habrá. Es como cualquier cosa en seguridad. A medida que las personas comiencen a agregar más autonomía, recopilando un poco más de información sobre los comportamientos de conducción de las personas o lo que sea que puedan estar haciendo en su automóvil, eso tendrá algunas ventajas. Luego se van a arreglar. Es un proceso iterativo. Lo interesante de un automóvil es que, según la gravedad del ataque, es posible que no pueda emitir un parche de software. Puede estar más arraigado en el comportamiento del automóvil, por lo que es posible que no pueda solucionarlo. Con el tiempo, con suerte obtendremos más seguridad sobre cómo el automóvil recopila datos y cómo los protege, pero seguro que habrá un proceso de aprendizaje”.

Más vectores de ataque
Vehicle-to-everything (V2X), donde el vehículo se comunica con los semáforos, otros vehículos, incluso los peatones y la red en general, agrega otro vector de ataque potencial. ser considerado ahora. Para agravar esto, los autos con V2X deberán comunicarse con autos sin V2X, o con versiones anteriores de esa tecnología, debido a la larga vida útil de los vehículos.

“Lo que eso significa es que desea asegurarse de que los protocolos de comunicación utilizados funcionen juntos”, dijo Kouthon. “Todo es inalámbrico y existen dos estándares principales: 5G/basado en red celular y DSRC, que se basa en frecuencias de radio directas entre automóviles. Todos esos son casi intercambiables, y tal vez ambos funcionen. El problema real es que, dado que no tiene ninguna conexión física y se está comunicando de forma inalámbrica con su entorno, debe asegurarse de que todos esos mensajes sean auténticos. Debe saber que si el semáforo le dice que se está poniendo en verde, en realidad es el semáforo y no un pirata informático que intenta causar un accidente porque no está prestando atención. Eso se convierte en un problema de autenticación. La autenticación significa que todos los mensajes están firmados con una firma, por lo que el automóvil puede verificar que este mensaje proviene de una fuente genuina y que no es un semáforo falso o una infraestructura de cruce de trenes. Tiene que ser uno genuino que realmente esté a cargo de la ciudad”.

Las cosas se complican aún más cuando se reciben mensajes de otros coches, porque ahora todos los fabricantes tienen que ponerse de acuerdo sobre una serie de protocolos para que cada coche pueda reconocer a los demás. Se está trabajando para que eso suceda, de modo que cuando un BMW o Chrysler se comunique con un Volkswagen, el Volkswagen pueda asegurarse de que es un BMW o Chrysler real.

“Eso se convierte en un problema de distribución de certificados”, dijo Kouthon. “Es un problema antiguo que se ha estudiado muy bien en el contexto de los sitios web en Internet y, por lo general, es bastante complejo. Las cadenas de certificados pueden ser muy largas. En el caso del automóvil, el desafío es asegurarse de que las sesiones de verificación sean muy rápidas. Por ejemplo, desea que el automóvil pueda verificar hasta más de 2,000 mensajes por segundo. Eso tiene implicaciones en la infraestructura porque no puede llevar demasiado tiempo verificar cada mensaje. Eso también afecta el formato del certificado, su naturaleza, y significa que no puede diseñarlos exactamente como se diseñaron los sitios web, donde podrían autenticarse entre sí. Con un sitio web, se supone que el usuario puede esperar un par de segundos, mientras que en el automóvil, las decisiones deben tomarse en microsegundos”.

Solo durante el año pasado, los proveedores de IP de la industria automotriz lanzaron versiones seguras de sus procesadores. Schweiger dijo que se han implementado versiones de procesadores lockstep de ciertos procesadores para abordar aspectos de seguridad, como ASIL D.

“Necesitamos proporcionar IP para abordar la seguridad, que generalmente se encuentra dentro de un sistema raíz de confianza, para que el vehículo pueda arrancar primero de una manera muy segura y aislada, y pueda autenticar todos los demás sistemas para garantizar que el software no esté dañado o manipulado. " él dijo. “Cuando abre el automóvil al mundo exterior, con comunicaciones de vehículo a vehículo, comunicaciones de vehículo a infraestructura, actualizaciones inalámbricas, junto con WiFi, Ethernet, 5G, etc., amplía la superficie. de ataque de un coche. Es por eso que se deben implementar medidas para evitar que las personas pirateen el automóvil”.

La red en chip (NoC) dentro de los SoC automotrices también puede desempeñar un papel aquí. “Sobre el NoC dentro del SoC, considérelo como la red dentro de su empresa”, dijo Kurt Shuler, vicepresidente de marketing de IP de Arteris. “Dentro de su empresa, observa el tráfico de la red y hay un firewall que generalmente se encuentra en los bordes de la red. Lo coloca en algún lugar estratégico dentro de la red para observar el tráfico. En un SoC, haces lo mismo. ¿Dónde están las líneas troncales dentro del SoC? ¿Dónde están los lugares donde le gustaría ver los datos e inspeccionarlos? No necesariamente está realizando una inspección profunda de paquetes y observando todo el contenido de los paquetes dentro de la red en el chip. Pero debido a que los firewalls son programables, puede decir: 'En este tipo de caso de uso, con este tipo de comunicación, desde este iniciador de IP, tal vez en el clúster de la CPU, los datos son válidos para ir a esta memoria o este periférico, y esa es una comunicación válida. También puede usarlo para probar el sistema diciendo: 'Permítalo solo si hay comunicaciones no válidas en ese caso de uso'. Luego puede enviar información al sistema para indicar que algo malo está pasando. Esto es útil ya que los piratas informáticos crearán intencionalmente ese tráfico para tratar de ver qué tipo de seguridad tiene. Por lo tanto, también puede indicarle al sistema que deje pasar los datos y que no actúe en consecuencia, para etiquetar los datos y los comandos que considere incorrectos. Y si alguien está alterando el sistema, poniendo un montón de basura, puedes atraparlo”.

Los cortafuegos con el NoC también se pueden utilizar para reforzar la seguridad funcional. “Si va desde una parte menos segura del chip, digamos que es ASIL B o A, o tal vez sea QM, y los datos y comandos de ese lado del chip van a un lado ASIL D, usted quiere poder probar eso para asegurarse de que los datos se envuelvan en ECC, o cualquier método que se requiera para el lado más seguro del chip. Los cortafuegos ayudan con eso. Esa funcionalidad de cortafuegos se usa como una protección contra fallas para garantizar que los datos que provienen de una parte menos segura del chip estén debidamente protegidos antes de que entren en el lado más seguro del chip”, explicó Shuler.

Simulación y prueba
La planificación anticipada en el diseño y la fabricación puede ayudar a identificar las vulnerabilidades de hardware que también permiten que los datos se vean comprometidos.

“Hay piratería de software, pero también piratería de hardware: ataques de canal lateral”, dijo Marc Swinnen, director de marketing de productos de la unidad de negocios de semiconductores en Ansys. “Puedes extraer el código encriptado de un chip simplemente analizándolo, probándolo electromagnéticamente, probando su firma de ruido de potencia. Con un pirateo de software, siempre puede solucionarlo actualizando el software, pero si su hardware es vulnerable a este tipo de piratería, no hay nada que pueda hacer al respecto. Tienes que construir un nuevo chip porque es demasiado tarde para hacer algo. Realmente necesita simular eso antes de que llegue a ese punto, y simular el escenario de que si alguien pusiera una sonda EM unos milímetros por encima de mi chip, ¿qué señal recibiría? ¿Cuál de mis cables emitiría más y qué tan bien funciona mi blindaje? Además, ¿cuál es mi firma de ruido de potencia? Todas estas cosas se pueden estipular. Es posible obtener métricas de cuántos ciclos de simulación se necesitan para extraer el cifrado".

Algo de esto también se puede identificar en el proceso de prueba, que implica múltiples puntos de inserción a lo largo del flujo desde el diseño hasta la fabricación. Eso puede incorporar todo, desde los datos habituales de prueba en el sistema de aprobación y falla, hasta datos de reparación de memoria y lógica, así como datos recopilados del monitoreo en circuito.

"Todos estos datos se pueden recopilar desde el dispositivo en una solución de base de datos en la nube, donde se vuelven extremadamente poderosos", dijo Lee Harrison, gerente de soluciones de prueba de IC automotriz en EDA de Siemens. “Después de haber recopilado datos de una gran sección transversal de sistemas en el campo, los datos se analizan y se someten a algoritmos basados ​​​​en IA para luego proporcionar retroalimentación al sistema físico para ajustar y afinar su rendimiento. Aquí, la aplicación del gemelo digital se puede utilizar como parte del proceso de análisis y refinamiento”.

Fig. 2: Simulación y prueba de vulnerabilidades de datos. Fuente: Siemens AED

Los datos fuera del chip se pueden recopilar y luego enviar de forma segura a la nube para su análisis utilizando identidades y autenticación únicas. Esto es especialmente importante cuando se trata de actualizaciones inalámbricas, y están sujetas a regulaciones rigurosas en muchos países, dijo Harrison.

Conclusión
Si bien estas capacidades y mejoras brindan cierto aliento, la seguridad de los datos seguirá siendo problemática en los próximos años en todos los sistemas electrónicos. Pero en aplicaciones como la automoción, las infracciones no son solo un inconveniente. Pueden ser peligrosos.

“Cuando nos enteramos de las actividades que están ocurriendo, automáticamente nos sentimos más cómodos y decimos: 'Está bien, están sucediendo cosas'”, dijo Clark de Synopsys. “Pero cuando hablamos de mover datos de forma segura del punto A al punto B, o de no aceptar el dispositivo que no debería estar en esa red, abarca tanto la tecnología como el proceso. ¿Cómo toma en serio una organización las prácticas de ciberseguridad y cómo define y mide su programa general de ciberseguridad para ver que está mejorando? Puede que eso no tenga nada que ver con la forma en que muevo los datos, pero tiene mucho que ver con si una organización se toma en serio la ciberseguridad. Y ese proceso permite que los ingenieros, los diseñadores de sistemas, los diseñadores de infraestructura digan: 'No solo estamos desarrollando esta tecnología realmente excelente, sino que tenemos que analizar realmente la ciberseguridad. ¿Qué significa ciberseguridad en este contexto? Ahí es donde empezamos a ver una mejora real. Las organizaciones tienen que madurar lo suficiente desde la perspectiva de las pruebas de seguridad cibernética para reconocer eso y desarrollar sus procesos de pruebas de seguridad cibernética para llegar a ese punto de manera significativa”.

El Oberg de Tortuga estuvo de acuerdo. “Se trata de tener un proceso. La seguridad es siempre un viaje. Nunca puedes estar seguro, así que lo mejor que puedes hacer es ser proactivo. Piense en lo que está tratando de proteger, de lo que son capaces los adversarios. No se puede predecir todo. Tienes que aceptar eso. Me gusta el enfoque de ser siempre lo más abierto posible. No intentes contenerte. Por supuesto, no debe revelar nada de su propiedad intelectual. Pero también debe ser transparente sobre su proceso para sus clientes. Si algo sucede, necesitan saber cuál es su proceso. Y luego, debe ser muy claro sobre lo que ha hecho usted mismo y lo que no ha hecho. Se trata de, 'Este es mi modelo de amenaza. Estas son las suposiciones que hice. Estas cosas no las hemos considerado'”.

Fuente: https://semiengineering.com/data-security-challenges-in-automotive/