Les défis de la sécurité des données dans l'automobile

Les constructeurs automobiles s'efforcent de prévenir les failles de sécurité et le piratage de données dans les nouveaux véhicules tout en ajoutant simultanément de nouvelles fonctionnalités de plus en plus autonomes dans les véhicules qui peuvent ouvrir la porte à de nouvelles vulnérabilités.

Ces deux objectifs sont souvent contradictoires. Comme pour la sécurité de tout système complexe, rien n’est jamais complètement sécurisé. Mais même maîtriser ce problème à plusieurs niveaux constitue un défi. Les architectures des véhicules d’aujourd’hui, et celles en cours de développement pour les véhicules de demain, sont de plus en plus complexes et échappent souvent au contrôle d’une seule entreprise. Ils impliquent à la fois des composants matériels et logiciels, avec des données générées et traitées à plusieurs niveaux et à plusieurs endroits : au sein d'un véhicule, entre différents véhicules et en externe dans une infrastructure connectée. Certaines de ces données sont essentielles au fonctionnement du véhicule et étroitement contrôlées, mais même les données moins critiques peuvent constituer un vecteur d’attaque potentiel.

"Si vous disposez d'un véhicule entièrement autonome et connecté, et que quelqu'un peut pirater la voiture et en prendre le contrôle, alors tout d'un coup, cela devient presque une arme", a déclaré Robert Schweiger, directeur des solutions automobiles chez Cadence. « C’est pourquoi les équipementiers et l’ensemble de l’industrie automobile sont extrêmement sensibles à ce sujet. S’il n’y a pas de sécurité, toutes les technologies ADAS sophistiquées ne seront pas acceptées par les consommateurs. La sécurité est primordiale et extrêmement importante.

Ces préoccupations se retrouvent dans l’ensemble de l’industrie des puces. « Nous sommes aujourd'hui confrontés à de nombreux défis avec les véhicules car il existe un nombre croissant de systèmes avancés d'aide à la conduite qui nécessitent de nombreuses unités de commande électroniques », a noté Thierry Kouthon, chef de produit technique chez Rambus. « Toutes les fonctions de la voiture qui étaient autrefois mécaniques ou hydrauliques sont désormais informatisées. Sinon, vous ne pourrez pas contrôler la voiture par ordinateur. Mais cela fournit également des surfaces d’attaque aux pirates. Les systèmes d'infodivertissement constituent un excellent point d'entrée pour les attaques en raison d'un certain nombre de connexions sans fil avec le véhicule. Parallèlement, il y a l’électrification des véhicules, qui multiplie le nombre d’unités de commande électroniques dans ces véhicules. Il y a moins de pièces mobiles, mais plus de pièces électroniques, ce qui représente une surface d'attaque accrue. Enfin, les véhicules autonomes, par nature, n’utilisent pas l’interaction du conducteur et nécessitent donc des systèmes électroniques encore plus avancés.

Fig. 1 : Risques potentiels pour la sécurité dans les véhicules. Source : Rambus

La sécurité des données dans tout système électronique est difficile. Mais au sein d’un véhicule, ces données doivent être déplacées, stockées, traitées et mises à jour.

"Quand nous examinons la cybersécurité et tous les aspects qui tournent autour de la cybersécurité : les données en transit, les données qui se déplacent d'un point A à un point B, les données au repos qui sont stockées dans le véhicule ou à l'extérieur du véhicule mais qui se présentent sous une forme ou une autre. associé au véhicule – quel est le risque de le stocker ? a demandé Chris Clark, directeur principal de Synopsys ' groupe automobile. « Quel est le risque de le transmettre ? Quel est le risque d’utiliser ces données, et faut-il les utiliser ? C’est aujourd’hui la référence en matière de façon dont les organisations envisagent cela.

L’industrie automobile a fait quelques progrès en matière de sécurisation des données au cours des cinq dernières années, mais il reste encore un long chemin à parcourir.

« Nous apprenons à vraiment parler de cybersécurité – peut-être pas de manière significative, mais nous commençons à utiliser les mêmes termes », a déclaré Clark. « Nous examinons ce qu’un secteur fait par rapport à un autre et si nous pouvons utiliser une partie de ce qu’ils ont appris pour réellement progresser en matière de sécurité afin de protéger une organisation et de protéger le consommateur. Mais à moins qu’il n’y ait une réglementation, les activités et processus de cybersécurité sont là pour protéger une organisation, pas nécessairement l’individu.

La situation est compliquée par le fait que, dans les véhicules, il existe un chevauchement croissant entre sécurité et confidentialité. Plus les données sont protégées et les fonctionnalités d’un véhicule plus autonomes, plus elles portent potentiellement atteinte à la vie privée.

« Est-ce que mon constructeur automobile ou quiconque fournit un service sait ce que je fais ? Compte tenu de ce qui s'est passé avec les médias sociaux, les gens vont essayer de monétiser ces données », a déclaré Jason Oberg, directeur technique de Logique de la Tortue. « Dans le cas de l’assurance automobile, cela se produit déjà. Mais vous pouvez imaginer recevoir certaines publicités en fonction de l'endroit où vous conduisez. Peut-être que vous allez chez McDonald's tout le temps, et qu'ils peuvent détecter que vous le faites, alors vous commencez à recevoir des publicités sur Instagram, Facebook et Google disant : « Voici cette nouvelle vente chez McDonald's ». Ou si vous êtes à l'aéroport et qu'ils savent que vous aimez voyager, ils peuvent vous proposer des publicités ciblées sur les voyages. C’est probablement inévitable.

C’est potentiellement bien plus grave qu’un simple désagrément. "Si un 'jour zéro" La vulnérabilité se trouve dans toutes les voitures fabriquées avec les mêmes clés d'authentification, ou quelque chose est réellement intégré dans les pièces de la voiture et quelqu'un le découvre, alors ils peuvent aller espionner la voiture de leur voisin ou le comportement de conduite de leur voisin, ou n'importe quelle voiture. de ce modèle », a déclaré Oberg. « S’il s’agit d’une plateforme de médias sociaux, il n’y a pas d’appareil physique. Vous vous connectez à un système et il existe une infrastructure pour le protéger. Mais s’il s’agit d’un appareil physique, ce vecteur d’attaque est désormais ouvert. Avoir un accès physique, trouver des vulnérabilités matérielles, ce genre de choses sont désormais des vecteurs d'attaque viables pour obtenir ces informations.

Pour les pirates informatiques, il y a de bonnes raisons d’exploiter ce flux de données. Cela peut ouvrir la porte au vol de propriété intellectuelle pour la technologie utilisée dans ces véhicules. Dans le même temps, les données personnelles volées ont de plus en plus de valeur et de plus en plus d’entre elles seront ajoutées dans les véhicules au fil du temps.

"Il est tout à fait concevable que votre voiture dispose d'une infrastructure de type Apple Pay, ou de quelque chose qui stockerait des informations localement dans l'automobile", a déclaré Oberg. « Ou peut-être s'agit-il de données biométriques, stockées localement sur le matériel de ce véhicule. Il existe désormais un vecteur d’attaque viable pour exploiter potentiellement ce type de données. Et à mesure que nous obtenons de plus en plus d’appareils IoT distribués et que davantage d’informations sont collectées sur les comportements personnels des gens, l’appareil lui-même devient désormais un vecteur d’attaque viable. Nous allons voir davantage de choses de ce genre se produire avec l'impact direct sur les consommateurs de ce type de problèmes. Il n’y a pas encore beaucoup de voitures qui collectent des informations personnelles, mais il y en aura. C'est comme n'importe quoi en matière de sécurité. À mesure que les gens commencent à accroître leur autonomie, à collecter un peu plus d'informations sur leurs comportements de conduite ou sur tout ce qu'ils font dans leur voiture, cela va donner lieu à des exploits. Ensuite, ils seront réparés. C'est un processus itératif. Ce qui est intéressant à propos d’une voiture, c’est que, selon la gravité de l’attaque, vous ne pourrez peut-être pas publier de correctif logiciel. Cela peut être plus ancré dans le comportement de la voiture, vous ne pourrez donc peut-être pas résoudre ce problème. Au fil du temps, nous espérons que nous obtiendrons plus de sécurité quant à la manière dont la voiture collecte les données et à la manière dont elle les protège, mais il y aura certainement un processus d'apprentissage.

Plus de vecteurs d'attaque
Le véhicule à tout (V2X) — où le véhicule communique avec les feux de circulation, les autres véhicules, même les piétons, et le réseau en général — ajoute encore un autre vecteur d'attaque potentiel. Bien qu'il s'agisse davantage d'un problème d'avenir, il doit être envisagée maintenant. De plus, les voitures compatibles V2X devront communiquer avec des voitures non compatibles V2X, ou avec des versions plus anciennes de cette technologie, en raison de la longue durée de vie des véhicules.

"Cela signifie que vous voulez vous assurer que les protocoles de communication utilisés fonctionnent ensemble", a déclaré Kouthon. « Tout est sans fil et il existe deux normes principales : la 5G/basée sur le réseau cellulaire et la DSRC, qui repose sur des fréquences radio directes entre les voitures. Tous ces éléments sont presque interchangeables, et peut-être que les deux fonctionneront. Le vrai problème est que, puisque vous n’avez aucune connexion physique et que vous communiquez sans fil avec votre environnement, vous devez vous assurer que tous ces messages sont authentiques. Vous devez savoir que si le feu de circulation vous indique qu’il passe au vert, il s’agit en fait du feu de circulation et non d’un pirate informatique qui tente de provoquer un accident parce que vous n’y prêtez pas attention. Cela devient un problème d'authentification. L'authentification signifie que tous les messages sont signés avec une signature, afin que la voiture puisse vérifier que ce message provient d'une source authentique et qu'il ne s'agit pas d'un faux feu de circulation ou d'une fausse infrastructure de passage à niveau. Il doit s’agir d’un véritable projet géré par la ville.

Les choses deviennent encore plus compliquées lorsque des messages sont reçus d'autres voitures, car désormais tous les constructeurs doivent se mettre d'accord sur un ensemble de protocoles afin que chaque voiture puisse reconnaître les autres. Des travaux sont en cours pour y parvenir, afin que lorsqu'une BMW ou une Chrysler communique avec une Volkswagen, celle-ci puisse s'assurer qu'il s'agit bien d'une véritable BMW ou Chrysler.

"Cela devient un problème de distribution de certificats", a déclaré Kouthon. « C’est un problème ancien qui a été très bien étudié dans le contexte des sites Web sur Internet, et qui est généralement assez complexe. Les chaînes de certificats peuvent être très longues. Dans le cas de la voiture, le défi est de faire en sorte que les séances de vérification soient très rapides. Par exemple, vous souhaitez que la voiture soit capable de vérifier jusqu'à 2,000 XNUMX messages par seconde. Cela a des implications sur l’infrastructure car la vérification de chaque message ne peut pas prendre trop de temps. Cela a également un impact sur le format des certificats, leur nature, et cela signifie que vous ne pouvez pas les concevoir exactement comme les sites Web ont été conçus, où ils pourraient s'authentifier mutuellement. Avec un site Web, on suppose que l’utilisateur peut attendre quelques secondes, alors que dans une voiture, les décisions doivent être prises en quelques microsecondes.

Au cours de la seule année écoulée, les fournisseurs IP de l'industrie automobile ont publié des versions sécurisées de leurs processeurs. Schweiger a déclaré que des versions de processeur lockstep de certains processeurs ont été déployées pour répondre aux aspects de sécurité, comme ASIL D.

"Nous devons fournir une adresse IP pour assurer la sécurité, qui se situe généralement au sein d'un système racine de confiance, afin que le véhicule puisse d'abord démarrer de manière très sécurisée et isolée, et puisse authentifier tous les autres systèmes pour garantir que le logiciel n'est pas corrompu ou manipulé. " il a dit. « Lorsque vous ouvrez la voiture au monde extérieur, avec des communications de véhicule à véhicule, des communications de véhicule à infrastructure, des mises à jour en direct, ainsi que le WiFi, Ethernet, 5G, etc., cela agrandit la surface. d'attaque d'une voiture. C'est pourquoi des mesures doivent être prises pour empêcher les gens de pirater la voiture.»

Le réseau sur puce (NoC) au sein des SoC automobiles peut également jouer un rôle ici. « Concernant le NoC au sein du SoC, considérez-le comme étant comme le réseau au sein de votre entreprise », a déclaré Kurt Shuler, vice-président du marketing chez IP Artéris. « Au sein de votre entreprise, vous examinez le trafic réseau et il existe un pare-feu qui se trouve généralement aux extrémités du réseau. Vous le placez à un endroit stratégique au sein du réseau pour surveiller le trafic. Dans un SoC, vous faites la même chose. Où sont les lignes principales au sein du SoC ? Quels sont les endroits où vous souhaiteriez voir les données et les inspecter ? Vous n’effectuez pas nécessairement une inspection approfondie des paquets et n’examinez pas tout le contenu des paquets au sein du réseau sur puce. Mais comme les pare-feu sont programmables, vous pouvez dire : « Dans ce type de cas d'utilisation, avec ce type de communication, à partir de cet initiateur IP, peut-être au niveau du cluster CPU, les données sont valides pour aller vers cette mémoire ou ce périphérique, et c'est une communication valide.' Vous pouvez également l'utiliser pour tester le système en disant : 'Autorisez cela uniquement s'il y a des communications non valides dans ce cas d'utilisation.' Vous pouvez ensuite envoyer des informations au système pour indiquer que quelque chose de mauvais se passe. Ceci est utile car les pirates informatiques créeront intentionnellement ce trafic pour essayer de voir de quel type de sécurité vous disposez. Par conséquent, vous pouvez également demander au système de laisser passer les données et de ne pas agir dessus, afin de marquer les données et les commandes que vous pensez être mauvaises. Et si quelqu’un perturbe le système – en y mettant tout un tas d’ordures – vous pouvez l’attraper.

Les pare-feu avec NoC peuvent également être utilisés pour renforcer la sécurité fonctionnelle. "Si vous partez d'une partie moins sûre de la puce - disons que c'est un ASIL B ou A, ou peut-être que c'est QM - et que les données et les commandes de ce côté de la puce vont vers un côté ASIL D, vous voulez pour pouvoir tester cela pour s'assurer que les données sont enveloppées dans ECC, ou quelle que soit la méthode requise pour le côté le plus sûr de la puce. Les pare-feu y contribuent. Cette fonctionnalité de pare-feu est utilisée comme sécurité intégrée pour garantir que les données provenant d'une partie moins sûre de la puce sont correctement protégées avant de passer du côté le plus sûr de la puce », a expliqué Shuler.

Simulation et test
Planifier à l’avance la conception et la fabrication peut également aider à identifier les vulnérabilités matérielles qui permettent également de compromettre les données.

"Il y a le piratage logiciel, mais il y a aussi le piratage matériel - les attaques par canal secondaire", a déclaré Marc Swinnen, directeur du marketing produit pour l'unité commerciale semi-conducteurs chez Ansys. « Vous pouvez extraire le code crypté d’une puce simplement en l’analysant, en le sondant électromagnétiquement, en sondant sa signature de bruit de puissance. Avec un piratage logiciel, vous pouvez toujours le réparer en mettant à jour le logiciel, mais si votre matériel est vulnérable à ce type de piratage, vous ne pouvez rien y faire. Vous devez construire une nouvelle puce car il est trop tard pour faire quoi que ce soit. Vous devez vraiment simuler cela avant d’en arriver là, et simuler le scénario selon lequel si quelqu’un plaçait une sonde EM à quelques millimètres au-dessus de ma puce, quel signal recevrait-elle ? Lequel de mes fils émettrait le plus et dans quelle mesure mon blindage fonctionne-t-il ? De plus, quelle est ma signature sonore de puissance ? Toutes ces choses peuvent être stipulées. Il est possible d’obtenir des mesures sur le nombre de cycles de simulation nécessaires pour extraire le cryptage.

Une partie de cela peut également être identifiée dans le processus de test, qui implique plusieurs points d'insertion tout au long du flux de conception jusqu'à la fabrication. Cela peut tout intégrer, depuis les données habituelles de test de réussite/échec dans le système, jusqu'aux données de réparation de mémoire et de logique, ainsi que les données collectées lors de la surveillance en circuit.

« Toutes ces données peuvent être collectées depuis l'appareil vers une solution de base de données cloud, où elles deviennent extrêmement puissantes », a déclaré Lee Harrison, responsable des solutions de test de circuits intégrés automobiles chez Siemens EDA. « Après avoir collecté des données provenant d'un large éventail de systèmes sur le terrain, les données sont analysées et soumises à des algorithmes basés sur l'IA pour ensuite fournir un retour d'information au système physique afin d'ajuster et d'affiner ses performances. Ici, l’application du jumeau numérique peut être utilisée dans le cadre du processus d’analyse et de raffinement.

Fig. 2 : Simulation et test des vulnérabilités des données. Source : Siemens EDA

Les données hors puce peuvent être collectées puis expédiées en toute sécurité vers le cloud pour analyse à l'aide d'identités et d'authentification uniques. Ceci est particulièrement important lorsqu'il s'agit de mises à jour en direct, et celles-ci sont soumises à des réglementations rigoureuses dans de nombreux pays, a déclaré Harrison.

Conclusion
Même si ces capacités et améliorations constituent un certain encouragement, la sécurité des données continuera de poser problème pendant des années dans tous les systèmes électroniques. Mais dans des applications telles que l’automobile, les violations ne sont pas seulement un inconvénient. Ils peuvent être dangereux.

"Lorsque nous entendons parler des activités qui se déroulent, nous nous sentons automatiquement plus à l'aise et disons : 'Oh, d'accord, des choses se produisent'", a déclaré Clark de Synopsys. « Mais lorsque nous parlons de déplacer des données en toute sécurité d'un point A à un point B, ou de ne pas accepter un appareil qui ne devrait pas se trouver sur ce réseau, cela englobe à la fois la technologie et le processus. Comment une organisation prend-elle au sérieux ses pratiques de cybersécurité, et comment définit-elle et mesure-t-elle son programme global de cybersécurité afin de constater qu'elle s'améliore ? Cela n’a peut-être rien à voir avec la façon dont je déplace les données, mais cela dépend du fait qu’une organisation prenne la cybersécurité au sérieux. Et ce processus permet aux ingénieurs, aux concepteurs de systèmes, aux concepteurs d'infrastructures de dire : « Non seulement nous développons cette technologie vraiment géniale, mais nous devons également jeter un véritable regard sur la cybersécurité. Que signifie la cybersécurité dans ce contexte ? C'est là que nous commençons à constater une réelle amélioration. Les organisations doivent devenir suffisamment matures du point de vue des tests de cybersécurité pour le reconnaître et développer leurs processus de tests de cybersécurité pour y parvenir de manière significative.

Oberg de Tortuga était d'accord. « Il s'agit avant tout d'avoir un processus. La sécurité est toujours un voyage. Vous ne pouvez jamais être en sécurité, la meilleure chose à faire est donc d’être proactif. Pensez à ce que vous essayez de protéger, à ce dont les adversaires sont capables. On ne peut pas tout prédire. Il faut accepter cela. J’aime l’approche consistant à toujours être aussi ouvert que possible. N'essayez pas de vous retenir. Bien entendu, vous ne devez divulguer aucune partie de votre propriété intellectuelle. Mais vous devez également être transparent sur votre processus envers vos clients. Si quelque chose arrive, ils doivent savoir quel est votre processus. Et puis, vous devez être très clair sur ce que vous avez fait vous-même et sur ce que vous n’avez pas fait. Il s'agit de : « C'est mon modèle de menace ». Ce sont les hypothèses que j’ai faites. Nous n’avons pas envisagé ce genre de choses.

Source : https://semiengineering.com/data-security-challenges-in-automotive/