Adatbiztonsági kihívások az autóiparban

Az autógyártók arra törekednek, hogy megakadályozzák a biztonsági feltöréseket és az adatfeltöréseket az új járművekben, miközben egyidejűleg új és egyre autonómabb funkciókat adnak a járművekhez, amelyek új sebezhetőségeket nyithatnak meg.

Ez a két cél gyakran ellentétes. Mint a biztonság minden összetett rendszerben, soha semmi sem teljesen biztonságos. De még ennek a többrétegű kérdésnek a kezelése is kihívást jelent. A járműarchitektúrák napjainkban és a jövő járműveihez kifejlesztettek egyre bonyolultabbak, és gyakran egyetlen vállalat ellenőrzése alatt sem állnak. Hardver- és szoftverkomponenseket egyaránt foglalnak magukban, és az adatokat több szinten és több helyen generálják és dolgozzák fel – járművön belül, különböző járművek között és kívülről a kapcsolódó infrastruktúrában. Ezen adatok egy része kritikus fontosságú a jármű működése szempontjából, és szigorúan ellenőrzött, de még a kevésbé kritikus adatok is potenciális támadási vektort jelenthetnek.

„Ha egy teljesen autonóm és csatlakoztatott járművel rendelkezik, és valaki be tudja törni az autót, és átveheti az irányítást, akkor hirtelen szinte fegyverré válik” – mondta Robert Schweiger, az autóipari megoldások igazgatója. hanglejtés. „Ezért az OEM-ek és az egész autóipar rendkívül érzékeny erre a témára. Ha nincs biztonság, az összes divatos ADAS technológia nem fogadja el a fogyasztókat. A biztonság a legfontosabb és rendkívül fontos.”

Ezek az aggodalmak az egész chipiparban visszhangoznak. „Nagyon sok kihívás előtt állunk a járművekkel kapcsolatban, mert egyre több olyan fejlett vezetőtámogató rendszer létezik, amelyek sok elektronikus vezérlőegységet igényelnek” – jegyezte meg Thierry Kouthon, a vállalat műszaki termékmenedzsere. Rambus. „Az autó minden funkciója, amely régen mechanikus vagy hidraulikus volt, ma már számítógépes. Ellenkező esetben nem tudja számítógéppel irányítani az autót. Ez azonban támadási felületeket is biztosít a hackerek számára. Az Infotainment rendszerek kiváló belépési pontot jelentenek a támadásokhoz, mivel számos vezeték nélküli kapcsolat van a járművel. Ezzel párhuzamosan történik a járművek villamosítása, ami megsokszorozza az elektronikus vezérlőegységek számát azokban a járművekben. Kevesebb a mozgó alkatrész, de több az elektronikus alkatrész, ami fokozott támadási felületet jelent. Végül, az autonóm járművek természetüknél fogva nem használnak vezetői interakciót, ezért még fejlettebb elektronikus rendszerekre van szükségük.”

1. ábra: Lehetséges biztonsági kockázatok a járművekben. Forrás: Rambus

Az adatbiztonság minden elektronikus rendszerben nehéz. A járművön belül azonban ezeket az adatokat mozgatni, tárolni, feldolgozni és frissíteni kell.

„Ha a kiberbiztonságot és a kiberbiztonság körül forgó összes szempontot nézzük – továbbítás alatt álló adatok, A pontból B pontba mozgó adatok, nyugalmi adatok, amelyeket a járműben vagy a járművön kívül tárolnak, de ilyen vagy olyan formában vannak. a járműhöz kapcsolódik – milyen kockázattal jár a tárolás? – tette fel a kérdést Chris Clark, az ügyvezető igazgatója Synopsys' autóipari csoport. „Mi a kockázata annak átvitelének? Mégis mekkora a kockázata ezen adatok felhasználásának, és érdemes-e használni? Ez ma az aranystandard annak, ahogyan a szervezetek ezt nézik.”

Az autóipar az elmúlt öt évben némi előrelépést tett az adatok biztonsága terén, de még hosszú út áll előtte.

„Megtanuljuk, hogyan kell valóban beszélni a kiberbiztonságról – talán nem értelmes módon, de kezdjük ugyanazokat a kifejezéseket használni” – mondta Clark. „Megvizsgáljuk, hogy az egyik iparág mit csinál a másikhoz képest, és hogy felhasználhatjuk-e a tanultak egy részét, hogy valóban előrelépést érjünk el a biztonság terén a szervezet és a fogyasztó védelme érdekében. De ha nincs szabályozás, a kiberbiztonsági tevékenységek és folyamatok egy szervezet védelmét szolgálják, nem feltétlenül az egyént.”

Ezt bonyolítja az a tény, hogy a járművekben egyre nagyobb az átfedés a biztonság és a magánélet védelme között. Minél jobban védettek az adatok, és minél több autonóm funkció van egy járműben, annál jobban sérti a magánéletet.

„Az autógyártóm vagy bárki, aki szolgáltatást nyújt, tudja, mit csinálok? Tekintettel arra, hogy mi történt a közösségi médiával, az emberek megpróbálják bevételre tenni ezeket az adatokat” – mondta Jason Oberg, a vállalat műszaki igazgatója. Tortuga logika. „A gépjármű-biztosítások esetében ez már megtörténik. De el tudja képzelni, hogy bizonyos hirdetéseket kapjon attól függően, hogy hol vezet. Lehet, hogy állandóan a McDonald's-ba jársz, és észreveszik, hogy ezt csinálod, így elkezdenek kapni az Instagramon, a Facebookon és a Google-on olyan hirdetéseket, amelyek azt mondják: "Itt ez az új akció a McDonald's-ban." Vagy ha a repülőtéren tartózkodik, és tudják, hogy szeret utazni, célzott hirdetéseket jeleníthetnek meg az utazással kapcsolatban. Ez valószínűleg elkerülhetetlen.”

Ez potenciálisan sokkal súlyosabb, mint egy egyszerű bosszúság. "Ha egy 'nulla nap' sérülékenység megtalálható az összes azonos hitelesítő kulccsal gyártott autóban, vagy az autó alkatrészeibe belesülnek valamit, és valaki kitalálja, akkor kémkedhet a szomszéd autója, vagy a szomszéd vezetési viselkedése, vagy bármilyen autó után. ennek a modellnek” – mondta Oberg. „Ha ez egy közösségi média platform, akkor nincs fizikai eszköz. Bejelentkezik egy rendszerbe, és van infrastruktúra, amely ezt megvédi. De ha ez egy fizikai eszköz, akkor ez a támadási vektor most nyitva van. A fizikai hozzáféréssel, a hardveres sebezhetőségek megtalálásával az efféle dolgok ma már életképes támadási vektorok az információk megszerzésére.”

A hackerek számára jó okuk van rá, hogy hozzáférjenek ehhez az adatfolyamhoz. Kinyithatja az ajtót az IP-lopás előtt az ezekben a járművekben használt technológia számára. Ugyanakkor az ellopott személyes adatok egyre értékesebbek, és idővel egyre több kerül belőlük a járművekbe.

"Nagyon elképzelhető, hogy az autója Apple Pay típusú infrastruktúrával rendelkezik, vagy valami olyasmivel rendelkezik, amely helyben tárolja az információkat az autóban" - mondta Oberg. – Vagy lehet, hogy bizonyos biometrikus adatokról van szó, amelyeket helyileg a jármű hardverén tárolnak. Most van egy életképes támadási vektor, amely potenciálisan kihasználja az ilyen típusú adatokat. És ahogy egyre több elosztott IoT-eszközt kapunk, és egyre több dolgot gyűjtenek össze az emberek személyes viselkedésével kapcsolatban, úgy maga az eszköz is életképes támadási vektorré válik. Egyre többet fogunk látni, hogy az ilyen típusú problémák közvetlen fogyasztói hatással lesznek. Egyelőre nem sok autó gyűjt személyes adatokat, de lesz. Ez olyan, mint bármi a biztonságban. Amint az emberek egyre több autonómiát kezdenek beépíteni, és egy kicsit több információt gyűjtenek az emberek vezetési viselkedéséről, vagy bármiről, amit az autójukban csinálnak, ennek lesz némi előnye. Aztán rendbe jönnek. Ez egy iteratív folyamat. Az autó érdekessége, hogy a támadás súlyosságától függően előfordulhat, hogy nem tud szoftverjavítást kiadni. Lehet, hogy ez jobban beleivódott az autó viselkedésébe, így előfordulhat, hogy nem tudja megjavítani. Idővel remélhetőleg nagyobb biztonságot kapunk azzal kapcsolatban, hogy az autó hogyan gyűjti az adatokat, és hogyan védi azokat, de az biztos, hogy lesz egy tanulási folyamat.”

Több támadási vektor
Vehicle-to-eything (V2X) – ahol a jármű kommunikál a közlekedési lámpákkal, más járművekkel, akár gyalogosokkal és általában a hálózattal – egy újabb potenciális támadási vektort jelent. Bár ez inkább előremutató probléma, most figyelembe kell venni. Mindezt kiegészítve a V2X-kompatibilis autóknak kommunikálniuk kell a nem V2X-kompatibilis autókkal vagy a technológia régebbi verzióival, a járművek hosszú élettartama miatt.

"Ez azt jelenti, hogy meg akarja győződni arról, hogy a használt kommunikációs protokollok együtt működnek" - mondta Kouthon. „Minden vezeték nélküli, és két fő szabvány létezik – az 5G/celluláris hálózat alapú és a DSRC, amely az autók közötti közvetlen rádiófrekvenciákon alapul. Mindegyik szinte felcserélhető, és talán mindkettő működni fog. Az igazi probléma az, hogy mivel nincs fizikai kapcsolata, és vezeték nélkül kommunikál a környezetével, meg kell győződnie arról, hogy ezek az üzenetek hitelesek. Tudnia kell, hogy ha a közlekedési lámpa azt jelzi, hogy zöldre vált, akkor valójában a közlekedési lámpa, és nem egy hacker próbál balesetet okozni, mert nem figyel. Ez hitelesítési problémává válik. A hitelesítés azt jelenti, hogy az összes üzenetet aláírással látják el, így az autó ellenőrizheti, hogy az üzenet valódi forrásból származik-e, és nem hamis közlekedési lámpáról vagy vasúti átjáró infrastruktúráról van szó. Valódinak kell lennie, amelyet valójában a város irányít.”

A dolgok még bonyolultabbá válnak, ha üzenetek érkeznek más autóktól, mert most már minden gyártónak meg kell állapodnia egy sor protokollban, hogy minden autó felismerhesse a többit. Dolgoznak ennek megvalósításán, hogy amikor egy BMW vagy Chrysler kommunikál egy Volkswagennel, a Volkswagen megbizonyosodjon arról, hogy valódi BMW-ről vagy Chryslerről van szó.

„Ez a tanúsítványkiosztás problémája lesz” – mondta Kouthon. „Ez egy régi probléma, amelyet nagyon alaposan tanulmányoztak az internetes webhelyekkel összefüggésben, és általában meglehetősen összetett. A tanúsítványláncok nagyon hosszúak lehetnek. Az autó esetében az a kihívás, hogy az ellenőrzési munkamenetek nagyon gyorsak legyenek. Például azt szeretné, hogy az autó másodpercenként legfeljebb 2,000 üzenetet tudjon ellenőrizni. Ez hatással van az infrastruktúrára, mert nem tarthat túl sokáig az egyes üzenetek ellenőrzése. Ez hatással van a tanúsítvány formátumára, jellegére is, és ez azt jelenti, hogy ezeket nem lehet pontosan úgy megtervezni, ahogyan a webhelyeket tervezték, ahol hitelesíthetnék egymást. Egy webhely esetében azt feltételezik, hogy a felhasználó néhány másodpercet tud várni, míg az autóban a döntéseket mikromásodpercek alatt kell meghozni.”

Csak az elmúlt évben az autóipar IP-szolgáltatói kiadták processzoraik biztonságos verzióját. Schweiger elmondta, hogy bizonyos processzorok lockstep processzorverzióit a biztonsági szempontok, például az ASIL D megoldása érdekében vezették be.

„Az IP-címet meg kell adnunk a biztonság érdekében, ami általában a bizalmi rendszer gyökerén belül van, hogy a jármű először nagyon biztonságosan és elszigetelten indulhasson el, és minden más rendszert hitelesíthessen, hogy a szoftver ne sérüljön vagy manipuláljon. " ő mondta. „Amikor megnyitja az autót a külvilág felé, a jármű-jármű kommunikáció, a jármű-infrastruktúra kommunikáció, az éteren keresztüli frissítések, valamint a WiFi, Ethernet, 5G és így tovább, megnöveli a felületet. egy autó támadása. Éppen ezért intézkedéseket kell hozni annak megakadályozására, hogy az emberek betörjenek az autóba.”

Az autóipari SoC-kon belüli hálózat a chipen (NoC) is szerepet játszhat itt. „Az SoC-n belüli NoC-t tekintse úgy, mint a vállalaton belüli hálózatot” – mondta Kurt Shuler, a vállalat marketingért felelős alelnöke. Arteris IP. „A vállalaton belül a hálózati forgalmat nézi, és van egy tűzfal, amely általában a hálózat szélein található. Valahol stratégiailag elhelyezi a hálózaton belül, hogy figyelje a forgalmat. Egy SoC-ben ugyanezt csinálod. Hol vannak a fővonalak az SoC-n belül? Hol vannak azok a helyek, ahol szeretné látni és ellenőrizni az adatokat? Nem feltétlenül végez mély csomagellenőrzést, és nem nézi meg a csomagok összes tartalmát a hálózaton belül chipen. De mivel a tűzfalak programozhatók, azt mondhatjuk: „Ilyen típusú felhasználási esetben, ilyen típusú kommunikációval, ettől az IP-kezdeményezőtől, esetleg a CPU-fürtnél, az adatok érvényesek ahhoz, hogy ebbe a memóriába vagy a perifériába kerüljenek, és ez érvényes kommunikáció. Használhatja a rendszer tesztelésére is, ha azt mondja: "Csak akkor engedje át, ha az adott használati esetben érvénytelen kommunikáció." Ezután információkat küldhet a rendszernek, jelezve, hogy valami rossz történik. Ez azért hasznos, mert a hackerek szándékosan hozzák létre ezt a forgalmat, hogy megpróbálják megnézni, milyen biztonsággal rendelkezik. Ezért azt is megmondhatja a rendszernek, hogy engedje át az adatokat, és ne járjon el velük, hogy megjelölje az Ön által rossznak ítélt adatokat és parancsokat. És ha valaki összezavarja a rendszert – egy csomó szemetet rak be –, akkor elkaphatja.”

A NoC-vel ellátott tűzfalak a funkcionális biztonság érvényre juttatására is használhatók. „Ha a chip egy kevésbé biztonságos részéről megy – mondjuk az ASIL B vagy A, esetleg QM –, és a chip azon oldaláról érkező adatok és parancsok átmennek egy ASIL D oldalra, akkor hogy tesztelhessük, hogy megbizonyosodjunk arról, hogy az adatok vagy ECC-be vannak csomagolva, vagy bármilyen más módszerrel, amely szükséges a chip biztonságosabb oldalához. A tűzfalak segítenek ebben. Ezt a tűzfalfunkciót hibabiztosítóként használják annak biztosítására, hogy a chip kevésbé biztonságos részéből származó adatok megfelelő védelmet kapjanak, mielőtt azok a chip biztonságosabb oldalára kerülnének” – magyarázta Shuler.

Szimuláció és teszt
A tervezés és a gyártás előre tervezése segíthet azonosítani azokat a hardveres sebezhetőségeket, amelyek lehetővé teszik az adatok veszélyeztetését is.

„Létezik szoftveres feltörés, de hardveres feltörés is – oldalcsatornás támadások” – mondta Marc Swinnen, a félvezető üzletág termékmarketing igazgatója. Ansys. „A titkosított kódot kinyerheti egy chipből, ha egyszerűen elemezi azt, elektromágneses vizsgálatot végez, és megvizsgálja a teljesítményzaj aláírását. A szoftveres feltöréssel mindig megjavíthatja a szoftver frissítésével, de ha a hardver sebezhető az ilyen típusú feltörésekkel szemben, akkor nincs mit tenni. Új chipet kell építeni, mert már túl késő bármit is tenni. Tényleg szimulálnia kell, mielőtt eljut odáig, és szimulálnia kell azt a forgatókönyvet, hogy ha valaki egy EM szondát helyezne néhány milliméterrel a chipem fölé, milyen jelet kapna? Melyik vezetékem bocsátana ki a legtöbbet, és mennyire működik jól az árnyékolásom? Illetve mi a teljesítményzaj aláírásom? Mindezek a dolgok kiköthetők. Lehetőség van mérőszámok lekérésére arra vonatkozóan, hogy hány szimulációs ciklus szükséges a titkosítás kinyeréséhez.”

Ezek egy része a tesztelési folyamatban is azonosítható, amely több beillesztési pontot foglal magában a tervezésen át a gyártáson keresztül. Ez magában foglalhat mindent a szokásos sikeres-sikertelen rendszeren belüli tesztadatoktól kezdve a memória- és logikai javítási adatokig, valamint az áramkörön belüli megfigyelésből gyűjtött adatokig.

„Minden adat összegyűjthető az eszközről egy felhőalapú adatbázis-megoldásba, ahol rendkívül erőssé válik” – mondta Lee Harrison, az autóipari IC tesztmegoldásokért felelős menedzsere. Siemens EDA. „Miután a terepen lévő rendszerek nagy keresztmetszetéből gyűjtöttünk adatokat, az adatokat elemzik, és mesterséges intelligencia alapú algoritmusoknak vetik alá, majd visszajelzést adnak a fizikai rendszernek a teljesítmény beállításához és finomhangolásához. Itt a digitális iker alkalmazása az elemzési és finomítási folyamat részeként használható fel.”

2. ábra: Adatsebezhetőségek szimulációja és tesztelése. Forrás: Siemens EDA

A chipen kívüli adatok gyűjthetők, majd biztonságosan továbbíthatók a felhőbe elemzés céljából egyedi azonosítók és hitelesítés segítségével. Ez különösen akkor fontos, ha az éteren keresztüli frissítésekről van szó, és ezekre sok országban szigorú előírások vonatkoznak – mondta Harrison.

Következtetés
Bár ezek a képességek és fejlesztések némi biztatást adnak, az adatbiztonság az elkövetkező években továbbra is problémás lesz minden elektronikus rendszerben. De az olyan alkalmazásokban, mint például az autóipar, a jogsértések nem csak kellemetlenséget jelentenek. Veszélyesek lehetnek.

„Amikor hallunk az éppen zajló tevékenységekről, automatikusan kényelmesebben érezzük magunkat, és azt mondjuk: „Ó, oké, történnek dolgok” – mondta a Synopsys's Clark. „De amikor arról beszélünk, hogy biztonságosan mozgatjuk az adatokat A pontból B pontba, vagy nem fogadjuk el azt az eszközt, amelynek nem kellene azon a hálózaton lennie, akkor az magában foglalja a technológiát és a folyamatot is. Hogyan veszik egy szervezetek komolyan a kiberbiztonsági gyakorlatokat, és hogyan határozzák meg és mérik össze általános kiberbiztonsági programjukat, hogy lássák, fejlődnek? Lehet, hogy ennek semmi köze ahhoz, hogy hogyan mozgatom az adatokat, de mindennek köze van ahhoz, hogy egy szervezet komolyan veszi-e a kiberbiztonságot. Ez a folyamat pedig lehetővé teszi a mérnököknek, a rendszertervezőknek és az infrastruktúra-tervezőknek, hogy azt mondják: „Nemcsak fejlesztjük ezt az igazán nagyszerű technológiát, hanem komoly pillantást kell vetnünk a kiberbiztonságra is. Mit jelent ebben az összefüggésben a kiberbiztonság? Itt kezdünk valódi javulást látni. A szervezeteknek kellően éretteknek kell lenniük a kiberbiztonsági tesztelés szempontjából ahhoz, hogy ezt elismerjék, és kiberbiztonsági tesztelési folyamataikat fejleszteni kell, hogy értelmes módon eljussanak erre a pontra.”

Tortuga Oberg egyetértett. „Minden egy folyamatról szól. A biztonság mindig egy utazás. Soha nem lehetsz biztonságban, ezért a legjobb, amit tehetsz, ha proaktív vagy. Gondold át, mit próbálsz megvédeni, mire képesek az ellenfelek. Nem lehet mindent előre megjósolni. Ezt el kell fogadnod. Szeretem azt a megközelítést, hogy mindig legyél olyan nyitott, amennyire csak tudsz. Ne próbálja visszatartani magát. Természetesen semmilyen szellemi tulajdonát nem szabad nyilvánosságra hoznia. De átláthatónak kell lennie a folyamatokkal kapcsolatban az ügyfelek számára. Ha valami történik, tudniuk kell, mi a folyamat. És akkor nagyon világosnak kell lennie azzal kapcsolatban, hogy mit tett meg saját maga, és mit nem tett meg. Az egész arról szól, hogy „Ez az én fenyegetési modellem. Ezeket a feltételezéseket fogalmaztam meg. Ezt a dolgot nem vettük figyelembe.”

Forrás: https://semiengineering.com/data-security-challenges-in-automotive/