Sfide della sicurezza dei dati nel settore automobilistico

Le case automobilistiche si stanno impegnando per prevenire violazioni della sicurezza e hack dei dati nei nuovi veicoli, aggiungendo contemporaneamente funzionalità nuove e sempre più autonome nei veicoli che possono aprire la porta a nuove vulnerabilità.

Questi due obiettivi sono spesso in contrasto. Come per la sicurezza in qualsiasi sistema complesso, nulla è mai completamente sicuro. Ma anche riuscire a gestire questo problema a più livelli è una sfida. Le architetture dei veicoli oggi, e quelle in via di sviluppo per i veicoli futuri, sono sempre più complesse e spesso sfuggono al controllo di ogni singola azienda. Coinvolgono sia componenti hardware che software, con dati generati ed elaborati a più livelli e in più luoghi: all'interno di un veicolo, tra veicoli diversi ed esternamente in un'infrastruttura connessa. Alcuni di questi dati sono fondamentali per la funzionalità del veicolo e sono strettamente controllati, ma anche dati meno critici possono fornire un potenziale vettore di attacco.

"Se hai un veicolo completamente autonomo e connesso e qualcuno può entrare in macchina e prenderne il controllo, all'improvviso diventa quasi un'arma", ha affermato Robert Schweiger, direttore delle soluzioni automobilistiche presso Cadenza. “Ecco perché gli OEM e l'intera industria automobilistica sono estremamente sensibili su questo argomento. Se non c'è sicurezza, tutte le fantasiose tecnologie ADAS non vedranno l'accettazione da parte dei consumatori. La sicurezza è fondamentale e molto importante”.

Queste preoccupazioni sono state riprese in tutta l'industria dei chip. "Oggi abbiamo molte sfide con i veicoli perché c'è una quantità crescente di sistemi avanzati di assistenza alla guida che richiedono molte unità di controllo elettroniche", ha osservato Thierry Kouthon, product manager tecnico presso Rambus. “Tutte le funzioni dell'auto che un tempo erano meccaniche o idrauliche ora sono computerizzate. In caso contrario, non è possibile controllare l'auto tramite computer. Ma questo fornisce anche superfici di attacco per gli hacker. I sistemi di infotainment sono un ottimo punto di ingresso per gli attacchi a causa di una serie di connessioni wireless al veicolo. Allo stesso tempo, c'è l'elettrificazione dei veicoli, che moltiplica il numero di centraline elettroniche in quei veicoli. Ci sono meno parti mobili, ma più parti elettroniche, il che rappresenta una maggiore superficie di attacco. Infine, i veicoli autonomi per natura non utilizzano l'interazione del guidatore e quindi necessitano di sistemi elettronici ancora più avanzati".

Fig. 1: Potenziali rischi per la sicurezza nei veicoli. Fonte: Rambus

La sicurezza dei dati in qualsiasi sistema elettronico è difficile. Ma all'interno di un veicolo, quei dati devono essere spostati, archiviati, elaborati e aggiornati.

"Quando osserviamo la sicurezza informatica e tutti gli aspetti che ruotano attorno alla sicurezza informatica: dati in transito, dati che si spostano dal punto A al punto B, dati inattivi che vengono archiviati nel veicolo o all'esterno del veicolo ma in una forma o nell'altra associato al veicolo, qual è il rischio di riporlo?" ha chiesto Chris Clark, senior manager in Synopsys ' gruppo automobilistico. “Qual è il rischio di trasmetterlo? Qual è il rischio di utilizzare anche questi dati e dovrebbero essere utilizzati? Questo è il gold standard odierno per come le organizzazioni lo considerano".

L'industria automobilistica ha compiuto alcuni progressi nella protezione dei dati negli ultimi cinque anni, ma ha ancora molta strada da fare.

"Stiamo imparando a parlare davvero di sicurezza informatica, forse non in modo significativo, ma stiamo iniziando a usare gli stessi termini", ha affermato Clark. “Stiamo esaminando ciò che un settore fa rispetto a un altro e se possiamo utilizzare parte di ciò che hanno appreso per fare davvero progressi in materia di sicurezza per proteggere un'organizzazione e per proteggere il consumatore. Ma a meno che non ci sia una regolamentazione, le attività e i processi di sicurezza informatica servono a proteggere un'organizzazione, non necessariamente l'individuo".

Ciò è complicato dal fatto che nei veicoli c'è una crescente sovrapposizione tra sicurezza e privacy. Più i dati sono protetti e più sono autonome le funzionalità di un veicolo, più potenzialmente violano la privacy.

“La mia casa automobilistica o chiunque fornisca un servizio sa cosa sto facendo? Dato quello che è successo con i social media, le persone cercheranno di monetizzare quei dati", ha affermato Jason Oberg, CTO di Logica Tortuga. “Nel caso dell'assicurazione auto, questo sta già accadendo. Ma puoi immaginare di ricevere determinati annunci in base a dove stai guidando. Forse vai sempre da McDonald's e loro possono rilevare che lo stai facendo, quindi inizi a ricevere annunci su Instagram, Facebook e Google che dicono: "Ecco questa nuova vendita da McDonald's". Oppure, se sei in aeroporto e sanno che ti piace viaggiare, potrebbero darti annunci mirati sui viaggi. Probabilmente è inevitabile".

Questo è potenzialmente molto più grave di un semplice fastidio. "Se un 'giorno zero' la vulnerabilità si trova in tutte le auto prodotte con le stesse chiavi di autenticazione, o qualcosa viene effettivamente inserito nelle parti dell'auto e qualcuno lo scopre, quindi possono spiare l'auto del vicino o il comportamento di guida del vicino o qualsiasi auto di quel modello”, ha detto Oberg. “Se è una piattaforma di social media, non c'è un dispositivo fisico. Accedi a un sistema e c'è un'infrastruttura per proteggerlo. Ma se si tratta di un dispositivo fisico, quel vettore di attacco è ora aperto. Avendo accesso fisico, trovando vulnerabilità hardware, questo tipo di cose sono ora vettori di attacco praticabili per ottenere tali informazioni".

Per gli hacker, ci sono buone ragioni per attingere a quel flusso di dati. Può aprire la porta al furto di IP per la tecnologia utilizzata in quei veicoli. Allo stesso tempo, i dati personali rubati sono sempre più preziosi e nel tempo ne verranno aggiunti altri nei veicoli.

"È molto concepibile che la tua auto abbia un'infrastruttura di tipo Apple Pay o qualcosa che memorizzi le informazioni localmente nell'automobile", ha affermato Oberg. “O forse sono alcuni dati biometrici, e sono archiviati localmente sull'hardware di quel veicolo. Ora c'è un vettore di attacco praticabile potenzialmente per sfruttare quel tipo di dati. E man mano che riceviamo più dispositivi IoT distribuiti e più informazioni raccolte sui comportamenti personali delle persone, il dispositivo stesso diventa ora un vettore di attacco praticabile. Vedremo più cose che accadranno con l'impatto diretto sui consumatori da questo tipo di problemi. Non ci sono ancora molte auto che raccolgono informazioni personali, ma ci saranno. È come qualsiasi cosa in sicurezza. Man mano che le persone iniziano ad aggiungere più autonomia, raccogliendo un po' più di informazioni sui comportamenti di guida delle persone o su qualsiasi cosa stiano facendo nella loro auto, questo avrà degli exploit. Allora andranno a sistemarsi. È un processo iterativo. La cosa interessante di un'auto è che, a seconda della gravità dell'attacco, potresti non essere in grado di emettere una patch software. Potrebbe essere più radicato nel comportamento dell'auto, quindi potresti non essere in grado di risolverlo. Nel corso del tempo, si spera di ottenere maggiore sicurezza su come l'auto raccoglie i dati e su come li protegge, ma sicuramente ci sarà un processo di apprendimento".

Altri vettori di attacco
Vehicle-to-everything (V2X), in cui il veicolo comunica con i semafori, altri veicoli, persino i pedoni e la rete in generale, aggiunge un altro potenziale vettore di attacco Sebbene questo sia più un problema lungimirante, deve essere considerato ora. Ad aggravare questo, con le auto abilitate V2X dovranno comunicare con auto non abilitate V2X, o versioni precedenti di quella tecnologia, a causa della lunga durata dei veicoli.

"Ciò significa che vuoi assicurarti che i protocolli di comunicazione utilizzati funzionino insieme", ha detto Kouthon. “Tutto è wireless e ci sono due standard principali: 5G/basato su rete cellulare e DSRC, che si basa su frequenze radio dirette tra le auto. Tutti quelli sono quasi intercambiabili e forse entrambi funzioneranno. Il vero problema è che, dal momento che non hai alcuna connessione fisica e stai comunicando in modalità wireless con il tuo ambiente, devi assicurarti che tutti quei messaggi siano autentici. Devi sapere che se il semaforo ti dice che sta diventando verde, in realtà è il semaforo e non un hacker che cerca di causare un incidente perché non stai prestando attenzione. Questo diventa un problema di autenticazione. L'autenticazione significa che tutti i messaggi sono firmati con una firma, in modo che l'auto possa verificare che questo messaggio provenga da una fonte autentica e che non si tratti di un semaforo falso o di un'infrastruttura di attraversamento ferroviario. Deve essere genuino che sia effettivamente gestito dalla città".

Le cose si complicano ulteriormente quando si ricevono messaggi da altre auto, perché ora tutti i produttori devono concordare una serie di protocolli in modo che ogni auto possa riconoscere le altre. Sono in corso lavori per farlo accadere, in modo che quando una BMW o una Chrysler comunica con una Volkswagen, la Volkswagen possa assicurarsi che sia una vera BMW o Chrysler.

"Questo diventa un problema di distribuzione dei certificati", ha detto Kouthon. “È un vecchio problema che è stato studiato molto bene nel contesto dei siti Web su Internet e di solito è piuttosto complesso. Le catene di certificati possono essere molto lunghe. Nel caso dell'auto, la sfida è fare in modo che le sessioni di verifica siano molto veloci. Ad esempio, vuoi che l'auto sia in grado di verificare fino a 2,000 messaggi al secondo. Ciò ha implicazioni sull'infrastruttura perché la verifica di ogni messaggio non può richiedere troppo tempo. Ciò influisce anche sul formato del certificato, sulla loro natura e significa che non è possibile progettarli esattamente come sono stati progettati i siti Web, dove potrebbero autenticarsi a vicenda. Con un sito Web, si presume che l'utente possa attendere un paio di secondi, mentre in macchina le decisioni devono essere prese in microsecondi".

Solo nell'ultimo anno, i provider IP del settore automobilistico hanno rilasciato versioni sicure dei loro processori. Schweiger ha affermato che le versioni di processori lockstep di alcuni processori sono state implementate per affrontare aspetti di sicurezza, come ASIL D.

"Dobbiamo fornire l'IP per indirizzare la sicurezza, che di solito è all'interno di un sistema root of trust, in modo che il veicolo possa prima avviarsi in un modo molto sicuro e isolato e possa autenticare tutti gli altri sistemi per garantire che il software non sia danneggiato o manipolato, " Egli ha detto. "Quando apri l'auto al mondo esterno, con comunicazioni da veicolo a veicolo, comunicazioni da veicolo a infrastruttura, aggiornamenti via etere, insieme a Wi-Fi, Ethernet, 5G e così via, si allarga la superficie di attacco di un'auto. Ecco perché devono essere messe in atto misure per impedire alle persone di hackerare l'auto".

Anche la rete su chip (NoC) all'interno dei SoC automobilistici può svolgere un ruolo qui. "Sul NoC all'interno del SoC, consideralo come la rete all'interno della tua azienda", ha affermato Kurt Shuler, vicepresidente del marketing di Arteride IP. “All'interno della tua azienda, stai esaminando il traffico di rete e c'è un firewall che di solito si trova ai margini della rete. Lo metti da qualche parte strategicamente all'interno della rete per controllare il traffico. In un SoC, fai la stessa cosa. Dove sono le linee principali all'interno del SoC? Dove sono i luoghi in cui vorresti vedere i dati e ispezionarli? Non stai necessariamente effettuando un'ispezione approfondita dei pacchetti e guardando tutti i contenuti dei pacchetti all'interno della rete su chip. Ma poiché i firewall sono programmabili, puoi dire: 'In questo tipo di caso d'uso, con questo tipo di comunicazione, da questo iniziatore IP, magari al cluster della CPU, i dati sono validi per andare a questa memoria o a questa periferica, e questa è una comunicazione valida.' Puoi anche usarlo per testare il sistema dicendo: "Consentilo solo se ci sono comunicazioni non valide in quel caso d'uso". Quindi puoi inviare informazioni al sistema per indicare che sta succedendo qualcosa di brutto. Questo è utile poiché gli hacker creeranno intenzionalmente quel traffico per cercare di vedere che tipo di sicurezza hai. Pertanto, puoi anche dire al sistema di lasciar passare i dati e di non agire su di essi, al fine di contrassegnare i dati e i comandi che ritieni non validi. E se qualcuno sta confondendo il sistema, mettendo dentro un sacco di spazzatura, puoi prenderlo. "

I firewall con il NoC possono essere utilizzati anche per rafforzare la sicurezza funzionale. "Se stai passando da una parte meno sicura del chip - diciamo che è un ASIL B o A, o forse è QM - e i dati e i comandi da quel lato del chip passano a un lato ASIL D, vuoi per poterlo testare per assicurarsi che i dati vengano racchiusi in ECC o qualsiasi metodo sia richiesto per il lato più sicuro del chip. I firewall aiutano in questo. Quella funzionalità del firewall viene utilizzata come protezione dai guasti per garantire che i dati provenienti da una parte meno sicura del chip siano adeguatamente protetti prima che entrino nel lato più sicuro del chip", ha spiegato Shuler.

Simulazione e prova
Pianificare in anticipo la progettazione e la produzione può aiutare a identificare le vulnerabilità hardware che consentono anche la compromissione dei dati.

"C'è l'hacking del software, ma c'è anche l'hacking dell'hardware, gli attacchi del canale laterale", ha affermato Marc Swinnen, direttore marketing del prodotto per la business unit semiconduttori di Ansis. “Puoi estrarre il codice crittografato da un chip semplicemente analizzandolo, sondandolo elettromagneticamente, sondando la sua firma del rumore di alimentazione. Con un hack del software, puoi sempre risolverlo aggiornando il software, ma se il tuo hardware è vulnerabile a questo tipo di hacking, non puoi farci nulla. Devi costruire un nuovo chip perché è troppo tardi per fare qualsiasi cosa. Hai davvero bisogno di simularlo prima di arrivare a quel punto e simulare lo scenario in cui se qualcuno mettesse una sonda EM a pochi millimetri sopra il mio chip, quale segnale riceverebbe? Quale dei miei fili emetterebbe di più e quanto funziona la mia schermatura? Inoltre, qual è la mia firma del rumore di alimentazione? Tutte queste cose possono essere stipulate. È possibile ottenere metriche per quanti cicli di simulazione sono necessari per estrarre la crittografia".

Alcuni di questi possono essere identificati anche nel processo di test, che coinvolge più punti di inserimento durante il flusso dalla progettazione alla produzione. Ciò può incorporare qualsiasi cosa, dai soliti dati di test del sistema pass-fail, ai dati di riparazione della memoria e della logica, nonché i dati raccolti dal monitoraggio in-circuit.

"Tutti questi dati possono essere raccolti dal dispositivo in una soluzione di database cloud, dove diventa estremamente potente", ha affermato Lee Harrison, responsabile delle soluzioni di test per circuiti integrati automobilistici presso SiemensEDA. “Dopo aver raccolto i dati da un'ampia sezione trasversale di sistemi sul campo, i dati vengono analizzati e sottoposti ad algoritmi basati sull'intelligenza artificiale per fornire quindi feedback al sistema fisico per regolare e mettere a punto le sue prestazioni. In questo caso, l'applicazione del gemello digitale può essere utilizzata come parte del processo di analisi e perfezionamento".

Fig. 2: Simulazione e test delle vulnerabilità dei dati. Fonte: Siemens EDA

I dati fuori chip possono essere raccolti e quindi inviati in modo sicuro al cloud per l'analisi utilizzando identità e autenticazione univoche. Ciò è particolarmente importante quando sono coinvolti aggiornamenti via etere e questi sono soggetti a normative rigorose in molti paesi, ha affermato Harrison.

Conclusione
Sebbene queste capacità e miglioramenti forniscano un certo incoraggiamento, la sicurezza dei dati continuerà a essere problematica per gli anni a venire in tutti i sistemi elettronici. Ma in applicazioni come quella automobilistica, le violazioni non sono solo un inconveniente. Possono essere pericolosi.

"Quando sentiamo parlare delle attività che stanno accadendo, ci sentiamo automaticamente più a nostro agio e diciamo: 'Oh, ok, le cose stanno accadendo'", ha detto Clark di Synopsys. “Ma quando si parla di spostare i dati in modo sicuro dal punto A al punto B, o di non accettare il dispositivo che non dovrebbe essere su quella rete, si tratta sia di tecnologia che di processo. In che modo un'organizzazione prende sul serio le pratiche di sicurezza informatica e come definisce e misura rispetto al proprio programma di sicurezza informatica generale in modo da vedere che stanno migliorando? Ciò potrebbe non avere nulla a che fare con il modo in cui sposto i dati, ma ha tutto a che fare con il fatto che un'organizzazione prenda sul serio la sicurezza informatica. E questo processo consente agli ingegneri, ai progettisti di sistemi, ai progettisti di infrastrutture di dire: "Non solo stiamo sviluppando questa tecnologia davvero eccezionale, ma dobbiamo dare un'occhiata reale alla sicurezza informatica. Cosa significa sicurezza informatica in questo contesto? È qui che iniziamo a vedere un reale miglioramento. Le organizzazioni devono diventare sufficientemente mature dal punto di vista dei test di sicurezza informatica per riconoscerlo e sviluppare i loro processi di test di sicurezza informatica per arrivare a quel punto in modo significativo".

L'Oberg di Tortuga acconsentì. “Si tratta di avere un processo. La sicurezza è sempre un viaggio. Non puoi mai essere sicuro, quindi la cosa migliore che puoi fare è essere proattivo. Pensa a cosa stai cercando di proteggere, di cosa sono capaci gli avversari. Non puoi prevedere tutto. Devi accettarlo. Mi piace l'approccio di essere sempre il più aperto possibile. Non cercare di trattenerti. Naturalmente, non dovresti rivelare nessuna delle tue proprietà intellettuali. Ma devi anche essere trasparente riguardo al tuo processo con i tuoi clienti. Se succede qualcosa, devono sapere qual è il tuo processo. E poi, devi essere molto chiaro su cosa hai fatto tu stesso e cosa non hai fatto. Si tratta di 'Questo è il mio modello di minaccia. Queste sono le ipotesi che ho fatto. Questa roba non l'abbiamo considerata.'”

Fonte: https://semiengineering.com/data-security-challenges-in-automotive/