Wyzwania związane z bezpieczeństwem danych w motoryzacji

Producenci samochodów starają się zapobiegać naruszeniom bezpieczeństwa i hakowaniu danych w nowych pojazdach, jednocześnie dodając nowe i coraz bardziej autonomiczne funkcje do pojazdów, które mogą otworzyć drzwi do nowych luk w zabezpieczeniach.

Te dwa cele są często sprzeczne. Podobnie jak w przypadku bezpieczeństwa w każdym złożonym systemie, nic nigdy nie jest całkowicie bezpieczne. Ale nawet opanowanie tego wielowarstwowego problemu jest wyzwaniem. Dzisiejsze architektury pojazdów oraz te, które są opracowywane dla pojazdów przyszłych, są coraz bardziej złożone i często pozostają poza kontrolą jakiejkolwiek pojedynczej firmy. Obejmują one zarówno komponenty sprzętowe, jak i programowe, a dane są generowane i przetwarzane na wielu poziomach iw wielu miejscach — w pojeździe, między różnymi pojazdami oraz na zewnątrz w połączonej infrastrukturze. Niektóre z tych danych mają kluczowe znaczenie dla funkcjonalności pojazdu i są ściśle kontrolowane, ale nawet mniej krytyczne dane mogą stanowić potencjalny wektor ataku.

„Jeśli masz w pełni autonomiczny i połączony pojazd, a ktoś może włamać się do samochodu i przejąć kontrolę, to nagle staje się on prawie bronią” – powiedział Robert Schweiger, dyrektor ds. Kadencja. „Dlatego producenci OEM i cała branża motoryzacyjna są bardzo wrażliwi na ten temat. Jeśli nie ma zabezpieczeń, wszystkie fantazyjne technologie ADAS nie spotkają się z akceptacją konsumentów. Bezpieczeństwo jest najważniejsze i bardzo ważne”.

Obawy te odbijają się echem w całej branży chipów. „Obecnie mamy do czynienia z wieloma wyzwaniami związanymi z pojazdami, ponieważ pojawia się coraz więcej zaawansowanych systemów wspomagania kierowcy, które wymagają wielu elektronicznych jednostek sterujących” — zauważył Thierry Kouthon, techniczny kierownik produktu w Rambus. „Wszystkie funkcje samochodu, które kiedyś były mechaniczne lub hydrauliczne, są teraz skomputeryzowane. W przeciwnym razie nie możesz sterować samochodem za pomocą komputera. Ale zapewnia to również powierzchnie ataku dla hakerów. Systemy informacyjno-rozrywkowe są doskonałym punktem wyjścia do ataków ze względu na szereg bezprzewodowych połączeń z pojazdem. Równocześnie następuje elektryfikacja pojazdów, która zwielokrotnia liczbę elektronicznych jednostek sterujących w tych pojazdach. Jest mniej ruchomych części, ale więcej części elektronicznych, co oznacza zwiększoną powierzchnię ataku. Wreszcie pojazdy autonomiczne z natury nie wykorzystują interakcji kierowcy i dlatego potrzebują jeszcze bardziej zaawansowanych systemów elektronicznych”.

Rys. 1: Potencjalne zagrożenia bezpieczeństwa w pojazdach. źródło: Rambus

Bezpieczeństwo danych w każdym systemie elektronicznym jest trudne. Ale w pojeździe dane te muszą być przenoszone, przechowywane, przetwarzane i aktualizowane.

„Kiedy patrzymy na cyberbezpieczeństwo i wszystkie aspekty związane z cyberbezpieczeństwem — dane w tranzycie, dane przenoszone z punktu A do punktu B, dane w stanie spoczynku, które są przechowywane w pojeździe lub na zewnątrz pojazdu, ale w takiej czy innej formie związane z pojazdem — jakie jest ryzyko ich przechowywania?” zapytał Chris Clark, starszy menedżer ds Synopsys grupa motoryzacyjna. „Jakie jest ryzyko przeniesienia tego? Jakie ryzyko wiąże się nawet z wykorzystaniem tych danych i czy należy z nich korzystać? To złoty standard dzisiejszego sposobu, w jaki organizacje na to patrzą”.

Branża motoryzacyjna poczyniła pewne postępy w zabezpieczaniu danych w ciągu ostatnich pięciu lat, ale wciąż ma przed sobą długą drogę.

„Uczymy się, jak naprawdę mówić o cyberbezpieczeństwie — może nie w znaczący sposób, ale zaczynamy używać tych samych terminów” — powiedział Clark. „Patrzymy na to, co robi jedna branża w porównaniu z inną i czy możemy wykorzystać część tego, czego się nauczyli, aby naprawdę poczynić postępy w zakresie bezpieczeństwa, aby chronić organizację i konsumenta. Ale jeśli nie ma regulacji, działania i procesy związane z cyberbezpieczeństwem mają na celu ochronę organizacji, a niekoniecznie poszczególnych osób”.

Sytuację komplikuje fakt, że w pojazdach bezpieczeństwo i prywatność coraz bardziej się pokrywają. Im bardziej dane są chronione i im więcej funkcji autonomicznych w pojeździe, tym bardziej może to naruszać prywatność.

„Czy mój producent samochodów lub ktoś, kto świadczy usługi serwisowe, wie, co robię? Biorąc pod uwagę to, co stało się z mediami społecznościowymi, ludzie będą próbować zarabiać na tych danych” – powiedział Jason Oberg, CTO firmy Logika Tortuga. „W przypadku ubezpieczeń komunikacyjnych to już się dzieje. Ale możesz sobie wyobrazić wyświetlanie określonych reklam w zależności od tego, gdzie jedziesz. Może cały czas chodzisz do McDonald's, a oni mogą wykryć, że to robisz, więc zaczynasz otrzymywać reklamy na Instagramie, Facebooku i Google mówiące: „Oto nowa wyprzedaż w McDonald's”. Lub jeśli jesteś na lotnisku i wiedzą, że lubisz podróżować, mogą wyświetlać ukierunkowane reklamy dotyczące podróży. To chyba nieuniknione”.

Jest to potencjalnie znacznie poważniejsze niż zwykła irytacja. "Jeśli 'Zero Dayluka w zabezpieczeniach występuje we wszystkich samochodach wyprodukowanych z tymi samymi kluczami uwierzytelniającymi lub coś jest faktycznie wypalone w częściach samochodu i ktoś to rozgryzie, wtedy mogą szpiegować samochód sąsiada lub jego zachowanie podczas jazdy, lub dowolny samochód tego modelu” — powiedział Oberg. „Jeśli jest to platforma mediów społecznościowych, nie ma fizycznego urządzenia. Logujesz się do systemu i masz infrastrukturę, która to chroni. Ale jeśli jest to urządzenie fizyczne, ten wektor ataku jest teraz otwarty. Dostęp fizyczny, znajdowanie luk w zabezpieczeniach sprzętu, tego rodzaju rzeczy są teraz realnymi wektorami ataku, aby uzyskać te informacje”.

Dla hakerów istnieje dobry powód, aby wykorzystać ten strumień danych. Może otworzyć drzwi do kradzieży własności intelektualnej technologii stosowanej w tych pojazdach. Jednocześnie kradzione dane osobowe są coraz bardziej wartościowe, a z czasem w pojazdach będzie dodawana coraz większa ich ilość.

„Jest bardzo prawdopodobne, że twój samochód będzie miał infrastrukturę typu Apple Pay lub coś, co przechowuje informacje lokalnie w samochodzie” – powiedział Oberg. „A może to jakieś dane biometryczne, które są przechowywane lokalnie na sprzęcie w tym pojeździe. Teraz istnieje realny wektor ataku, który potencjalnie może wykorzystać ten typ danych. A ponieważ mamy coraz więcej rozproszonych urządzeń IoT i gromadzimy więcej informacji o osobistych zachowaniach ludzi, to samo urządzenie staje się teraz realnym wektorem ataku. Zamierzamy zobaczyć więcej takich sytuacji z bezpośrednim wpływem na konsumentów z tego typu problemów. Nie ma jeszcze wielu samochodów zbierających dane osobowe, ale będzie. To jak wszystko w bezpieczeństwie. Gdy ludzie zaczną dodawać więcej autonomii, zbierając trochę więcej informacji o zachowaniach ludzi podczas jazdy lub czymkolwiek, co mogą robić w swoim samochodzie, będzie to miało pewne wyczyny. Potem zabiorą się za naprawę. To proces iteracyjny. Interesujące w przypadku samochodu jest to, że w zależności od wagi ataku, możesz nie być w stanie wydać poprawki oprogramowania. Może to być bardziej zakorzenione w zachowaniu samochodu, więc potencjalnie możesz nie być w stanie tego naprawić. Miejmy nadzieję, że z biegiem czasu uzyskamy większe bezpieczeństwo związane z tym, jak samochód gromadzi dane i jak je chroni, ale na pewno będzie proces uczenia się”.

Więcej wektorów ataku
Vehicle-to-everything (V2X) — gdzie pojazd komunikuje się z sygnalizacją świetlną, innymi pojazdami, a nawet pieszymi i ogólnie z siecią — dodaje kolejny potencjalny wektor ataku. rozważyć teraz. Co więcej, samochody obsługujące V2X będą musiały komunikować się z samochodami nieobsługującymi V2X lub starszymi wersjami tej technologii ze względu na długą żywotność pojazdów.

„Oznacza to, że chcesz mieć pewność, że używane protokoły komunikacyjne współpracują ze sobą” – powiedział Kouthon. „Wszystko jest bezprzewodowe i istnieją dwa główne standardy — 5G/sieć komórkowa i DSRC, który opiera się na bezpośrednich częstotliwościach radiowych między samochodami. Wszystkie są prawie wymienne i być może oba będą działać. Prawdziwy problem polega na tym, że skoro nie masz żadnego fizycznego połączenia i komunikujesz się bezprzewodowo ze swoim środowiskiem, musisz upewnić się, że wszystkie te wiadomości są autentyczne. Musisz wiedzieć, że jeśli sygnalizacja świetlna mówi ci, że zmienia kolor na zielony, to w rzeczywistości jest to sygnalizacja świetlna, a nie haker próbujący spowodować wypadek, ponieważ nie zwracasz uwagi. Staje się to problemem z uwierzytelnianiem. Uwierzytelnianie oznacza, że ​​wszystkie wiadomości są podpisane podpisem, dzięki czemu samochód może zweryfikować, czy wiadomość pochodzi z prawdziwego źródła i czy nie jest to fałszywa sygnalizacja świetlna lub infrastruktura przejazdu kolejowego. Musi to być autentyczny, prowadzony przez miasto”.

Sprawy komplikują się jeszcze bardziej, gdy odbierane są wiadomości z innych samochodów, ponieważ teraz wszyscy producenci muszą uzgodnić zestaw protokołów, aby każdy samochód mógł rozpoznać pozostałe. Trwają prace, aby tak się stało, aby gdy BMW lub Chrysler komunikował się z Volkswagenem, Volkswagen mógł upewnić się, że to prawdziwe BMW lub Chrysler.

„To staje się problemem dystrybucji certyfikatów” — powiedział Kouthon. „To stary problem, który został bardzo dobrze zbadany w kontekście stron internetowych i zwykle jest dość złożony. Łańcuchy certyfikatów mogą być bardzo długie. W przypadku samochodu wyzwaniem jest dopilnowanie, aby sesje weryfikacyjne przebiegały bardzo szybko. Na przykład chcesz, aby samochód mógł weryfikować do ponad 2,000 wiadomości na sekundę. Ma to wpływ na infrastrukturę, ponieważ weryfikacja każdej wiadomości nie może zająć zbyt dużo czasu. Wpływa to również na format certyfikatów, ich charakter, a to oznacza, że ​​nie można ich zaprojektować dokładnie tak, jak zaprojektowano strony internetowe, w których mogłyby się wzajemnie uwierzytelniać. W przypadku strony internetowej zakłada się, że użytkownik może poczekać kilka sekund, podczas gdy w samochodzie decyzje muszą być podejmowane w ciągu mikrosekund”.

Tylko w ciągu ostatniego roku dostawcy własności intelektualnej z branży motoryzacyjnej udostępnili bezpieczne wersje swoich procesorów. Schweiger powiedział, że wersje niektórych procesorów typu lockstep zostały wprowadzone w celu uwzględnienia aspektów bezpieczeństwa, takich jak ASIL D.

„Musimy zapewnić bezpieczeństwo adresów IP, które zwykle znajduje się w systemie zaufania, aby pojazd mógł najpierw uruchomić się w bardzo bezpieczny i izolowany sposób oraz mógł uwierzytelnić wszystkie inne systemy, aby upewnić się, że oprogramowanie nie jest uszkodzone ani zmanipulowane, " powiedział. „Kiedy otworzysz samochód na świat zewnętrzny, z komunikacją między pojazdami, komunikacją między pojazdami a infrastrukturą, bezprzewodowymi aktualizacjami, a także Wi-Fi, Ethernetem, 5G itd., powiększa się powierzchnia ataku samochodu. Dlatego należy wprowadzić środki zapobiegające włamywaniu się ludzi do samochodu”.

Sieć na chipie (NoC) w samochodowych układach SoC również może odgrywać pewną rolę. „Jeśli chodzi o NoC w SoC, pomyśl o tym jak o sieci w Twojej firmie” — powiedział Kurt Shuler, wiceprezes ds. Arteris IP. „W swojej firmie obserwujesz ruch sieciowy, a na obrzeżach sieci zwykle znajduje się zapora ogniowa. Umieszczasz go w strategicznym miejscu w sieci, aby obserwować ruch. W SoC robisz to samo. Gdzie są linie miejskie w SoC? Gdzie są miejsca, w których chcesz zobaczyć dane i je sprawdzić? Niekoniecznie przeprowadzasz głęboką kontrolę pakietów i przeglądasz całą zawartość pakietów w sieci na chipie. Ale ponieważ zapory ogniowe są programowalne, można powiedzieć: „W tego rodzaju przypadku użycia, przy tego rodzaju komunikacji, z tego inicjatora IP, być może w klastrze procesora, dane są ważne, aby przejść do tej pamięci lub tego urządzenia peryferyjnego i to ważny komunikat. Możesz także użyć go do przetestowania systemu, mówiąc: „Zezwalaj na to tylko wtedy, gdy w tym przypadku występuje nieprawidłowa komunikacja”. Następnie możesz wysłać informacje do systemu, aby wskazać, że dzieje się coś złego. Jest to przydatne, ponieważ hakerzy celowo stworzą ten ruch, aby zobaczyć, jakie masz zabezpieczenia. Dlatego możesz również powiedzieć systemowi, aby przepuszczał dane i nie działał na nich, aby oznaczyć dane i polecenia, które uważasz za złe. A jeśli ktoś rozmywa system — wrzuca całą masę śmieci — możesz go złapać.

Zapory ogniowe z NoC mogą być również wykorzystywane do egzekwowania bezpieczeństwa funkcjonalnego. „Jeśli przechodzisz z mniej bezpiecznej części chipa — powiedzmy, że jest to ASIL B lub A, a może to QM — a dane i polecenia z tej strony chipa przechodzą na stronę ASIL D, chcesz aby móc to przetestować, aby upewnić się, że dane zostaną zawinięte w ECC lub jakakolwiek metoda jest wymagana dla bezpieczniejszej strony chipa. Pomagają w tym zapory ogniowe. Ta funkcja zapory jest używana jako zabezpieczenie przed awarią, aby zapewnić odpowiednią ochronę danych pochodzących z mniej bezpiecznej części chipa, zanim trafią one do bezpieczniejszej części chipa” — wyjaśnił Shuler.

Symulacja i test
Planowanie z wyprzedzeniem w zakresie projektowania i produkcji może pomóc zidentyfikować luki w zabezpieczeniach sprzętu, które również umożliwiają naruszenie bezpieczeństwa danych.

„Istnieje hakowanie oprogramowania, ale jest też hakowanie sprzętu – ataki typu side-channel” — powiedział Marc Swinnen, dyrektor marketingu produktów w jednostce biznesowej półprzewodników w Ansys. „Możesz wyodrębnić zaszyfrowany kod z chipa, po prostu go analizując, sondując go elektromagnetycznie, badając jego sygnaturę szumu mocy. W przypadku włamania do oprogramowania zawsze możesz to naprawić, aktualizując oprogramowanie, ale jeśli Twój sprzęt jest podatny na tego rodzaju włamania, nic nie możesz z tym zrobić. Musisz zbudować nowy chip, ponieważ jest już za późno, aby cokolwiek zrobić. Naprawdę musisz to zasymulować, zanim dojdzie do tego punktu, i zasymulować scenariusz, w którym gdyby ktoś umieścił sondę EM kilka milimetrów nad moim chipem, jaki sygnał by odebrał? Który z moich przewodów emitowałby najwięcej i jak dobrze działa moje ekranowanie? Ponadto, jaka jest moja sygnatura szumu mocy? Wszystkie te rzeczy można ustalić. Możliwe jest uzyskanie danych dotyczących liczby cykli symulacji potrzebnych do wyodrębnienia szyfrowania”.

Niektóre z nich można również zidentyfikować w procesie testowym, który obejmuje wiele punktów wstawiania w całym przepływie od projektowania do produkcji. Może to obejmować wszystko, od zwykłych danych testowych w systemie typu pass-fail, po dane naprawy pamięci i logiki, a także dane zebrane z monitorowania w obwodzie.

„Wszystkie te dane można zebrać z urządzenia do rozwiązania bazodanowego w chmurze, gdzie stają się one niezwykle wydajne” — powiedział Lee Harrison, menedżer ds. EDA firmy Siemens. „Po zebraniu danych z dużego przekroju systemów w terenie dane są analizowane i poddawane algorytmom opartym na sztucznej inteligencji, aby następnie przekazać informacje zwrotne systemowi fizycznemu w celu dostosowania i dostrojenia jego wydajności. Tutaj zastosowanie cyfrowego bliźniaka może być wykorzystane jako część procesu analizy i udoskonalania”.

Rys. 2: Symulacja i testowanie luk w zabezpieczeniach danych. Źródło: Siemens EDA

Dane poza chipem można gromadzić, a następnie bezpiecznie przesyłać do chmury w celu analizy przy użyciu unikalnych tożsamości i uwierzytelniania. Jest to szczególnie ważne w przypadku aktualizacji bezprzewodowych, które w wielu krajach podlegają rygorystycznym przepisom, powiedział Harrison.

Wnioski
Chociaż te możliwości i ulepszenia stanowią pewną zachętę, bezpieczeństwo danych będzie nadal stanowić problem we wszystkich systemach elektronicznych przez wiele lat. Ale w zastosowaniach takich jak motoryzacja naruszenia nie są tylko niedogodnością. Mogą być niebezpieczne.

„Kiedy słyszymy o działaniach, które mają miejsce, automatycznie czujemy się bardziej komfortowo i mówimy:„ Och, dobrze, coś się dzieje ”- powiedział Clark z Synopsys. „Ale kiedy mówimy o bezpiecznym przenoszeniu danych z punktu A do punktu B lub o nieakceptowaniu urządzenia, które nie powinno znajdować się w tej sieci, obejmuje to zarówno technologię, jak i proces. W jaki sposób organizacja poważnie traktuje praktyki związane z cyberbezpieczeństwem i jak definiuje i mierzy w stosunku do swojego ogólnego programu cyberbezpieczeństwa, aby zobaczyć, że się poprawia? Może to nie mieć nic wspólnego z tym, jak przenoszę dane, ale ma wiele wspólnego z tym, czy organizacja poważnie traktuje cyberbezpieczeństwo. Proces ten pozwala inżynierom, projektantom systemów, projektantom infrastruktury powiedzieć: „Nie tylko rozwijamy tę naprawdę świetną technologię, ale musimy naprawdę przyjrzeć się bezpieczeństwu cybernetycznemu”. Co oznacza cyberbezpieczeństwo w tym kontekście? To tam zaczynamy dostrzegać prawdziwą poprawę. Organizacje muszą stać się wystarczająco dojrzałe z punktu widzenia testowania cyberbezpieczeństwa, aby to uznać i rozwinąć swoje procesy testowania cyberbezpieczeństwa, aby osiągnąć ten punkt w znaczący sposób”.

Oberg Tortugi zgodził się. „Wszystko sprowadza się do procesu. Bezpieczeństwo jest zawsze podróżą. Nigdy nie możesz być bezpieczny, więc najlepszą rzeczą, jaką możesz zrobić, jest proaktywność. Pomyśl o tym, co próbujesz chronić, do czego zdolni są przeciwnicy. Nie możesz przewidzieć wszystkiego. Musisz to zaakceptować. Podoba mi się podejście polegające na byciu zawsze tak otwartym, jak to tylko możliwe. Nie próbuj się powstrzymywać. Oczywiście nie powinieneś ujawniać żadnej swojej własności intelektualnej. Ale musisz także być przejrzysty w kwestii swojego procesu dla swoich klientów. Jeśli coś się stanie, muszą wiedzieć, jaki jest twój proces. A potem musisz bardzo jasno powiedzieć, co zrobiłeś sam, a czego nie zrobiłeś. Chodzi o to, „To jest mój model zagrożenia. To są założenia, które przyjąłem. Te rzeczy nie braliśmy pod uwagę'”.

Źródło: https://semiengineering.com/data-security-challenges-in-automotive/