Desafios de segurança de dados no setor automotivo

Os fabricantes de automóveis estão a lutar para evitar violações de segurança e pirataria de dados em novos veículos, ao mesmo tempo que adicionam funcionalidades novas e cada vez mais autónomas aos veículos, o que pode abrir a porta a novas vulnerabilidades.

Esses dois objetivos costumam estar em desacordo. Tal como acontece com a segurança em qualquer sistema complexo, nada é completamente seguro. Mas mesmo lidar com esta questão multifacetada é um desafio. As arquiteturas de veículos de hoje, e aquelas que estão sendo desenvolvidas para veículos do futuro, são cada vez mais complexas e muitas vezes estão fora do controle de qualquer empresa. Envolvem componentes de hardware e software, com dados gerados e processados ​​em vários níveis e em vários locais — dentro de um veículo, entre diferentes veículos e externamente em infraestruturas conectadas. Alguns desses dados são essenciais para a funcionalidade do veículo e são rigorosamente controlados, mas mesmo dados menos críticos podem fornecer um potencial vetor de ataque.

“Se você tem um veículo totalmente autônomo e conectado, e alguém pode invadir o carro e assumir o controle, então, de repente, ele se torna quase uma arma”, disse Robert Schweiger, diretor de soluções automotivas da Cadência. “É por isso que os OEMs e toda a indústria automotiva são extremamente sensíveis a esse assunto. Se não houver segurança, todas as sofisticadas tecnologias ADAS não terão aceitação do consumidor. A segurança é fundamental e super importante.”

Essas preocupações estão ecoando em toda a indústria de chips. “Temos muitos desafios com os veículos hoje porque há uma quantidade cada vez maior de sistemas avançados de assistência ao motorista que exigem muitas unidades de controle eletrônico”, observou Thierry Kouthon, gerente técnico de produtos da Rambus. “Todas as funções do carro que antigamente eram mecânicas ou hidráulicas agora estão informatizadas. Caso contrário, você não poderá controlar o carro pelo computador. Mas isso também fornece superfícies de ataque para hackers. Os sistemas de infoentretenimento são um excelente ponto de entrada para ataques devido a uma série de conexões sem fio no veículo. Ao mesmo tempo, ocorre a eletrificação dos veículos, o que multiplica o número de unidades de controle eletrônico nesses veículos. Existem menos peças móveis, mas mais peças eletrônicas, o que representa uma maior superfície de ataque. Finalmente, os veículos autónomos, por natureza, não utilizam a interação do condutor e, portanto, necessitam de sistemas eletrónicos ainda mais avançados.”

Figura 1: Riscos potenciais de segurança em veículos. Fonte: Rambus

A segurança dos dados em qualquer sistema eletrônico é difícil. Mas dentro de um veículo, esses dados precisam ser movidos, armazenados, processados ​​e atualizados.

“Quando olhamos para a segurança cibernética e todos os aspectos que giram em torno da segurança cibernética – dados em trânsito, dados que se movem do ponto A para o ponto B, dados em repouso que estão sendo armazenados no veículo ou fora do veículo, mas estão de uma forma ou de outra associado ao veículo — qual é o risco de armazená-lo?” perguntou Chris Clark, gerente sênior em Synopsys ' grupo automotivo. “Qual é o risco de transmitir isso? Qual é o risco de usar esses dados e eles devem ser usados? Esse é o padrão ouro hoje para a forma como as organizações encaram isso.”

A indústria automóvel fez alguns progressos na proteção de dados nos últimos cinco anos, mas ainda tem um longo caminho a percorrer.

“Estamos aprendendo a realmente falar sobre segurança cibernética – talvez não de uma forma significativa, mas estamos começando a usar os mesmos termos”, disse Clark. “Estamos analisando o que um setor faz em comparação com outro e se podemos utilizar parte do que eles aprenderam para realmente progredir em termos de segurança para proteger uma organização e proteger o consumidor. Mas, a menos que haja regulamentação, as atividades e processos de segurança cibernética existem para proteger uma organização, não necessariamente o indivíduo.”

Isto é complicado pelo facto de nos veículos existir uma sobreposição crescente entre segurança e privacidade. Quanto mais os dados forem protegidos e quanto mais recursos autônomos houver em um veículo, mais ele violará potencialmente a privacidade.

“O fabricante do meu carro ou quem está prestando o serviço sabe o que estou fazendo? Dado o que aconteceu com as mídias sociais, as pessoas tentarão monetizar esses dados”, disse Jason Oberg, CTO da Lógica Tortuga. “No caso do seguro automóvel isso já está acontecendo. Mas você pode imaginar receber determinados anúncios com base em onde você está dirigindo. Talvez você vá ao McDonald's o tempo todo e eles possam detectar que você está fazendo isso, então você começa a receber anúncios no Instagram, no Facebook e no Google dizendo: 'Aqui está esta nova promoção no McDonald's.' Ou se você estiver no aeroporto e eles souberem que você gosta de viajar, eles poderão fornecer anúncios direcionados sobre viagens. Isso é provavelmente inevitável.”

Isto é potencialmente muito mais sério do que um simples aborrecimento. "Se um 'dia zero' a vulnerabilidade é encontrada em todos os carros fabricados com as mesmas chaves de autenticação, ou algo está realmente embutido nas partes do carro e alguém descobre, então eles podem espionar o carro do vizinho ou o comportamento de direção do vizinho, ou qualquer carro desse modelo”, disse Oberg. “Se for uma plataforma de mídia social, não existe um dispositivo físico. Você faz login em um sistema e há infraestrutura para protegê-lo. Mas se for um dispositivo físico, esse vetor de ataque agora está aberto. Ter acesso físico, encontrar vulnerabilidades de hardware, esses tipos de coisas agora são vetores de ataque viáveis ​​para obter essas informações.”

Para os hackers, há bons motivos para explorar esse fluxo de dados. Isso pode abrir a porta para o roubo de IP da tecnologia usada nesses veículos. Ao mesmo tempo, os dados pessoais roubados são cada vez mais valiosos e mais dados serão adicionados aos veículos ao longo do tempo.

“É muito concebível que seu carro tenha uma infraestrutura do tipo Apple Pay, ou algo que armazene informações localmente no automóvel”, disse Oberg. “Ou talvez sejam alguns dados biométricos armazenados localmente no hardware daquele veículo. Agora existe um vetor de ataque viável para explorar esse tipo de dados. E à medida que obtemos mais dispositivos IoT distribuídos e mais informações são coletadas sobre o comportamento pessoal das pessoas, o próprio dispositivo agora se torna um vetor de ataque viável. Veremos mais disso acontecendo com o impacto direto desses tipos de problemas no consumidor. Ainda não há muitos carros coletando informações pessoais, mas haverá. É como qualquer coisa em segurança. À medida que as pessoas começarem a adicionar mais autonomia, coletando um pouco mais de informações sobre o comportamento das pessoas ao dirigir ou o que quer que elas estejam fazendo em seus carros, isso terá algumas vantagens. Então eles serão consertados. É um processo iterativo. O interessante sobre um carro é que, dependendo da gravidade do ataque, talvez você não consiga emitir um patch de software. Pode estar mais arraigado no comportamento do carro, então talvez você não consiga consertar isso. Com o tempo, esperamos obter mais segurança sobre como o carro coleta dados e como os protege, mas certamente haverá um processo de aprendizagem.”

Mais vetores de ataque
Vehicle-to-everything (V2X) — onde o veículo se comunica com os semáforos, outros veículos, até mesmo pedestres, e a rede em geral — acrescenta outro potencial vetor de ataque. Embora esta seja uma questão mais voltada para o futuro, ela precisa ser considerado agora. Para agravar isso, os carros habilitados para V2X precisarão se comunicar com carros não habilitados para V2X, ou versões mais antigas dessa tecnologia, devido à longa vida útil dos veículos.

“O que isso significa é que você deseja garantir que os protocolos de comunicação usados ​​funcionem juntos”, disse Kouthon. “Tudo é sem fio e existem dois padrões principais – 5G/baseado em rede celular e DSRC, que se baseia em frequências de rádio diretas entre carros. Tudo isso é quase intercambiável e talvez ambos funcionem. A verdadeira questão é que, como você não tem nenhuma conexão física e está se comunicando sem fio com o seu ambiente, você precisa ter certeza de que todas essas mensagens são autênticas. Você precisa saber que se o semáforo está dizendo que está ficando verde, na verdade é o semáforo e não um hacker tentando causar um acidente porque você não está prestando atenção. Isso se torna um problema de autenticação. Autenticação significa que todas as mensagens são assinadas, para que o carro possa verificar se a mensagem é originária de uma fonte genuína e se não se trata de um semáforo falso ou de uma infraestrutura de passagem ferroviária. Precisa ser genuíno e realmente administrado pela cidade.

As coisas ficam ainda mais complicadas quando mensagens são recebidas de outros carros, porque agora todos os fabricantes têm que concordar com um conjunto de protocolos para que cada carro possa reconhecer os outros. Estão em andamento trabalhos para que isso aconteça, de modo que quando um BMW ou Chrysler se comunicar com um Volkswagen, o Volkswagen possa ter certeza de que é um BMW ou Chrysler real.

“Isso se torna um problema de distribuição de certificados”, disse Kouthon. “É um problema antigo e muito bem estudado no contexto de sites na internet, e geralmente é bastante complexo. As cadeias de certificados podem ser muito longas. No caso do carro, o desafio é garantir que as sessões de verificação sejam muito rápidas. Por exemplo, você deseja que o carro seja capaz de verificar mais de 2,000 mensagens por segundo. Isso tem implicações na infraestrutura porque não pode demorar muito para verificar cada mensagem. Isso também afeta o formato do certificado, sua natureza, e significa que você não pode projetá-los exatamente como os sites foram projetados, onde eles poderiam autenticar uns aos outros. Com um site, presume-se que o usuário possa esperar alguns segundos, enquanto no carro as decisões devem ser tomadas em microssegundos.”

Somente no ano passado, os provedores de IP da indústria automotiva lançaram versões seguras de seus processadores. Schweiger disse que versões de processadores lockstep de certos processadores foram lançadas para abordar aspectos de segurança, como ASIL D.

“Precisamos fornecer IP para abordar a segurança, que geralmente está dentro de um sistema raiz de confiança, para que o veículo possa inicializar primeiro de uma forma muito segura e isolada e possa autenticar todos os outros sistemas para garantir que o software não seja corrompido ou manipulado, " ele disse. “Quando você abre o carro para o mundo exterior, com comunicações veículo-veículo, comunicações veículo-infraestrutura, atualizações over-the-air, juntamente com WiFi, Ethernet, 5G e assim por diante, ele amplia a superfície de ataque de um carro. É por isso que devem ser implementadas medidas para evitar que as pessoas invadam o carro.”

A rede no chip (NoC) nos SoCs automotivos também pode desempenhar um papel aqui. “Na NoC dentro do SoC, pense nela como sendo a rede dentro da sua empresa”, disse Kurt Shuler, vice-presidente de marketing da IP Arteris. “Na sua empresa, você observa o tráfego da rede e há um firewall que geralmente fica nas bordas da rede. Você o coloca em algum lugar estrategicamente dentro da rede para observar o tráfego. Em um SoC, você faz a mesma coisa. Onde estão as linhas troncais dentro do SoC? Onde estão os lugares onde você gostaria de ver os dados e inspecioná-los? Você não está necessariamente fazendo uma inspeção profunda de pacotes e observando todo o conteúdo dos pacotes na rede no chip. Mas como os firewalls são programáveis, você pode dizer: 'Neste tipo de caso de uso, com este tipo de comunicação, a partir deste iniciador IP, talvez no cluster da CPU, os dados são válidos para ir para esta memória ou para este periférico, e essa é uma comunicação válida. Você também pode usá-lo para testar o sistema dizendo: 'Só permita isso se houver comunicações inválidas nesse caso de uso'. Então você pode enviar informações ao sistema para indicar que algo ruim está acontecendo. Isso é útil porque os hackers criarão intencionalmente esse tráfego para tentar ver que tipo de segurança você possui. Portanto, você também pode dizer ao sistema para permitir a passagem dos dados, e não agir de acordo com eles, para marcar os dados e os comandos que você considera ruins. E se alguém estiver confundindo o sistema – colocando um monte de lixo nele – você pode pegá-lo.”

Os firewalls com NoC também podem ser usados ​​para reforçar a segurança funcional. “Se você estiver indo de uma parte menos segura do chip – digamos que seja um ASIL B ou A, ou talvez seja QM – e os dados e comandos desse lado do chip estiverem indo para um lado ASIL D, você quer para poder testar isso para garantir que os dados sejam agrupados no ECC ou em qualquer método necessário para o lado mais seguro do chip. Os firewalls ajudam nisso. Essa funcionalidade de firewall é usada como proteção contra falhas para garantir que os dados provenientes de uma parte menos segura do chip sejam devidamente protegidos antes de irem para o lado mais seguro do chip”, explicou Shuler.

Simulação e teste
Planejar antecipadamente o projeto e a fabricação pode ajudar a identificar vulnerabilidades de hardware que também permitem o comprometimento dos dados.

“Existem hackers de software, mas também existem hackers de hardware – ataques de canal lateral”, disse Marc Swinnen, diretor de marketing de produtos da unidade de negócios de semicondutores da Ansys. “Você pode extrair o código criptografado de um chip simplesmente analisando-o, sondando-o eletromagneticamente, sondando sua assinatura de ruído de energia. Com um hack de software, você sempre pode consertar atualizando o software, mas se o seu hardware estiver vulnerável a esse tipo de hack, não há nada que você possa fazer a respeito. Você tem que construir um novo chip porque é tarde demais para fazer qualquer coisa. Você realmente precisa simular isso antes de chegar a esse ponto e simular o cenário de que se alguém colocasse uma sonda EM alguns milímetros acima do meu chip, que sinal ela receberia? Qual dos meus fios estaria emitindo mais e quão bem está funcionando a minha blindagem? Além disso, qual é a minha assinatura de ruído de energia? Todas essas coisas podem ser estipuladas. É possível obter métricas de quantos ciclos de simulação são necessários para extrair a criptografia.”

Parte disso também pode ser identificado no processo de teste, que envolve vários pontos de inserção ao longo do fluxo do projeto até a fabricação. Isso pode incorporar tudo, desde os dados usuais de teste de aprovação-reprovação no sistema até dados de reparo de memória e lógica, bem como dados coletados do monitoramento no circuito.

“Todos esses dados podem ser coletados do dispositivo para uma solução de banco de dados em nuvem, onde se tornam extremamente poderosos”, disse Lee Harrison, gerente de soluções de teste de IC automotivo da Siemens EDA. “Depois de coletar dados de uma grande variedade de sistemas em campo, os dados são analisados ​​e submetidos a algoritmos baseados em IA para fornecer feedback ao sistema físico para ajustar e ajustar seu desempenho. Aqui, a aplicação do gêmeo digital pode ser usada como parte do processo de análise e refinamento.”

Figura 2: Simulação e teste de vulnerabilidades de dados. Fonte: Siemens EDA

Os dados fora do chip podem ser coletados e enviados com segurança para a nuvem para análise usando identidades e autenticação exclusivas. Isto é especialmente importante quando estão envolvidas atualizações over-the-air, e estas estão sujeitas a regulamentações rigorosas em muitos países, disse Harrison.

Conclusão
Embora estas capacidades e melhorias proporcionem algum incentivo, a segurança dos dados continuará a ser problemática nos próximos anos em todos os sistemas eletrónicos. Mas em aplicações como a automotiva, as violações não são apenas um inconveniente. Eles podem ser perigosos.

“Quando ouvimos sobre as atividades que estão acontecendo, automaticamente nos sentimos mais confortáveis ​​e dizemos: 'Ah, tudo bem, as coisas estão acontecendo'”, disse Clark, da Synopsys. “Mas quando falamos em mover dados com segurança do ponto A para o ponto B, ou em não aceitar o dispositivo que não deveria estar naquela rede, isso engloba tanto tecnologia quanto processo. Como uma organização leva a sério as práticas de segurança cibernética e como elas definem e avaliam seu programa geral de segurança cibernética para ver que estão melhorando? Isso pode não ter nada a ver com a forma como movo os dados, mas tem tudo a ver com o fato de uma organização levar a sério a segurança cibernética. E esse processo permite que os engenheiros, os projetistas de sistemas e os projetistas de infraestrutura digam: 'Não estamos apenas desenvolvendo esta tecnologia realmente excelente, mas temos que dar uma olhada real na segurança cibernética. O que significa segurança cibernética neste contexto? É aí que começamos a ver melhorias reais. As organizações têm de se tornar suficientemente maduras do ponto de vista dos testes de segurança cibernética para reconhecer isso e desenvolver os seus processos de testes de segurança cibernética para chegar a esse ponto de uma forma significativa.”

Oberg de Tortuga concordou. “É tudo uma questão de ter um processo. A segurança é sempre uma jornada. Você nunca estará seguro, então a melhor coisa que você pode fazer é ser proativo. Pense no que você está tentando proteger, no que os adversários são capazes. Você não pode prever tudo. Você tem que aceitar isso. Gosto da abordagem de ser sempre o mais aberto possível. Não tente se conter. Claro, você não deve divulgar nenhuma propriedade intelectual. Mas você também precisa ser transparente sobre seu processo para seus clientes. Se algo acontecer, eles precisam saber qual é o seu processo. E então, você precisa ser muito claro sobre o que você mesmo fez e o que não fez. É tudo uma questão de ‘Este é o meu modelo de ameaça. Estas são as suposições que fiz. Essas coisas não consideramos.'”

Fonte: https://semiengineering.com/data-security-challenges-in-automotive/