Izzivi varnosti podatkov v avtomobilizmu

Proizvajalci avtomobilov se trudijo preprečiti kršitve varnosti in vdore v podatke v novih vozilih, hkrati pa v vozila dodajajo nove in vse bolj avtonomne funkcije, ki lahko odprejo vrata novim ranljivostim.

Ta dva cilja sta pogosto v nasprotju. Tako kot pri varnosti v katerem koli kompleksnem sistemu, nič ni nikoli popolnoma varno. Toda tudi reševanje tega večplastnega vprašanja je izziv. Današnje arhitekture vozil in tiste, ki se razvijajo za prihodnja vozila, so vse bolj zapletene in pogosto izven nadzora posameznega podjetja. Vključujejo komponente strojne in programske opreme, pri čemer so podatki ustvarjeni in obdelani na več ravneh in na več mestih – znotraj vozila, med različnimi vozili in zunaj povezane infrastrukture. Nekateri od teh podatkov so ključnega pomena za funkcionalnost vozila in so strogo nadzorovani, toda tudi manj kritični podatki lahko predstavljajo potencialni vektor napada.

"Če imate popolnoma avtonomno in povezano vozilo in lahko nekdo vdre v avto in prevzame nadzor, potem kar naenkrat postane skoraj orožje," je dejal Robert Schweiger, direktor avtomobilskih rešitev pri Cadence. »Zato so proizvajalci originalne opreme in celotna avtomobilska industrija zelo občutljivi glede te teme. Če varnosti ni, vse modne tehnologije ADAS ne bodo sprejete pri potrošnikih. Varnost je najpomembnejša in izjemno pomembna.«

Ti pomisleki se ponavljajo v industriji čipov. »Z vozili imamo danes veliko izzivov, ker je vse več naprednih sistemov za pomoč voznikom, ki zahtevajo veliko elektronskih krmilnih enot,« je povedal Thierry Kouthon, tehnični produktni vodja pri Rambus. »Vse funkcije avtomobila, ki so bile v starih časih mehanske ali hidravlične, so zdaj računalniško podprte. V nasprotnem primeru avtomobila ne morete upravljati z računalnikom. Vendar to tudi zagotavlja napadalne površine za hekerje. Infotainment sistemi so odlična vstopna točka za napade zaradi številnih brezžičnih povezav z vozilom. Obenem poteka tudi elektrifikacija vozil, kar pomnoži število elektronskih krmilnih enot v teh vozilih. Manj je gibljivih delov, več pa elektronskih delov, kar predstavlja povečano napadalno površino. Nazadnje, avtonomna vozila po naravi ne uporabljajo voznikove interakcije in zato potrebujejo še naprednejše elektronske sisteme.«

Slika 1: Potencialna varnostna tveganja v vozilih. Vir: Rambus

Varnost podatkov v katerem koli elektronskem sistemu je težavna. Toda znotraj vozila je treba te podatke premakniti, shraniti, obdelati in posodobiti.

»Ko pogledamo kibernetsko varnost in vse vidike, ki se vrtijo okoli kibernetske varnosti – podatki v tranzitu, podatki, ki se premikajo od točke A do točke B, podatki v mirovanju, ki so shranjeni v vozilu ali zunaj vozila, vendar so v takšni ali drugačni obliki. povezano z vozilom — kakšno je tveganje, da ga shranimo?« je vprašal Chris Clark, višji menedžer v Synopsys ' avtomobilska skupina. »Kakšno je tveganje za prenos? Kakšno je tveganje že pri uporabi teh podatkov in ali jih je treba uporabiti? To je danes zlati standard glede tega, kako organizacije gledajo na to.«

Avtomobilska industrija je v zadnjih petih letih dosegla določen napredek pri varovanju podatkov, vendar je pred njo še dolga pot.

»Učimo se, kako zares govoriti o kibernetski varnosti – morda ne na smiseln način, vendar začenjamo uporabljati iste izraze,« je dejal Clark. »Preverjamo, kaj počne ena panoga v primerjavi z drugo, in ali lahko uporabimo nekaj od tega, kar so se naučili, da resnično dosežemo napredek na področju varnosti za zaščito organizacije in zaščito potrošnika. Toda če ni predpisov, so dejavnosti in procesi kibernetske varnosti namenjeni zaščiti organizacije, ne nujno posameznika.«

To je zapleteno zaradi dejstva, da je v vozilih vedno večje prekrivanje med varnostjo in zasebnostjo. Bolj kot so ti podatki zaščiteni in več kot je avtonomnih funkcij v vozilu, bolj lahko posega v zasebnost.

»Ali moj proizvajalec avtomobila ali kdorkoli, ki nudi storitev, ve, kaj počnem? Glede na to, kaj se je zgodilo z družabnimi mediji, bodo ljudje poskušali monetizirati te podatke,« je dejal Jason Oberg, tehnični direktor podjetja Tortuga Logic. »Pri avtomobilskih zavarovanjih se to že dogaja. Lahko pa si predstavljate, da bi prejemali določene oglase glede na to, kje se vozite. Mogoče hodite v McDonald's ves čas in lahko zaznajo, da to počnete, zato začnete prejemati oglase na Instagramu, Facebooku in Googlu, ki pravijo: 'Tukaj je ta nova razprodaja v McDonald'su.' Če pa ste na letališču in vedo, da radi potujete, vam lahko dajo ciljane oglase o potovanjih. To je verjetno neizogibno.”

To je lahko veliko resnejše od navadne motnje. "Če 'nič dni' je ranljivost najdena v vseh avtomobilih, izdelanih z enakimi ključi za preverjanje pristnosti, ali pa je nekaj dejansko vrezano v dele avtomobila in nekdo to ugotovi, potem lahko gre vohuniti za sosedovim avtomobilom ali sosedovim obnašanjem pri vožnji ali katerim koli avtomobilom tega modela,« je dejal Oberg. »Če gre za platformo družbenih medijev, ni fizične naprave. Prijavite se v sistem in tam je infrastruktura za zaščito. Če pa gre za fizično napravo, je ta vektor napada zdaj odprt. Ob fizičnem dostopu, odkrivanju ranljivosti strojne opreme so te stvari zdaj izvedljivi vektorji napadov za pridobitev teh informacij.«

Za hekerje obstaja dober razlog, da posegajo po tem toku podatkov. Lahko odpre vrata kraji IP za tehnologijo, ki se uporablja v teh vozilih. Hkrati so ukradeni osebni podatki vedno bolj dragoceni in sčasoma jih bo v vozila dodanih še več.

"Zelo si je mogoče zamisliti, da bi imel vaš avto infrastrukturo tipa Apple Pay ali nekaj, kar bi lokalno shranjevalo informacije v avtomobilu," je dejal Oberg. »Ali pa gre morda za nekatere biometrične podatke, ki so shranjeni lokalno na strojni opremi tega vozila. Zdaj obstaja uspešen vektor napada, ki bi lahko izkoristil to vrsto podatkov. In ko dobimo več distribuiranih IoT naprav in več stvari, ki se zbirajo o osebnem vedenju ljudi, postane naprava sama zdaj izvedljiv vektor napadov. Videli bomo, da se bo to dogajalo še več z neposrednim vplivom tovrstnih težav na potrošnike. Avtomobilov, ki zbirajo osebne podatke, še ni veliko, bodo pa. To je kot vse v varnosti. Ko bodo ljudje začeli dodajati več avtonomije, zbirati nekaj več informacij o vedenju ljudi pri vožnji ali o tem, kaj počnejo v svojem avtomobilu, bo to imelo nekaj koristi. Potem se bodo popravili. To je ponavljajoč se proces. Zanimiva stvar pri avtomobilu je, da glede na resnost napada morda ne boste mogli izdati programskega popravka. Morda je bolj zakoreninjeno v obnašanju avtomobila, zato tega morda ne boste mogli popraviti. Sčasoma upajmo, da bomo pridobili več varnosti glede tega, kako avto zbira podatke in kako jih ščiti, vendar bo zagotovo obstajal proces učenja.”

Več napadalnih vektorjev
Vehicle-to-everything (V2X) – kjer vozilo komunicira s semaforji, drugimi vozili, celo pešci in omrežjem na splošno – dodaja še en potencialni vektor napadov Čeprav je to bolj v prihodnost usmerjeno vprašanje, mora upoštevati zdaj. Poleg tega bodo morali avtomobili, ki podpirajo V2X, komunicirati z avtomobili, ki ne podpirajo V2X, ali starejšimi različicami te tehnologije zaradi dolge življenjske dobe vozil.

"To pomeni, da želite zagotoviti, da uporabljeni komunikacijski protokoli delujejo skupaj," je dejal Kouthon. »Vse je brezžično in obstajata dva glavna standarda – 5G/celično omrežje in DSRC, ki temelji na neposrednih radijskih frekvencah med avtomobili. Vsi so skoraj zamenljivi in ​​morda bosta oba delovala. Resnična težava je, da se morate prepričati, da so vsa ta sporočila verodostojna, saj nimate fizične povezave in z okoljem komunicirate brezžično. Vedeti morate, da če vam semafor pove, da sveti zeleno, je to dejansko semafor in ne heker, ki poskuša povzročiti nesrečo, ker niste pozorni. To postane problem avtentikacije. Avtentikacija pomeni, da so vsa sporočila podpisana s podpisom, tako da lahko avto preveri, ali sporočilo izvira iz pristnega vira in da ne gre za lažni semafor ali infrastrukturo železniškega prehoda. Biti mora pristen, ki ga dejansko vodi mesto.«

Stvari postanejo še bolj zapletene, ko prejmejo sporočila iz drugih avtomobilov, saj se morajo zdaj vsi proizvajalci dogovoriti o nizu protokolov, da lahko vsak avtomobil prepozna druge. Delo je v teku, da bi se to zgodilo, tako da se lahko Volkswagen, ko BMW ali Chrysler komunicira z Volkswagnom, prepriča, da je to pravi BMW ali Chrysler.

"To postane problem distribucije certifikatov," je dejal Kouthon. »Gre za staro težavo, ki je bila zelo dobro raziskana v kontekstu spletnih mest na internetu in je običajno precej zapletena. Verige certifikatov so lahko zelo dolge. V primeru avtomobila je izziv zagotoviti, da so seje preverjanja zelo hitre. Na primer, želite, da lahko avto preveri do več kot 2,000 sporočil na sekundo. To vpliva na infrastrukturo, ker preverjanje vsakega sporočila ne more trajati predolgo. To vpliva tudi na obliko potrdila, njihovo naravo, kar pomeni, da jih ne morete oblikovati natanko tako, kot so bila zasnovana spletna mesta, kjer bi lahko med seboj preverjali pristnost. Pri spletni strani se predvideva, da lahko uporabnik počaka nekaj sekund, medtem ko je v avtomobilu treba odločitve sprejeti v mikrosekundah.«

Samo v zadnjem letu so ponudniki IP v avtomobilski industriji izdali varne različice svojih procesorjev. Schweiger je dejal, da so bile različice procesorjev lockstep nekaterih procesorjev uvedene za obravnavo varnostnih vidikov, kot je ASIL D.

»Zagotoviti moramo IP za reševanje varnosti, ki je običajno v korenskem sistemu zaupanja, tako da se lahko vozilo najprej zažene na zelo varen in izoliran način in lahko overi vse druge sisteme, da zagotovi, da programska oprema ni poškodovana ali spremenjena, " rekel je. »Ko avtomobil odprete zunanjemu svetu s komunikacijo med vozilom, komunikacijo med vozilom in infrastrukturo, posodobitvami po zraku, skupaj z WiFi, Ethernetom, 5G in tako naprej, poveča površino napada avtomobila. Zato je treba sprejeti ukrepe, ki bodo preprečili, da bi ljudje vdrli v avtomobil.”

Omrežje na čipu (NoC) v avtomobilskih sistemih na čipu lahko igra tudi tukaj vlogo. "Na NoC znotraj SoC pomislite kot na omrežje v vašem podjetju," je dejal Kurt Shuler, podpredsednik marketinga pri Arteris IP. »V vašem podjetju gledate omrežni promet in obstaja požarni zid, ki je običajno na robovih omrežja. Postavite ga nekam strateško znotraj omrežja, da opazujete promet. V SoC storite isto. Kje so magistralne linije znotraj SoC? Kje so mesta, kjer bi želeli videti podatke in jih pregledati? Ni nujno, da izvajate globoko inšpekcijo paketov in pregledujete celotno vsebino paketov v omrežju na čipu. Toda ker so požarni zidovi programirljivi, lahko rečete: 'V tej vrsti primera uporabe, s to vrsto komunikacije, od tega iniciatorja IP, morda v gruči CPE, so podatki veljavni za prenos v ta pomnilnik ali to periferno enoto in to je veljavna komunikacija.' Uporabite ga lahko tudi za testiranje sistema, tako da rečete: 'To dovoli samo, če so v tem primeru uporabe neveljavne komunikacije.' Nato lahko sprožiš informacije do sistema, da pokažeš, da se dogaja nekaj slabega. To je koristno, saj bodo hekerji namenoma ustvarili ta promet, da bi poskušali videti, kakšno varnost imate. Zato lahko tudi sistemu naročite, naj prepusti podatke in ne ukrepa na njih, da bi označil podatke in ukaze, za katere menite, da so slabi. In če nekdo zamegli sistem – vanj nanese cel kup smeti – ga lahko ujamete.«

Požarne zidove z NoC je mogoče uporabiti tudi za uveljavljanje funkcionalne varnosti. »Če greste iz manj varnega dela čipa – recimo, da je to ASIL B ali A ali morda QM – in gredo podatki in ukazi s te strani čipa na stran ASIL D, želite da bi lahko to preizkusil in se prepričal, da se podatki bodisi zavijejo v ECC ali katero koli metodo, ki je potrebna za varnejšo stran čipa. Pri tem pomagajo požarni zidovi. Funkcionalnost požarnega zidu se uporablja kot varovalka, da se zagotovi, da so podatki, ki prihajajo iz manj varnega dela čipa, ustrezno zaščiteni, preden gredo na varnejšo stran čipa,« je pojasnil Shuler.

Simulacija in test
Vnaprejšnje načrtovanje načrtovanja in proizvodnje lahko pomaga prepoznati ranljivosti strojne opreme, ki omogočajo tudi ogrožanje podatkov.

»Obstaja vdiranje v programsko opremo, obstaja pa tudi vdiranje v strojno opremo – napadi stranskih kanalov,« je dejal Marc Swinnen, direktor trženja izdelkov za poslovno enoto za polprevodnike pri Odgovori. »Šifrirano kodo lahko izvlečete iz čipa tako, da jo preprosto analizirate, elektromagnetno preizkušate, preizkušate njen šumni podpis. Vdor v programsko opremo lahko vedno popravite s posodobitvijo programske opreme, a če je vaša strojna oprema ranljiva za tovrstne vdore, ne morete storiti ničesar. Izdelati moraš nov čip, ker je prepozno, da bi karkoli naredil. To morate res simulirati, preden pride do te točke, in simulirati scenarij, da če bi nekdo postavil EM sondo nekaj milimetrov nad moj čip, kakšen signal bi prejel? Katera od mojih žic bi največ sevala in kako dobro deluje moj ščit? Poleg tega, kakšen je moj podpis hrupa moči? Vse te stvari je mogoče določiti. Možno je pridobiti meritve, koliko ciklov simulacije je potrebnih za ekstrahiranje šifriranja.«

Nekaj ​​tega je mogoče prepoznati tudi v preskusnem procesu, ki vključuje več točk vstavljanja v celotnem toku od načrtovanja do proizvodnje. To lahko vključuje vse od običajnih sistemskih testnih podatkov o uspešnosti in neuspehu do podatkov o popravilu pomnilnika in logike ter podatkov, zbranih iz nadzora v vezju.

"Vse te podatke je mogoče zbrati iz naprave v rešitev baze podatkov v oblaku, kjer postane izjemno zmogljiva," je povedal Lee Harrison, vodja rešitev za testiranje avtomobilskih IC pri Siemens EDA. »Po zbiranju podatkov iz velikega preseka sistemov na terenu se podatki analizirajo in podvržejo algoritmom, ki temeljijo na umetni inteligenci, da nato zagotovijo povratne informacije fizičnemu sistemu za prilagoditev in natančno nastavitev njegovega delovanja. Tu se lahko uporaba digitalnega dvojčka uporabi kot del procesa analize in izboljšave.«

Slika 2: Simulacija in testiranje ranljivosti podatkov. Vir: Siemens EDA

Podatke zunaj čipa je mogoče zbrati in jih nato varno poslati v oblak za analizo z uporabo edinstvenih identitet in avtentikacije. To je še posebej pomembno, ko gre za posodobitve po zraku, za katere pa v mnogih državah veljajo strogi predpisi, je dejal Harrison.

zaključek
Medtem ko so te zmogljivosti in izboljšave nekaj spodbude, bo varnost podatkov v prihodnjih letih še naprej problematična v vseh elektronskih sistemih. Toda v aplikacijah, kot je avtomobilska, kršitve niso le neprijetnost. Lahko so nevarni.

"Ko slišimo o dejavnostih, ki se dogajajo, se samodejno počutimo bolj udobno in rečemo: 'Oh, v redu, stvari se dogajajo,'" je dejal Clark iz Synopsysa. »Toda ko govorimo o varnem premikanju podatkov od točke A do točke B ali o nesprejemanju naprave, ki ne bi smela biti v tem omrežju, zajema tako tehnologijo kot proces. Kako organizacija jemlje prakse kibernetske varnosti resno in kako opredeli in meri glede na svoj splošni program kibernetske varnosti, da vidi, da se izboljšujejo? To morda nima nobene zveze s tem, kako premikam podatke, je pa zelo odvisno od tega, ali organizacija jemlje kibernetsko varnost resno. In ta proces omogoča inženirjem, načrtovalcem sistemov, načrtovalcem infrastrukture, da rečejo: 'Ne samo, da razvijamo to res odlično tehnologijo, ampak moramo tudi resnično pogledati kibernetsko varnost. Kaj v tem kontekstu pomeni kibernetska varnost? Tam začnemo opažati resnične izboljšave. Organizacije morajo postati dovolj zrele z vidika testiranja kibernetske varnosti, da to priznajo in razvijejo svoje postopke testiranja kibernetske varnosti, da pridejo do te točke na smiseln način.«

Tortugin Oberg se je strinjal. »Vse je v procesu. Varnost je vedno potovanje. Nikoli ne morete biti varni, zato je najbolje, da ste proaktivni. Pomislite, kaj poskušate zaščititi, česa so zmožni nasprotniki. Vsega ne moreš predvideti. To moraš sprejeti. Všeč mi je pristop, ko si vedno čim bolj odprt. Ne poskušaj se zadržati. Seveda ne smete razkriti svoje intelektualne lastnine. Vendar pa morate biti tudi pregledni glede svojega postopka do strank. Če se kaj zgodi, morajo vedeti, kakšen je vaš postopek. In potem moraš biti zelo jasen glede tega, kaj si sam naredil in česa nisi. Gre za: 'To je moj model grožnje. To so moje domneve. Te stvari nismo upoštevali.'"

Vir: https://semiengineering.com/data-security-challenges-in-automotive/