Проблеми безпеки даних в автомобільній промисловості

Автовиробники намагаються запобігти порушенням безпеки та злому даних у нових транспортних засобах, одночасно додаючи нові та все більш автономні функції в транспортні засоби, які можуть відкрити двері для нових вразливостей.

Ці дві цілі часто суперечать. Як і у випадку безпеки в будь-якій складній системі, ніщо ніколи не буває повністю безпечним. Але навіть розібратися в цьому багаторівневому питанні є складним завданням. Архітектура транспортних засобів сьогодні, а також ті, що розробляються для автомобілів майбутнього, стають дедалі складнішими і часто поза контролем будь-якої окремої компанії. Вони включають як апаратні, так і програмні компоненти, при цьому дані генеруються й обробляються на кількох рівнях і в багатьох місцях — у транспортному засобі, між різними транспортними засобами та за межами підключеної інфраструктури. Деякі з цих даних є критично важливими для функціональності транспортного засобу та жорстко контролюються, але навіть менш критичні дані можуть стати потенційним вектором атаки.

«Якщо у вас є повністю автономний і підключений транспортний засіб, і хтось може зламати автомобіль і взяти під контроль, то раптом він стає майже зброєю», — сказав Роберт Швайгер, директор з автомобільних рішень компанії Каденція. «Саме тому виробники комплектного обладнання та вся автомобільна промисловість надзвичайно чутливі до цієї теми. Якщо безпеки немає, всі модні технології ADAS не будуть сприйняті споживачами. Безпека є першорядною та надзвичайно важливою».

Ці занепокоєння повторюються в індустрії чіпів. «Сьогодні ми стикаємося з багатьма проблемами, пов’язаними з транспортними засобами, оскільки зростає кількість вдосконалених систем допомоги водієві, які вимагають багато електронних блоків керування», — зазначив Тьєррі Кутон, менеджер із технічних продуктів компанії Рамбус. «Усі функції автомобіля, які раніше були механічними або гідравлічними, тепер комп’ютеризовані. Інакше ви не зможете керувати автомобілем за допомогою комп’ютера. Але це також забезпечує поверхні для атаки для хакерів. Інформаційно-розважальні системи є чудовою точкою доступу для атак завдяки низці бездротових з’єднань з транспортним засобом. Водночас відбувається електрифікація транспортних засобів, що в рази збільшує кількість електронних блоків керування в цих автомобілях. Тут менше рухомих частин, але більше електронних частин, що означає збільшену поверхню атаки. Нарешті, автономні транспортні засоби за своєю природою не використовують взаємодію з водієм, і тому потребують ще більш досконалих електронних систем».

Мал. 1: Потенційні ризики безпеці в транспортних засобах. Джерело: Rambus

Безпека даних у будь-якій електронній системі складна. Але всередині автомобіля ці дані потрібно переміщувати, зберігати, обробляти й оновлювати.

«Коли ми дивимося на кібербезпеку та всі аспекти, пов’язані з кібербезпекою — дані в дорозі, дані, що переміщуються з точки А в точку Б, дані в стані спокою, які зберігаються в транспортному засобі або поза ним, але в тій чи іншій формі пов’язані з транспортним засобом — який ризик його зберігання?» запитав Кріс Кларк, старший менеджер компанії Синопсис автомобільна група. «Який ризик його передачі? Який ризик навіть використання цих даних і чи варто їх використовувати? Сьогодні це золотий стандарт того, як організації дивляться на це».

За останні п’ять років автомобільна промисловість досягла певного прогресу в захисті даних, але їй ще попереду довгий шлях.

«Ми вчимося говорити про кібербезпеку — можливо, не змістовно, але ми починаємо використовувати однакові терміни», — сказав Кларк. «Ми дивимося, що робить одна галузь порівняно з іншою, і чи можемо ми використати деякі з того, що вони навчилися, щоб дійсно досягти прогресу в сфері безпеки для захисту організації та захисту споживача. Але якщо немає регулювання, діяльність і процеси кібербезпеки існують для захисту організації, а не обов’язково окремої людини».

Це ускладнюється тим фактом, що в транспортних засобах спостерігається дедалі більше збігів між безпекою та конфіденційністю. Чим більше ці дані захищені та чим більше автономних функцій у транспортному засобі, тим більше він потенційно порушує конфіденційність.

«Чи знає виробник мого автомобіля або той, хто надає послуги, що я роблю? Враховуючи те, що сталося з соціальними медіа, люди намагатимуться монетизувати ці дані», – сказав Джейсон Оберг, технічний директор компанії Логіка Тортуга. «У разі страхування автомобілів це вже відбувається. Але ви можете уявити собі певну рекламу залежно від того, де ви їдете. Можливо, ви постійно ходите в McDonald's, і вони можуть помітити, що ви це робите, тому ви починаєте отримувати рекламу в Instagram, Facebook і Google, яка каже: «Ось цей новий розпродаж у McDonald's». Або якщо ви в аеропорту, і вони знають, що ви любите подорожувати, вони можуть надати вам цільову рекламу про подорожі. Це, мабуть, неминуче».

Це потенційно набагато серйозніше, ніж звичайне роздратування. "Якщо 'нульового дня' уразливість виявляється в усіх автомобілях, вироблених з однаковими ключами автентифікації, або щось фактично запікається в частинах автомобіля, і хтось це з’ясовує, тоді вони можуть піти шпигувати за машиною свого сусіда чи поведінкою свого сусіда за кермом, або за будь-якою машиною цієї моделі", - сказав Оберг. «Якщо це платформа соціальних мереж, фізичного пристрою немає. Ви входите в систему, і є інфраструктура для захисту. Але якщо це фізичний пристрій, цей вектор атаки зараз відкритий. Маючи фізичний доступ, знаходячи апаратні вразливості, такі речі тепер є життєздатними векторами атак для отримання цієї інформації».

Для хакерів є вагома причина підключитися до цього потоку даних. Це може відкрити двері для крадіжки IP-технологій, які використовуються в цих автомобілях. У той же час особисті дані, які викрадають, стають все більш цінними, і з часом все більше їх додаватиметься в транспортні засоби.

«Цілком можливо, що ваш автомобіль матиме інфраструктуру типу Apple Pay або щось таке, що зберігатиме інформацію локально в автомобілі», — сказав Оберг. «Або, можливо, це якісь біометричні дані, які зберігаються локально на апаратному забезпеченні автомобіля. Тепер існує життєздатний вектор атаки, який потенційно може використовувати цей тип даних. І оскільки ми отримуємо більше розповсюджених пристроїв IoT і збираємо більше інформації про особисту поведінку людей, сам пристрій тепер стає життєздатним вектором атаки. Ми побачимо, що це станеться ще більше, оскільки ці проблеми безпосередньо впливатимуть на споживачів. Машин, які збирають особисту інформацію, поки небагато, але вони будуть. Це як будь-що в безпеці. Коли люди починають додавати більше автономії, збираючи трохи більше інформації про поведінку людей за кермом або про те, що вони можуть робити в своєму автомобілі, це матиме певні переваги. Тоді вони будуть виправлені. Це ітеративний процес. Цікава річ щодо автомобіля полягає в тому, що залежно від серйозності атаки ви можете не мати змоги випустити програмне виправлення. Це може бути більш вкоріненим у поведінці автомобіля, тому ви потенційно не зможете це виправити. Сподіваюся, з часом ми отримаємо більше безпеки щодо того, як автомобіль збирає дані та як він їх захищає, але, звичайно, буде процес навчання».

Більше векторів атак
Vehicle-to-everything (V2X) — де транспортний засіб спілкується зі світлофорами, іншими транспортними засобами, навіть пішоходами та мережею загалом — додає ще один потенційний вектор атаки. Хоча це більш перспективна проблема, вона потребує розглянути зараз. Крім того, автомобілям із підтримкою V2X потрібно буде спілкуватися з автомобілями без V2X або старішими версіями цієї технології через тривалий термін служби транспортних засобів.

«Це означає, що ви хочете переконатися, що використовувані протоколи зв’язку працюють разом», — сказав Кутон. «Усе бездротове, і є два основних стандарти — 5G/мобільна мережа та DSRC, який базується на прямих радіочастотах між автомобілями. Усі вони майже взаємозамінні, і, можливо, обидва підійдуть. Справжня проблема полягає в тому, що, оскільки у вас немає жодного фізичного з’єднання, і ви спілкуєтеся зі своїм середовищем бездротовим способом, ви повинні переконатися, що всі ці повідомлення є автентичними. Ви повинні знати, що якщо світлофор повідомляє вам, що горить зелене світло, це насправді світлофор, а не хакер, який намагається спричинити аварію, тому що ви не звертаєте уваги. Це стає проблемою автентифікації. Автентифікація означає, що всі повідомлення підписуються підписом, тому автомобіль може перевірити, що це повідомлення походить із справжнього джерела, і що це не підроблений світлофор чи інфраструктура залізничного переїзду. Вона має бути справжньою, якою насправді керує місто».

Ситуація стає ще складнішою, коли повідомлення надходять від інших автомобілів, тому що тепер усі виробники мають узгодити набір протоколів, щоб кожна машина могла розпізнавати інші. Триває робота над тим, щоб це сталося, щоб коли BMW або Chrysler спілкувався з Volkswagen, Volkswagen міг переконатися, що це справжній BMW або Chrysler.

«Це стає проблемою розповсюдження сертифікатів», — сказав Кутон. «Це стара проблема, яка була дуже добре вивчена в контексті веб-сайтів в Інтернеті, і зазвичай вона досить складна. Ланцюжки сертифікатів можуть бути дуже довгими. У випадку з автомобілем завдання полягає в тому, щоб сеанси перевірки проходили дуже швидко. Наприклад, ви хочете, щоб автомобіль міг перевіряти до 2,000 повідомлень на секунду. Це впливає на інфраструктуру, оскільки перевірка кожного повідомлення не може зайняти надто багато часу. Це також впливає на формат сертифікатів, їх природу, і це означає, що ви не можете створити їх точно так, як були розроблені веб-сайти, де вони могли б автентифікувати один одного. З веб-сайтом передбачається, що користувач може почекати кілька секунд, тоді як в автомобілі рішення повинні прийматися за мікросекунди».

Лише за останній рік постачальники ІВ в автомобільній промисловості випустили захищені версії своїх процесорів. Швайгер сказав, що версії певних процесорів lockstep були розгорнуті для вирішення аспектів безпеки, таких як ASIL D.

«Нам потрібно надати IP-адресу для вирішення питань безпеки, яка зазвичай знаходиться в кореневій системі довіри, щоб транспортний засіб міг спочатку завантажуватися дуже безпечним і ізольованим способом і міг автентифікувати всі інші системи, щоб гарантувати, що програмне забезпечення не пошкоджене або маніпульоване, " він сказав. «Коли ви відкриваєте автомобіль для зовнішнього світу за допомогою зв’язку між транспортним засобом, зв’язку між транспортним засобом і інфраструктурою, оновлення по повітрю, а також WiFi, Ethernet, 5G тощо, це збільшує поверхню нападу автомобіля. Тому потрібно вжити заходів, щоб люди не зламали машину».

Мережа на чіпі (NoC) в автомобільних SoC також може зіграти свою роль. «Про NoC у SoC думайте про це як про мережу у вашій компанії», — сказав Курт Шулер, віце-президент із маркетингу компанії Артеріс ІП. «У вашій компанії ви спостерігаєте за мережевим трафіком, і є брандмауер, який зазвичай знаходиться на краю мережі. Ви розміщуєте його в стратегічному місці в мережі, щоб стежити за трафіком. У SoC ви робите те саме. Де розташовані магістральні лінії всередині SoC? Де знаходяться місця, де ви хотіли б побачити дані та перевірити їх? Ви не обов’язково проводите глибоку перевірку пакетів і переглядаєте весь вміст пакетів у мережі на чіпі. Але оскільки брандмауери є програмованими, ви можете сказати: «У цьому типі використання, з таким типом зв’язку, від цього IP-ініціатора, можливо, у кластері ЦП, дані дійсні для передачі в цю пам’ять або цей периферійний пристрій, і це дійсне спілкування». Ви також можете використовувати його, щоб перевірити систему, сказавши: «Дозволити це, лише якщо є недійсні зв’язки в цьому випадку використання». Тоді ви можете передати інформацію системі, щоб вказати, що відбувається щось погане. Це корисно, оскільки хакери навмисно створять цей трафік, щоб спробувати побачити, який у вас захист. Таким чином, ви також можете наказати системі пропускати дані та не діяти на них, щоб позначати дані та команди, які, на вашу думку, є поганими. І якщо хтось плутає систему — кладе туди цілу купу сміття — ви можете їх зловити».

Брандмауери з NoC також можна використовувати для забезпечення функціональної безпеки. «Якщо ви переходите з менш безпечної частини чіпа — скажімо, це ASIL B або A, або, можливо, це QM — і дані та команди з цього боку чіпа переходять на бік ASIL D, вам потрібно мати можливість перевірити це, щоб переконатися, що дані або загорнуті в ECC, або будь-який інший метод, потрібний для більш безпечної сторони чіпа. У цьому допомагають брандмауери. Ця функція брандмауера використовується як захист від збоїв, щоб забезпечити належний захист даних, які надходять із менш безпечної частини чіпа, перш ніж вони потраплять на більш безпечну частину чіпа», — пояснив Шулер.

Моделювання та тестування
Попереднє планування проектування та виробництва також може допомогти виявити вразливі місця в апаратному забезпеченні, через які дані можуть бути скомпрометовані.

«Існує злом програмного забезпечення, але є також злом апаратного забезпечення — атаки по бічних каналах», — сказав Марк Свіннен, директор з маркетингу продукції підрозділу виробництва напівпровідників у Відповіді. «Ви можете витягнути зашифрований код із чіпа, просто проаналізувавши його, дослідивши електромагнітним методом, дослідивши його сигнатуру шуму живлення. Злом програмного забезпечення ви завжди можете виправити, оновивши програмне забезпечення, але якщо ваше обладнання вразливе до такого роду злому, ви нічого не можете з цим зробити. Ви повинні створити новий чіп, тому що вже занадто пізно щось робити. Вам дійсно потрібно змоделювати це, перш ніж це дійде до цієї точки, і змоделювати сценарій, що якщо хтось помістить електромагнітний зонд на кілька міліметрів над моїм чіпом, який сигнал він отримає? Який із моїх проводів випромінює найбільше, і наскільки добре працює моє екранування? Крім того, яка шумова сигнатура моєї потужності? Усе це можна обумовити. Можна отримати показники того, скільки циклів моделювання потрібно для вилучення шифрування».

Частину цього також можна визначити в процесі тестування, який включає в себе кілька точок вставки протягом усього процесу від проектування до виробництва. Це може включати все, починаючи від звичайних даних внутрішньосистемного тестування, до даних відновлення пам’яті та логіки, а також даних, зібраних за допомогою внутрішньосхемного моніторингу.

«Усі ці дані можна зібрати з пристрою в хмарну базу даних, де вони стають надзвичайно потужними», — сказав Лі Гаррісон, менеджер з тестування автомобільних інтегральних рішень у Siemens EDA. «Після збору даних із великої кількості систем у полі дані аналізуються та піддаються алгоритмам на основі штучного інтелекту, щоб потім надати зворотній зв’язок фізичній системі для коригування та точного налаштування її продуктивності. Тут застосування цифрового близнюка може використовуватися як частина процесу аналізу та вдосконалення».

Рис. 2: Моделювання та тестування вразливостей даних. Джерело: Siemens EDA

Дані поза чіпом можна збирати, а потім безпечно надсилати в хмару для аналізу за допомогою унікальних ідентифікацій і автентифікації. Це особливо важливо, коли задіяні бездротові оновлення, які підпадають під суворі правила в багатьох країнах, сказав Харрісон.

Висновок
Хоча ці можливості та вдосконалення є певним стимулом, безпека даних залишатиметься проблематичною протягом багатьох років у всіх електронних системах. Але в таких сферах застосування, як автомобільна промисловість, порушення — це не просто незручність. Вони можуть бути небезпечними.

«Коли ми чуємо про діяльність, яка відбувається, ми автоматично відчуваємо себе комфортніше і кажемо: «О, гаразд, щось відбувається», — сказав Кларк із Synopsys. «Але коли ми говоримо про безпечне переміщення даних з точки А в точку Б або про неприйняття пристроїв, які не повинні бути в цій мережі, це стосується як технології, так і процесу. Як організація серйозно ставиться до практик кібербезпеки та як вони визначають і оцінюють свою загальну програму кібербезпеки, щоб побачити, що вони покращуються? Це може не мати нічого спільного з тим, як я переміщую дані, але це пов’язано з тим, чи серйозно організація ставиться до кібербезпеки. І цей процес дає змогу інженерам, розробникам систем, розробникам інфраструктури сказати: «Ми не лише розробляємо цю справді чудову технологію, але ми маємо реально поглянути на кібербезпеку». Що означає кібербезпека в цьому контексті? Ось де ми починаємо бачити реальне покращення. Організації мають стати достатньо зрілими з точки зору тестування кібербезпеки, щоб визнати це та розробити свої процеси тестування кібербезпеки, щоб досягти цього пункту значущим чином».

Оберг із Тортуги погодився. «Уся справа в наявності процесу. Безпека – це завжди подорож. Ви ніколи не можете бути в безпеці, тому найкраще, що ви можете зробити, це бути проактивним. Подумайте про те, що ви намагаєтеся захистити, на що здатні вороги. Все не передбачиш. Ви повинні прийняти це. Мені подобається підхід завжди бути максимально відкритим. Не намагайтеся стримуватися. Звичайно, ви не повинні розголошувати свою інтелектуальну власність. Але ви також повинні бути прозорими щодо свого процесу для своїх клієнтів. Якщо щось трапиться, вони повинні знати, що таке ваш процес. Крім того, ви повинні дуже чітко усвідомлювати, що ви зробили самі, а що не зробили. Це все про: «Це моя модель загроз». Ось такі я зробив припущення. Цей матеріал ми не розглядали».

Джерело: https://semiengineering.com/data-security-challenges-in-automotive/