YekCar
Emulierte Steuergeräte mit CAN, UDS und Keyless, daneben Angreifer-Dashboard und IDS-Monitor im selben Aufbau.
Ein transportabler Koffer mit emulierten Steuergeräten an einem echten CAN-Bus, dem Diagnoseprotokoll UDS darüber, einem schlüssellosen Zugangssystem und zwei Erkennungskomponenten, die an ein Vehicle Security Operations Center melden. Entstanden im Forschungsprojekt FINESSE.
Ein Auto ist eine Rechnerplattform auf Rädern
Ein Neufahrzeug enthält heute über hundert Steuergeräte und mehrere Millionen Zeilen Code, verbunden über CAN, Automotive Ethernet, Bluetooth, WLAN und Mobilfunk. Was daraus folgt, hat 2015 der Fernzugriff auf einen fahrenden SUV gezeigt: über eine Schwachstelle im Infotainmentsystem auf den Fahrzeugbus und von dort auf sicherheitskritische Funktionen. Der Hersteller rief rund 1,4 Millionen Fahrzeuge zurück.
An einem Serienfahrzeug lässt sich das nicht üben. Die Busse sind verbaut, das Fahrzeug ist zugelassen. Die Dinge, die man tun müsste, tut man an einem fahrbereiten Auto nicht. Also haben wir die Architektur in einen Aufbau übertragen, den man öffnen, verkabeln und angreifen darf.
Was im Koffer steckt
Alles sichtbar nebeneinander: was das Fahrzeug tut, was der Angreifer tut und was die Erkennung davon mitbekommt.
CAN, UDS und Keyless
Emulierte Steuergeräte mit authentischer CAN-Kommunikation, das Diagnoseprotokoll UDS nach ISO 14229 darüber, eine OBD-II-Schnittstelle für echte Werkstattgeräte und ein schlüsselloses Zugangssystem für Aufzeichnungs- und Wiedereinspielangriffe.
Drei Ansichten gleichzeitig
Ein Fahrzeug-Dashboard mit Geschwindigkeit, Drehzahl, Temperatur, Tankfüllung und Warnleuchten. Ein Angreifer-Dashboard für Botschaftsinjektion, Geschwindigkeitsmanipulation, Hupe und Licht. Und ein IDS-Monitor, der den Busverkehr in Echtzeit auswertet und Auffälligkeiten markiert.
Fahrsituation und Funk
Eine 3D-Fahrsimulation zeigt die Auswirkung eines Eingriffs im Fahrkontext, gesteuert über einen handelsüblichen Controller. Dazu ein schlüsselloses Zugangssystem für Aufzeichnungs- und Wiedereinspielangriffe. Eine Powerstation macht den Koffer für Vorführungen autark.
Angriff und Erkennung im selben Bild
Auf der Angriffsseite: Einspeisen manipulierter Botschaften auf den Bus mit direkter Wirkung auf Anzeigen und Funktionen. Strukturierter Missbrauch des Diagnoseprotokolls über Dienst-, Speicher- und Unterfunktions-Abfragen. Systematisches Fuzzing zur Suche nach unerwartetem Verhalten. Und ein Wiedereinspielangriff gegen den schlüssellosen Zugang.
Auf der Verteidigungsseite läuft parallel eine Angriffserkennung mit, die Abweichungen vom normalen Botschaftsverkehr sichtbar macht, Schwellwerte anzeigt und alles für die spätere Forensik protokolliert.
In einer Vorführung mit Kunden aus der Automobilindustrie haben wir genau diese Gleichzeitigkeit gezeigt: Eine Botschaftsinjektion manipuliert die Tachoanzeige und im selben Moment schlägt die Erkennung an und stellt die Anomalie dar. Der Lerneffekt entsteht nicht aus dem Angriff, sondern aus dem Nebeneinander.
Vom Einzelfahrzeug zum Lagebild
Ein einzelnes Fahrzeug erkennt nur, was bei ihm passiert. Interessant wird es, wenn viele Fahrzeuge melden und daraus ein Bild entsteht. Genau dafür haben wir im selben Forschungsvorhaben ein Security Operations Center für Fahrzeuge entwickelt.
Es unterscheidet sich von einem IT-SOC in dem, was es auswerten muss: Ereignisse aus Fahrzeugsystemen statt aus Servern, mit anderen Zeitverhalten und anderen Reaktionsmöglichkeiten. Zur Struktur gehören zentrale Sammlung und Korrelation, eine Auswertung nach SIEM-Prinzip und Reaktionsprozesse, die die Besonderheiten des Fahrzeugbetriebs berücksichtigen.
Weil das gängige Taktik- und Technikmodell aus der IT die Fahrzeugdomäne nicht abbildet, haben wir es dafür erweitert.
Wofür wir den Koffer nutzen
Für die Schulung von Sicherheitsfachleuten mit realistischen Angriffsszenarien. Für die Sensibilisierung von Entscheidungsträgern, denen ein abstraktes Risiko schwer zu vermitteln ist. Für Entwicklung und Test von Schutzkonzepten in kontrollierter Umgebung. Für Red-Blue-Übungen. Und als Bezugspunkt bei den Nachweisen, die aus den Regelungen zur Typgenehmigung und zum Umgang mit Software-Updates entstehen.
Der Aufbau wird laufend erweitert, weil sich die Fahrzeugarchitektur weiterentwickelt: Vehicle-to-Everything-Kommunikation und softwaredefinierte Fahrzeuge bringen Angriffsflächen mit, die es vor wenigen Jahren nicht gab.
Den Demonstrator im Einsatz sehen.
Wir zeigen die Anlage, die Angriffswege und was sich daran prüfen lässt.