Absicherung der Automobilindustrie mit PKI und Identitätsmanagement

Die Fahrzeuge werden immer komplexer und vernetzter. Neue Fahrzeuge können bis zu 300 Millionen Codezeilen und mehr als 150 elektronische Steuergeräte (ECU) enthalten, die auf intelligente Weise mit Systemen innerhalb des Fahrzeugs kommunizieren. Darüber hinaus können sie mit externen Systemen kommunizieren, wie z. B. Fahrzeug-zu-Fahrzeug (V2V), Fahrzeug-zu-Netz (V2G), Fahrzeug-zu-Infrastruktur (V2I) und anderen, wodurch ein immer größeres V2X-Ökosystem entsteht. Wir können ein Fahrzeug nicht mehr nur als eine Maschine betrachten, die uns von A nach B bringt, sondern müssen es als intelligentes, vernetztes Gerät betrachten. - ein IoT Gerät, das ein Netzwerk von anderen IoT Geräten ist.

Die Sicherheit von Fahrzeugen ist eine sich ständig weiterentwickelnde Herausforderung. Alle Komponenten des Fahrzeugs müssen sicher sein. Die allgemeine Kommunikation mit dem Fahrzeug, wie Firmware- und software -Updates für Infotainment-Systeme, zum Beispiel, müssen sicher sein. Künftige V2V-Verbindungen müssen sicher sein. Um Sicherheit zu gewährleisten, braucht jedes Gerät eine Identität, und jede Identität muss verwaltet werden.

Wir haben gesehen, wie eine schwache Sicherheit katastrophale Auswirkungen haben kann. Im Jahr 2015 gelang es Hackern, einen Jeep zu übernehmen, während er auf einer Autobahn unterwegs war. Kürzlich haben Versicherungsgesellschaften den Versicherungsschutz für bestimmte Kia- und Hyundai-Modelle da sie zu leicht zu stehlen sind.

Dieser Blog befasst sich mit einigen Herausforderungen und Lösungsprinzipien speziell für die Automobilindustrie. 

Fahrzeuge bestehen aus vielen verbundenen Steuergeräten und Komponenten, von denen die meisten nicht vom Automobilhersteller, sondern von einem Tier-1-Zulieferer hergestellt werden. Dies bringt mehrere Herausforderungen mit sich, da die Automobilhersteller nun über Sicherheitsverfahren für die Verwaltung von Identitäten verfügen müssen, die sie nicht selbst erstellt haben, oder sie müssen über eine Infrastruktur verfügen, um die Identitäten zu erstellen und sie für mehrere Tier-1-Zulieferer zugänglich zu machen.

Mit jedem zusätzlichen intelligenten Subsystem vergrößert sich die Angriffsfläche für Angreifer. Wenn man weiß, dass die Systeme im Fahrzeug miteinander verbunden sind, gibt es mehrere Möglichkeiten, in kritische Systeme wie den Motor, die Servolenkung oder die Bremsen einzudringen. Eine Schwachstelle in einem angeschlossenen System kann mit anderen Systemen verknüpft werden. Dies erfordert eine enge, vertrauensvolle Beziehung zwischen dem Automobilhersteller und seinen Tier-1-Zulieferern und deren Zulieferern.

Netzwerke. Geräte. Infrastruktur. Netz. Andere Fahrzeuge. Die Anzahl der "Dinge", mit denen sich ein Fahrzeug verbinden kann, wächst ständig. Wie bei OTA-Updates stellt jede Verbindung eine Gelegenheit für einen böswilligen Akteur dar, die innerhalb des Ökosystems ausgetauschten Daten und Befehle abzufangen, zu lesen und zu verändern.

Normen werden in Zukunft eine wichtige Rolle spielen, können aber mitunter hinter der Entwicklung der Technologie zurückbleiben. Außerdem müssen Hersteller, die international tätig sind, konkurrierende Normen einhalten. In den Vereinigten Staaten müssen sich die Hersteller beispielsweise auf IEEE 1609.2 vorbereiten, während in Europa C-ITS andere Anforderungen stellt, während sich beide auf UNECE 155/156 vorbereiten müssen. Das bedeutet, dass jedes heute implementierte Sicherheitssystem flexibel und skalierbar genug sein muss, um die Ungewissheit der Zukunft zu bewältigen.

Unabhängig davon, wie sorgfältig die Entwickler sind oder welche QS-Prozesse eingesetzt werden, müssen software und die Firmware aktualisiert und gewartet werden. Bei Fahrzeugen kann dies durch den physischen Anschluss eines Fahrzeugs bei einem autorisierten Händler oder durch OTA-Updates erfolgen, genau wie die Aktualisierung von software bei einem Telefon. Theoretisch ist dies eine einfache Aufgabe: Das Fahrzeug verbindet sich mit dem Netzwerk des Herstellers oder dem Gerät des Händlers, stellt eine Verbindung her, ruft das Update ab und wendet es an.

Doch woher weiß das Fahrzeug, dass die Aktualisierung rechtmäßig und nicht bösartig ist? Ob über eine gekaperte Fernverbindung oder ein direktes physisches Update - neuer Code kann in das Fahrzeug eingespeist werden und so die Fernsteuerung, Datenverletzungen oder sogar Ransomware ermöglichen. Software und Firmware-Updates müssen vor der Installation nachweisen können, dass sie aus einer legitimen Quelle stammen.

Der beste Weg, sich auf die Ungewissheit der Zukunft vorzubereiten, ist die Sicherheit in der Automobilindustrie Standards und neuen Technologien ist es, heute ein flexibles und skalierbares System zu implementieren. Dies beginnt bereits auf der Code-Ebene.

Die Implementierung einer ordnungsgemäßen Codesignierung ist für die Sicherung von Firmware-Updates von grundlegender Bedeutung und kann die letzte Verteidigungslinie gegen einen bösartigen Angriff sein.

Im Falle einer unbefugten Kommunikation, egal ob es sich um eine Fern- oder eine physische Verbindung handelt, trägt eine ordnungsgemäße Code Signierung eine eine zusätzliche Sicherheitsebene. Jetzt muss der böswillige Akteur nicht nur Zugang zur Kommunikation erhalten, sondern auch ein Signaturzertifikat von den software/Firmware-Entwicklern besitzen. Ein ordnungsgemäß konzipiertes System würde die software zurückweisen und Warnmeldungen auslösen, wenn sie unsignierten Code senden.

Die Verwendung einer Code-Signierungslösung und der ordnungsgemäße Schutz der Signierzertifikate macht es einem bösartigen Akteur viel schwerer, bösartigen Code einzufügen.

Das Markenzeichen einer sicheren Kommunikation ist, dass jedes Gerät eine vertrauenswürdige und überprüfbare Identität besitzt. Diese Identität liegt meist in Form eines signierten Zertifikats vor. Mit einer geeigneten PKI können Hersteller Identitäten für das primäre Kommunikationssteuergerät und - in Zusammenarbeit mit ihren Tier-1-Lieferanten - für alle Steuergeräte im Fahrzeug ausstellen.

Für den unwahrscheinlichen Fall, dass ein Root-Zertifikat beschädigt wird, ist eine automatisierte Verwaltung des Lebenszyklus von Zertifikaten unerlässlich. Dies ermöglicht den massenhaften Widerruf verdorbener Zertifikate und die Identifizierung von Geräten, die möglicherweise nicht online sind, aber bei der nächsten Kommunikation behandelt werden müssen Einchecken.

Unabhängig davon, ob Sie ein Automobil-OEM oder ein Tier-1-Zulieferer sind, benötigen Sie eine End-to-End-Lösung, die Ihr gesamtes Ökosystem schützt. Suchen Sie nach einer Lösung, die software/Firmware signieren und Geräteidentitäten von der Herstellung bis zum Ende des Lebenszyklus verwalten und automatisieren kann.