Automotive Security Assessment
Durch die stark zunehmende Vernetzung und Digitalisierung im Automobilumfeld, wird auch die potentielle Angriffsoberfläche für heutige und zukünftige Fahrzeuge immer größer. Bereits 2015 zeigten Sicherheitsforscher durch den sogenannten Jeep-Hack des Jeep Cherokees, welche schwerwiegenden Folgen vorhandene Schwachstellen im Fahrzeugumfeld haben können. Denn insbesondere bei Fahrzeugen stellen IT-Sicherheitsrisiken durch den physischen Kontext oftmals auch eine direkte Bedrohung der Gesundheit bzw. der körperlichen Sicherheit (Safety) von Personen dar. Aber auch der Zugriff auf personenbezogene Daten (z.B. die aktuelle Position und das Fahrverhalten) oder das Erschleichen kostenpflichtiger Dienste sind denkbare Angriffsszenarien. Daher stellen IT-Sicherheitsanalysen von Fahrzeugen und den darin integrierten Steuergeräten einen unerlässlichen Schritt zur Vermeidung von Angriffen mit hohem Schadenspotential dar.
Im Rahmen eines Automotive Security Assessments analysieren wir einzelne Steuergeräte oder auch ganze Fahrzeuge hinsichtlich dieser Angriffsszenarien.
Ziel
Identifikation von Schwachstellen in Steuergeräten und Bewertung des Risikos hinsichtlich spezifischer Bedrohungsszenarien
Fragestellung
Wie sicher ist das Fahrzeug bzw. das Steuergerät und was können externe Angreifer bzw. böswillige Benutzer und Mitarbeiter im schlimmsten Falle erreichen?
Scope
Fahrzeuge oder Steuergeräte inkl. der Hardware und Schnittstellen
Ablauf
Bei einem Automotive Security Assessment wird sowohl die Hardware als auch die Software von Steuergeräten betrachtet und hinsichtlich vorhandener Schwachstellen analysiert. Dabei nimmt der Prüfer die Perspektive externer Angreifer und auch privilegierter Benutzer ein. Beispiele für Angriffsversuche reichen vom Auslesen von Speicherchips, über Man-in-the-Middle-Angriffe, bis hin zum Eindringen in die Systeme durch das Ausnutzen von Schwachstellen in exponierten Schnittstellen (z.B. CAN, Ethernet, Bluetooth oder USB).
Grundsätzlich erfolgt das Assessment mit dem Ansatz einer möglichst umfassenden Prüfung. Abhängig von der Art der Anwendung bzw. des Systems und der relevanten Bedrohungen ist jedoch auch ein risikobasierter Ansatz möglich (vergleichbar mit einem Penetrationstest ). Dabei wird der Fokus auf besonders sicherheitskritische bzw. gefährdete Bereiche gerichtet, wobei sich der Prüfungsumfang aus dem im Vorfeld vereinbarten Zeitbudget ergibt.
Bestandteile
Das Automotive Security Assessment umfasst üblicherweise folgende Punkte:
- Prüfung des Betriebssystems und der Firmware (z. B. Härtungsmaßnahmen, laufende Dienste, AUTOSAR-Konfiguration oder Analyse von Hex-Files)
- Prüfung Update-Prozesse (z. B. Signaturprüfung und Authentisierung)
- Prüfung des Diagnosezugriffs (z. B. zertifikatsbasierte Authentisierung oder Zugriff via XCP)
- Prüfung spezieller Sicherheitsmaßnahmen (z. B. Secure Boot oder HSM-Integration)
- Prüfung der Hardware (z. B. Auslesen von Speicherchips, Zugriff über Debug-Schnittstellen)
- Prüfung der ECU-internen Kommunikation (z. B. Datenübertagung zwischen verschiedenen Chips oder Prozessoren)
- Prüfung der Fahrzeug-internen Kommunikation (z. B. über CAN, FlexRay, Ethernet oder LIN)
- Prüfung der Kommunikation mit externen Komponenten und Backend-Diensten (z. B. über Bluetooth, NFC, WLAN oder Mobilfunk)
- Prüfung der Anwendungsebene (z. B. Benutzereingaben oder Backup-Funktionen von Head Units)
- Dokumentation inklusive Risikobewertung und Maßnahmenbeschreibung
Im Rahmen der Prüfung setzen wir entsprechende regulatorische Anforderungen um, beispielsweise ISO/SAE 21434, UNECE R 155 oder aus der Homologation.
Bei Bedarf kann das Assessment durch eine Source Code Analyse und Konzeptanalyse erweitert werden. Hierbei können auch Sicherheitsaspekte von Produktionsprozessen der Zulieferer berücksichtigt werden, wie beispielsweise Schlüsselverwaltung und -integration während der Herstellung.
Ergebnis
Als Ergebnis des Assessments erhalten Sie einen ausführlichen Abschlussbericht. Abhängig von Art und Umfang des Projekts umfasst der Abschlussbericht folgende Bestandteile:
- Management Summary mit Zusammenfassung der Ergebnisse und des Sicherheitsniveaus
- Beschreibung Projektablauf, Zielsetzung, Umfang und Methodik
- Detaillierte Beschreibung der identifizierten Schwachstellen, um diese nachvollziehen und mögliche Angriffe rekonstruieren zu können (ggf. mit Proof-of-Concept-Implementierungen)
- Detaillierte Beschreibung des iterativen Vorgehens bei der Ausnutzung verketteter Schwachstellen
- Risikobewertung der identifizierten Schwachstellen unter Berücksichtigung des IT-Umfelds bzw. des Anwendungskontextes (Risikoeinstufung: niedrig, mittel, hoch, kritisch)
- Beschreibung von Maßnahmen zur Behebung der Schwachstellen
- Falls erforderlich auch eine Beschreibung von übergeordneten strategie-, konzept- und prozessbezogenen Maßnahmen oder Optimierungsvorschlägen.