Automotive Security Assessment
Durch die stark zunehmende Vernetzung und Digitalisierung im Automobilumfeld, wird auch die potentielle Angriffsoberfläche für heutige und zukünftige Fahrzeuge immer größer. Bereits 2015 zeigten Sicherheitsforscher durch den sogenannten Jeep-Hack des Jeep Cherokees, welche schwerwiegenden Folgen vorhandene Schwachstellen im Fahrzeugumfeld haben können. Denn insbesondere bei Fahrzeugen stellen IT-Sicherheitsrisiken durch den physischen Kontext oftmals auch eine direkte Bedrohung der Gesundheit bzw. der körperlichen Sicherheit (Safety) von Personen dar. Aber auch der Zugriff auf personenbezogene Daten (z.B. die aktuelle Position und das Fahrverhalten) oder das Erschleichen kostenpflichtiger Dienste sind denkbare Angriffsszenarien.
Um diesen Sicherheitsrisiken gerecht zu werden, definiert die seit August 2021 verabschiedete Norm ISO/SAE 21434 verschiedene Maßnahmen zur Entwicklung sicherer Fahrzeuge. Hierzu zählt auch die Überprüfung auf Schwachstellen durch entsprechende Security Assessments als eine zentrale Maßnahme zur Vermeidung von Angriffen mit hohem Schadenspotential. Die Norm gilt zudem als wichtiger Baustein für die Typgenehmigung nach der UNECE-Regelung R 155, die eine Zertifizierung von Fahrzeugherstellern hinsichtlich eines Cyber Security Management Systems fordert.
Seit 2022 stellt die Regulierung UNECE R 155 explizite Anforderungen an die Sicherheit von Fahrzeugen, ohne deren Erfüllung keine neuen Typgenehmigungen erteilt werden. Zur Erfüllung dieser Sicherheitsanforderungen für die Homologation können sich Hersteller und Zulieferer an den Empfehlungen der ISO/SAE 21434 Norm orientieren, die alle Phasen des Lebenszyklus eines Fahrzeugs abdeckt und unter anderem auch die Durchführung von Security Assessments fordert.
Im Rahmen eines Automotive Security Assessments analysieren wir einzelne Steuergeräte oder auch ganze Fahrzeuge hinsichtlich relevanter Angriffsszenarien und berücksichtigen dabei die entsprechenden regulatorischen Anforderungen.
Ziel
Identifikation von Schwachstellen in Steuergeräten und Bewertung des Risikos hinsichtlich spezifischer Bedrohungsszenarien
Fragestellung
Wie sicher ist das Fahrzeug bzw. das Steuergerät und was können externe Angreifer bzw. böswillige Benutzer und Mitarbeiter im schlimmsten Falle erreichen?
Scope
Fahrzeuge oder Steuergeräte inkl. der Hardware und Schnittstellen
Ablauf
Bei einem Automotive Security Assessment wird sowohl die Hardware als auch die Software von Steuergeräten betrachtet und hinsichtlich vorhandener Schwachstellen analysiert. Dabei nimmt der Prüfer die Perspektive externer Angreifer und auch privilegierter Benutzer ein. Beispiele für Angriffsversuche reichen vom Auslesen von Speicherchips, über Man-in-the-Middle-Angriffe, bis hin zum Eindringen in die Systeme durch das Ausnutzen von Schwachstellen in exponierten Schnittstellen (z.B. CAN, Ethernet, Bluetooth oder USB).
Grundsätzlich erfolgt das Assessment mit dem Ansatz einer möglichst umfassenden Prüfung. Abhängig von der Art der Anwendung bzw. des Systems und der relevanten Bedrohungen ist jedoch auch ein risikobasierter Ansatz möglich (vergleichbar mit einem Penetrationstest ). Dabei wird der Fokus auf besonders sicherheitskritische bzw. gefährdete Bereiche gerichtet, wobei sich der Prüfungsumfang aus dem im Vorfeld vereinbarten Zeitbudget ergibt.
Bestandteile
Das Automotive Security Assessment umfasst üblicherweise folgende Punkte:
- Prüfung des Betriebssystems und der Firmware (z. B. Härtungsmaßnahmen, laufende Dienste, AUTOSAR-Konfiguration oder Analyse von Hex-Files)
- Prüfung Update-Prozesse (z. B. Signaturprüfung und Authentisierung)
- Prüfung des Diagnosezugriffs (z. B. zertifikatsbasierte Authentisierung oder Zugriff via XCP)
- Prüfung spezieller Sicherheitsmaßnahmen (z. B. Secure Boot oder HSM-Integration)
- Prüfung der Hardware (z. B. Auslesen von Speicherchips, Zugriff über Debug-Schnittstellen)
- Prüfung der ECU-internen Kommunikation (z. B. Datenübertagung zwischen verschiedenen Chips oder Prozessoren)
- Prüfung der Fahrzeug-internen Kommunikation (z. B. über CAN, FlexRay, Ethernet oder LIN)
- Prüfung der Kommunikation mit externen Komponenten und Backend-Diensten (z. B. über Bluetooth, NFC, WLAN oder Mobilfunk)
- Prüfung der Anwendungsebene (z. B. Benutzereingaben oder Backup-Funktionen von Head Units)
- Dokumentation inklusive Risikobewertung und Maßnahmenbeschreibung
Bei Bedarf kann das Assessment durch eine Source Code Analyse und Konzeptanalyse erweitert werden. Hierbei können auch Sicherheitsaspekte von Produktionsprozessen der Zulieferer berücksichtigt werden, wie beispielsweise Schlüsselverwaltung und -integration während der Herstellung.
Ergebnis
Als Ergebnis des Assessments erhalten Sie einen ausführlichen Abschlussbericht. Abhängig von Art und Umfang des Projekts umfasst der Abschlussbericht folgende Bestandteile:
- Management Summary mit Zusammenfassung der Ergebnisse und des Sicherheitsniveaus
- Beschreibung Projektablauf, Zielsetzung, Umfang und Methodik
- Detaillierte Beschreibung der identifizierten Schwachstellen, um diese nachvollziehen und mögliche Angriffe rekonstruieren zu können (ggf. mit Proof-of-Concept-Implementierungen)
- Detaillierte Beschreibung des iterativen Vorgehens bei der Ausnutzung verketteter Schwachstellen
- Risikobewertung der identifizierten Schwachstellen unter Berücksichtigung des IT-Umfelds bzw. des Anwendungskontextes (Risikoeinstufung: niedrig, mittel, hoch, kritisch)
- Beschreibung von Maßnahmen zur Behebung der Schwachstellen
- Falls erforderlich auch eine Beschreibung von übergeordneten strategie-, konzept- und prozessbezogenen Maßnahmen oder Optimierungsvorschlägen.