Moderne Fahrzeuge sind durch die zunehmende Anzahl von Anwendungsfallen, die einen Online Zugang erfordern, vor ernsthafte Herausforderungen gestellt. Denn damit werden Bordnetze unbekannten Angriffen aus dem Internet ausgesetzt. Es wird eine Methode vorgestellt, um mit Hilfe einer verhaltensbasierten Policy auf Standard Automotive Hardware unautorisierte Interaktion zwischen unbekannter Malware und dem Fahrzeugbordnetz zu unterbinden. Ideal wäre eine Physikalische Trennung der unterschiedlichen Domänen. Dies lässt sich aber im Automobil nicht erreichen, denn die Kommunikation der Infotainment Plattform mit dem Bordnetz ist eine Anforderung der Fahrzeughersteller und auch der Trend zu wenigen aber dafür mächtigeren Steuergeräten läuft dem zuwider. Dennoch müssen die Trustdomains voneinander separiert sein. Im Falle der Angreifer aus dem Internet kann dies auch virtuell geschehen, indem die Trennung der Hardware durch Separation Kernel simuliert wird. Durch die geringe Codebasis wird hier das Risiko von Programmierfehlern reduziert. Zudem besteht hierbei die Möglichkeit einer formalen Verifizierung der korrekten Funktionsweise eines solchen Separationkernels. Pro Trustdomain wird vom Separationkernel eine Partition bereitgestellt, in der dann das auf die jeweilige Domäne zugeschnittene Betriebsystem (OS) läuft. Im Automobilen Umfeld werden hier Windows-, Linux-, Android- und Autosar-Betriebsysteme diskutiert. Dabei soll der Austausch von Informationen zwischen den verschiedenen Domänen nur auf den Austausch von Daten über Proxies beschränkt sein. Diese Proxies kapseln den Zugriff von Applikationen auf Bus-Interfaces. Um hier ein möglichst hohes Sicherheitsniveau zu erreichen, ist eine Unterstützung des Separationkernels durch die zugrunde liegende Hardware wünschenswert, die in Ergänzung der MMU (memory mangagement unit) für die Kontrolle des Zugriffs von Applikationen auf den RAM - Speicher eine sogenannte IOMMU (input/output memory management unit) bieten, die auch den Zugriff auf die Peripherie einer Infotainment Plattform, z.B. CAN Controler, bietet. Dadurch wird eine Manipulation der Kommunikationswege durch bösartige Applikationen sehr aufwendig. Für die Kontrolle der ausgetauschten Daten sind Überwachungsinstanzen notwendig, die selbst nicht von den unbekannten nachladbaren Applikationen manipuliert werden können. Diese Überwachungsinstanzen (Watchdog) monitoren den Datenfluss und entscheiden anhand eines Regelwerks (Policy), welche Daten zur Weiterleitung freigegeben werden und welche geblockt werden müssen. Das Regelwerk setzt dabei keine Kenntnis der Applikationen voraus, die auf Bordnetze zugreifen wollen. Damit kann auch unbekannte Malware nicht auf unzulässige Weise mit dem Fahrzeug kommunizieren, z.B. indem persönliche Daten aus dem Fahrzeug ausgelesen werden. Damit auch obiges Verfügbarkeitserfordernis abgedeckt werden kann, muss die Überwachungsinstanz auch in der Lage sein, die Quelle von erkanntem Fehlverhalten zu isolieren und nach Möglichkeit zu neutralisieren.


    Zugriff

    Zugriff über TIB

    Verfügbarkeit in meiner Bibliothek prüfen

    Bestellung bei Subito €


    Exportieren, teilen und zitieren



    Titel :

    Ableitung von a priori Policies zum Schutz von Bordnetzen in Fahrzeug vor Angriffen aus dem Internet


    Weitere Titelangaben:

    Derivation of a priori policies for the protection of automotive on-board networks against attacks from Internet


    Beteiligte:


    Erscheinungsdatum :

    2011


    Format / Umfang :

    10 Seiten, 9 Bilder, 4 Quellen



    Medientyp :

    Aufsatz (Konferenz)


    Format :

    Print


    Sprache :

    Deutsch