Avant de passer à la description de cas spécifiques, faisons une brève introduction au problème. Une voiture particulière typique de la dernière génération contient sous le capot non seulement le moteur, mais aussi plus de 100 millions de lignes de code. Même les modèles relativement simples ont environ 30 unités de commande électroniques (ECU) équipées de leurs propres processeurs et micrologiciels. Il peut y avoir plus d'une centaine de blocs de ce type dans les voitures de luxe. Pour communiquer entre eux, ces calculateurs sont connectés via un labyrinthe de bus numériques. Ici et CAN (Control Area Network), et Ethernet, et FlexRay, LIN et MOST. Ils fonctionnent tous à des vitesses différentes, transfèrent différents types de données et fournissent des connexions entre différentes parties du véhicule.
Ce sont les calculateurs qui contrôlent les fonctions critiques de la voiture: moteur, communications, alimentation en carburant, système de freinage et sécurité. Une partie du contrôle de ces composants est disponible via l'unité principale.
Les voitures modernes sont équipées de modules de géolocalisation, peuvent se connecter à Internet mobile et même utiliser les réseaux Wi-Fi publics. Un tel «smartphone sur roues», comme son homologue de poche plus compact, possède des interfaces sans fil et peut distribuer Internet à ses passagers.
Nous avons examiné la conception des réseaux automobiles de différents fabricants et constaté que, bien que chaque fournisseur les implémente différemment, toutes les architectures partagent des composants communs: passerelles, calculateurs, bus CAN, interfaces USB et sans fil. Malgré toutes les différences, ils remplissent des fonctions similaires et interagissent les uns avec les autres de la même manière. Sur la base de ces données, nous avons créé une architecture généralisée pour le réseau automobile.
Schéma fonctionnel d'un réseau typique d'une voiture connectée. Source: Trend Micro
Le diagramme montre que le véhicule connecté dispose d'interfaces réseau qui lui permettent d'être attaqué à distance. Le résultat de telles attaques peut être la compromission d'un ou plusieurs calculateurs et une interception complète du contrôle du véhicule. Considérons plusieurs cas de telles attaques et vulnérabilités qui ont été exploitées par des pirates.
Cas 1: Jeep Cherokee piraté à distance en 2015
En 2015, Charlie Miller et Chris Valasek ont collaboré avec le magazine Wired pour pirater à distance un Jeep Cherokee connecté .
Le journaliste a conduit sur l'autoroute, après quoi les chercheurs ont pris le contrôle des systèmes de sa voiture - ils ont allumé la musique et le climatiseur à pleine puissance, ont forcé les balais d'essuie-glace à fonctionner, puis ont réduit la vitesse de la voiture à 10 miles par heure, de sorte que les autres conducteurs ont klaxonné le participant à l'expérience, le dépassant. Le pire, c'est qu'il a complètement perdu le contrôle: des pirates ont pris le contrôle du système multimédia, de la climatisation et même de la pédale d'accélérateur.
Les chercheurs ont découvert un réseau IP de classe A que le constructeur, Chrysler, utilisait pour ses véhicules connectés. En scannant les ports ouverts, ils ont découvert que le port 6667 était ouvert dans chaque voiture, sur lequel le démon de messagerie D-Bus acceptait les commandes via Telnet sans authentification. Envoyant des commandes au démon D-Bus, Miller et Valasek ont complètement pris le contrôle du véhicule.
Chaîne d'attaque Jeep Cherokee. Source: Trend Micro
En général, lors du processus d'étude de la structure interne du Jeep Cherokee, les pirates ont trouvé beaucoup de choses intéressantes, par exemple:
- , CAN-IHS (CAN Interior High Speed), CAN-C (CAN Critical), Jeep ;
- Jeep , ;
- IP- Jeep -, — , Chrysler D-Bus, 6667;
- Renesas V850 OMAP (Open Multimedia Applications Platform) Chrysler — ( , SPI CAN CAN );
- CAN-, .
- — , , CAN- , V850, - ;
- CAN, ;
- un moyen d'usurper les messages CAN de vrais ECU ou de désactiver ces ECU afin que les messages CAN malveillants soient exécutés à la place de leurs commandes.
Notez que bien que nous parlions de voitures du même fabricant et d'une certaine génération, cette situation n'est pas du tout rare dans l'industrie - ce n'est pas un problème Chrysler, mais un problème systémique.
Cas 2: piratage de Tesla en 2016
En 2016, les spécialistes du laboratoire de sécurité Tencent Keen ont piraté un Tesla Model S.Pour attaquer, ils ont exploité une chaîne complexe de vulnérabilités pour compromettre les composants du réseau du véhicule et injecter des messages CAN malveillants.
Chaîne d'attaque sur Tesla Model S en 2016. Source: Trend Micro
- Les chercheurs ont installé un faux hotspot Tesla Guest, auquel tous les Tesla sont automatiquement connectés conformément à la norme du fabricant.
- Tesla, -, Linux CVS-2013-6282. AppArmor.
- , root- «», — , Parrot, Bluetooth Wi-Fi, CAN.
- CAN-.
- Tesla Model S CAN-, . , .
- , / .
- , , CAN-.
- ESP, ABS, .
3: Tesla 2017
Un an après une démonstration visuelle des vulnérabilités de Tesla, les experts de Tencent Keen ont vérifié dans quelle mesure la société d'Elon Musk travaillait sur les erreurs. Le résultat était un autre compromis du véhicule électrique.
Chaîne d'attaque sur Tesla Model S en 2017. Source: Trend Micro L'
attaque a commencé à partir du même faux hotspot Tesla Guest auquel la voiture s'est connectée en toute confiance. Ensuite, les chercheurs ont à nouveau exploité une vulnérabilité de navigateur basée sur le moteur Webkit. Bien que la vulnérabilité soit différente, le résultat est le même. Même la mise à jour du fournisseur du noyau Linux n'a pas aidé: les pirates ont de nouveau désactivé AppArmor et ont obtenu un accès root au CID.
Après cela, les chercheurs ont modifié le micrologiciel pour ignorer la vérification EDS de Tesla, puis ont piraté plusieurs œufs de Pâques intégrés au micrologiciel d'origine de la voiture. Malgré la nature divertissante des œufs de Pâques, ils ont eu accès à divers ECU, que les chercheurs ont utilisés.
Cas 4: piratage de BMW en 2018
Pour démontrer que Tesla n'est pas seul dans les problèmes de sécurité, Tencent Keen a développé trois options d'attaque pour les véhicules BMW: une attaque locale via USB / OBD-II et deux attaques à distance.
Le schéma de l'attaque contre BMW en 2018. Source: Trend Micro
La première attaque a utilisé l'exécution de code à distance dans BMW ConnectedDrive (un ensemble d'options de véhicules électroniques introduites en 2008) en interceptant le trafic HTTP:
- BMW ConnectedDrive HU-Intel BMW 2G 3G (TCB) HTTP, GSM GPRS- ;
- , , , URL; GSM, WebKit;
- -, root- HU-Jacinto, CAN;
- le résultat était la possibilité d'utiliser la fonction CanTransmit_15E2F0 pour envoyer des messages CAN arbitraires.
La deuxième variante d'une attaque à distance est plus complexe et exploite les vulnérabilités TCB via des SMS non sécurisés.
Conclusions et Recommendations
Les voitures connectées ne sont qu'un composant d'un réseau de transport intelligent, un écosystème complexe de millions de connexions, de points d'extrémité et d'utilisateurs. Cet écosystème comprend quatre composantes principales:
- la voiture réellement connectée;
- un réseau de données qui permet au véhicule connecté de communiquer avec le backend;
- backend - serveurs, bases de données et applications qui assurent l'interaction de l'ensemble de l'infrastructure de transport intelligent;
- un centre de sécurité des véhicules (VSOC), qui collecte et analyse les notifications du reste du réseau de transport intelligent.
La complexité du système de transport intelligent a atteint un niveau tel qu'il est extrêmement difficile de prédire vers quelle partie du périmètre la prochaine attaque sera dirigée. A cet égard, la protection des véhicules connectés ne se limite pas aux logiciels et à l'électronique du véhicule. Il est également nécessaire d'assurer la sécurité du backend et du réseau de données.
Architecture combinée de voitures connectées. Source: Trend Micro
Pour la protection de la voiture:
- pour utiliser la segmentation du réseau dans le réseau automobile, en séparant les nœuds critiques des nœuds «divertissement et utilisateur». Cela réduit le risque de mouvement latéral et améliore la sécurité globale.
- ISO SAE. — ISO/SAE 21434 , .
- , , . ISO 31000.
- ISO/IEC 27001.
- ISO/AWI 24089 « — »
:
- ;
- ;
- .
-:
- , ;
- (NGFWs)/ (UTM), , (IPS), (IDS), , -, , ;
- ;
- , -, — ;
- (BDS);
- IPS IDS — , .