On the security of connected vehicles

Modern vehicles cannot be defined mere mechanical devices anymore. They are composed of up to two hundreds microcontrollers and computers, sensors and electronic actuators interconnected through on-board networks. The development of these units and their connection with the outside world through cellular data, bluetooth and other communication protocols led to major advancements in the safety and efficiency of the vehicle and will enhance these two property even more in the next years, but on the downside it introduced a range of new issues and risks derived from the reachability of the vehicle from remote. This led, not more than fifteen years ago, to the birth of the automotive security field, whose goal has been and still is to secure vehicles and their passengers. We propose a survey of the whole automotive security field which will tackle all the main known issues of the new and developing automotive systems: we start from a threat model that helps us presenting the main security requirements that have to be enforced, and through those requirements we highlight the current state of the art of both the academic and market solutions that have been proposed, focusing on the feasibility of those which have not yet been implemented. Finally, to complete the overview on the whole field, we propose a case study unit currently on the marketto analyze the issues relative to its design.

L’automobile è decisamente il mezzo di trasporto più usato al mondo e dalla sua nascita si è visto cambiare continuamente: da un lato ci sono state e sono tuttora in corso le migliorie continuamente apportate ai nuovi motori sia in termini di prestazioni che di efficienza, in aggiunta a tutte le nuove miscele di carburanti che portano a emissioni minori e più ecologiche. Considerando i materiali utilizzati, i nuovi copertoni e le nuove carrozzerie sono stati appositamente pensati per portare ad un’ evoluzione della sicurezza che ha salvato migliaia di vite evitando o contenendo i numerosi incidenti. Di sicuro oltre a tutte queste migliorie tradizionalmente correlate con il concetto di automobile negli ultimi 40 anni un altro ambito che ha fortemente influenzato lo sviluppo dei veicoli su ruote è stato quello dell’integrazione nel veicolo di hardware e software informatico. In un moderno veicolo possiamo infatti trovare milioni di righe di codice eseguite su decine di diverse centraline elettroniche di controllo (ECU). Queste ECU, nate come mezzi per rendere più sicura la guida tramite l’attivazione di misure quali airbag e ABS ormai sono utilizzate per ogni aspetto dell’automobile, dall’apertura elettronica alla frenata assistita all’assistenza nel mantenimento della corsia in autostrada. Queste centraline di conseguenza sono direttamente responsabili di strumenti che proteggono l’incolumità dei passeggeri del veicolo, il che li rende elementi estremamente pericolosi se utilizzati per scopi malevoli. Nello sviluppo di tali centraline e delle varie reti che le connettono tra di loro all’interno dell’automobile ovviamente questo fattore è stato considerato come elemento di grande importanza e ci si è sempre assicurati che non potessero essere fonte di danno invece che di aiuto alla guida. Lo sviluppo del settore delle telecomunicazioni che ha permesso, negli ultimi trent’anni, la produzione di massa di tecnologie per connessioni senza fili quali GSM, Bluetooth, WiFi e così via, è stato poi applicato, approssimativamente dagli anni 2000, anche al settore automobilistico: Le case produttrici di automobili e centraline hanno potuto grazie all’ormai irrisorio costo di tali tecnologie implementare direttamente nella rete interna dell’auto dei mezzi di comunicazione con l’esterno. Queste nuove tecnologie hanno aumentato nuovamente sia la sicurezza fisica che le comodità accessibili dal veicolo, basti pensare a quanto sia comodo avere un navigatore GPS invece che dover studiare le mappe cartacee prima di intraprendere un viaggio. Sfortunatamente tutte queste comodità hanno portato con loro anche un importante lato negativo che tuttora non è stato risolto: permettere connessioni da remoto alla rete interna dell’automobile che ne preserva l’affidabilità cambia completamente il modello di attacco relativo al veicolo. Se una volta un malintenzionato, vuoi per furto o per nuocere a qualcuno, doveva essere fisicamente a contatto con il veicolo ora non è più così. Elemento aggravato dal fatto che le reti interne dell’automobile non sono state progettate per essere sicure contro un attaccante e di conseguenza da questo punto di vista piene di falle intrinseche derivanti da protocolli ormai diventati standard. Le minacce derivanti dai fattori appena descritti sono fortunatamente già state definite e sono stati presi in parte provvedimenti al riguardo, aumentando i livelli di sicurezza delle reti interne e usando un occhio di riguardo nell’implementazione delle varie centraline, cercando di renderle il più possibile sicure. Negli anni sono stati dimostrati vari tipi di attacchi che possono nuocere direttamente all’incolumità del passeggero del veicolo e sono state proposte varie soluzioni per poter bloccare tali attacchi, ma la strada da fare è sicuramente ancora molto lunga, soprattutto a causa del fatto che lo sviluppo del campo automotive non si è decisamente fermato negli ultimi anni, proponendo nuovi mezzi di comunicazione in particolare tra due veicoli adiacenti, in modo da potersi comunicare a vicenda incidenti, code, pericoli e informazioni di vario tipo. Nello studio di questo ambito della sicurezza informatica uno degli elementi che rende più difficile informarsi e approfondire le conoscenze su specifici elementi che lo compongono è la mancanza, ad oggi, di uno studio a 360 gradi che permetta al lettore di avere un idea di quali sono tutti i problemi ad oggi conosciuti di questo campo e quali proposte sono già state fatte, verso cosa si stanno facendo nuovi passi e come e se si sta prendendo in considerazione la sicurezza informatica nel farli. Questo è ciò che ci proponiamo di fare in questa tesi: Il primo passaggio è produrre un threat model che ci permetta di mettere in luce i requisiti di sicurezza dell’ambiente. Abbiamo riproposto un threat model precedentemente prodotto nel 2009 relativamente al campo V2X e lo abbiamo esteso considerando anche le reti interne del veicolo, concludendo che ci sono tre requisiti di sicurezza fondamentali a seconda dell’elemento considerato all’interno dell’automobile che sono autenticazione, anonimità e disponibilità dei dati. Seguendo questi requisiti di sicurezza ci siamo quindi concentrati sullo studio delle proposte fatte sia dal mondo accademico che quello aziendale relative all’ambito della sicurezza automotive, e siamo arrivati a proporre uno studio completo delle varie proposte analizzando se e come riescono ad assicurare tali requisiti. Lo studio è molto incentrato sulla fattibilità delle varie proposte, sopra tutte quelle derivanti dal mondo accademico: per ogni proposta vengono presi in considerazione, oltre ai benefici, la complessità di applicazione, l’effettiva sicurezza che la soluzione può apportare e i costi da sostenere per applicarla. Non ci siamo permessi di dare giudizi finali sull’effettiva validità di una proposta, benché abbiamo espresso, dove necessario, i dovuti dubbi. Per concludere la tesi abbiamo proposto un caso di studio: in tutta l’analisi precedente manca un elemento "umano", ovvero la possibilità di applicare in modo scorretto un metodo che di per sé non dovrebbe avere falle. Abbiamo voluto fare la valutazione della sicurezza di una centralina elettronica di controllo per studiarne il codice, l’hardware e le connessioni. Ovviamente di per sé lo studio della singola centralina non porta a dare conclusioni generali riguardo ai livelli di sicurezza applicati da tutte le aziende ma può fare da esempio per sapere su cosa concentrarsi nella ricerca di elementi fallaci.