A study on CAN filtering techniques

In the last few years, computer science has been the subject of some important advancements. Right now, we can assume that most of the industry uses computers or electronic components as part of their business. The automotive industry is one of the best examples we can provide to the reader. ECUs, electronic units for cars, have been used since many years. Initially, they were used only to achieve relatively simple objectives, as starting the engine. Then, automotive manufacturers have started to use them to provide safety functionalities, like ECUs for Lane Departure Warning (LDW) and Anti-lock Braking System (ABS). We would like to spend some words on safety and security. Safety is usually referred to the minimization of consequences of accidents. Security is related to the ability to reduce risks of malicious attacks. The automotive industry perfectly shows why these two concepts can be very much related to each other but still different. While we consider safety awareness to be common knowledge, we think that still a lot should be done regarding automotive security. Only in recent years, researchers have started to identify what security by design means for the automotive industry. We believe the industry to be in a transition phase, where manufacturers have started to install connected and more complex ECUs without considering how a bigger surface of attack may influence the security of other ECUs and, as consequence, the security of the vehicle itself. To help this transition, we propose a study on filtering techniques for automotive networks, especially focused on CAN standard, one of the most famous automotive standards. Our proposal should be considered as a last resort protection mechanism that can help in maintaining the integrity of a vehicle when an ECU is already in control of an attacker. Then, we perform some analysis on the impact of a possible gateway implementation, especially regarding the introduced latency. We then realize a working implementation of our firewall model and we test it against some simulated attacks in a test environment. This work doesn’t aim to provide an attack model with threat and risk analysis regarding the automotive world. We consider this to be a field very well explored by many companies and researchers (i.e. McAfee, Checkoway, Miller, Valasek, etc).

Negli ultimi decenni l’informatica è stata oggetto di importanti evoluzioni che l’hanno portata ad entrare in ogni ambito dell’industria. Il settore automotive ne è l’esempio perfetto: ci mostra come l’informatica abbia inizialmente fornito un piccolo contributo all’industria e di come sia poi diventata indispensabile per aumentare il livello di sicurezza sulle strade. Ad esempio le centraline, in gergo ECU, fornivano supporto a pochi componenti fondamentali, assicurandone entro certi limiti il corretto funzionamento. Oggi le centraline hanno diverse tipologie di utilizzo: dal controllo dell’antifurto al sistema multimediale. Non solo: le centraline oggigiorno gestiscono la maggior parte dei meccanismi di sicurezza dell’automobile. Ci sono sensori in grado di avvisare il guidatore in caso venga rilevata sonnolenza; trasduttori che sono in grado di evitare il pattinamento delle ruote quando si riscontra poca trazione. Questi, insieme alla ricerca e sviluppo sui materiali costruttivi e sui componenti meccanici, hanno reso il veicolo progressivamente più safe. Non esiste una traduzione che ci permetta di distinguere in modo netto il termine safety dal termine security. Sono caratteristiche molto legate tra loro ma intrinsecamente diverse. Vengono accomunate da essere entrambe oggetto di una continua ricerca. Ambire alla safety significa progettare e realizzare meccanismi e processi che possano proteggere un sistema da incidenti. Ricercare security implica studio e applicazione di stratagemmi per limitare gli effetti di potenziali attacchi malevoli. Riteniamo che l’ambito automotive rispecchi l’essenza di questa differenza e dimostri come la sensibilizzazione a questi due argomenti sia arrivata con tempistiche differenti. Da un lato l’industria automotive si è focalizzata per anni sulla safety, cercando tecnologie che potessero salvaguardare l’auto e i passeggeri da possibili imprevisti. Dall’altro sono state introdotte centraline e sensori connessi tramite Bluetooth, WiFI o GSM, che hanno esposto questi meccanismi di safety ad attacchi informatici, dimostrando come talvolta l’industria abbia sottovalutato l’aspetto security. È lecito aspettarsi che con il crescere della complessità di un sistema possano manifestarsi criticità di sicurezza informatica. L’avvento di Internet ha destabilizzato il mondo informatico, specialmente da un punto di vista di security. Sono lentamente venute alla luce criticità di sistemi che non erano stati concepiti e realizzati tenendo conto della enorme superficie di attacco a cui poi sarebbero stati esposti. Analogamente le centraline di un’automobile e talvolta l’intera rete di interconnessione oggi manifestano problemi di sicurezza che 30 anni fa non potevano essere previsti. Sono molti i lavori di ricerca che hanno dimostrato come i processi e le misure di security di cui i computer sono provvisti da anni, siano talvolta insufficienti o addirittura inesistenti nel caso si parli di automobili. Mentre l’industria viene sensibilizzata da questi studi e da nuovi standard che favoriscono il security by design, il nostro lavoro è incentrato sulla situazione attuale, in cui periferiche connesse convivono con centraline non hardenizzate. Proponiamo un’architettura firewall che cerchi di limitare i danni in caso in cui una centralina sia già sotto controllo di un attaccante con intenzioni malevole. La nostra architettura è pensata e testata su CAN, uno degli standard più noti del mondo automotive, su cui sono già state fatte analisi riguardanti le vulnerabilità intrinseche. Dopo avere analizzato lo stato dell’arte e aver confrontato la nostra proposta con due soluzioni già esistenti, definiamo una serie di semplici attacchi da analizzare e da replicare, analizzando l’impatto che un gateway potrebbe avere a livelli di latenza. Infine realizziamo e testiamo il nostro modello su una rete riprodotta in laboratorio. Non ci proponiamo invece di definire un modello di attacco e di identificare le minacce relative al mondo automotive, in quanto riteniamo che la ricerca ne abbia già identificato le caratteristiche fondamentali.