CANguru : a reliable intrusion detection system for CAN and CAN FD networks

In the last years, the automotive industry experienced an enormous evolution and expansion, leading to more complex in-vehicle networks and an always higher number of on-board Electronic Control Units (ECUs). The communication within the vehicle is often performed through the Controller Area Network (CAN) bus protocol. The CAN protocol (and the following Controller Area Network with Flexible Data-rate (CAN FD) protocol) is considered the de-facto standard in the automotive industry, providing real-time reliable and efficient transmission. Cars are now more and more connected with each other and with internal and external devices, such as the smartphones through WiFi, Bluetooth or Global Positioning System (GPS) connections. Furthermore, autonomous self-driving cars are nowadays under development or under testing. However, CAN, CAN FD and other protocols for in-vehicle networks were initially designed with little or no concern about security. In particular, messages are not authenticated and attackers can transmit spoofed messages on the bus. Current Intrusion Detection Systems (IDSs) detect these messages, but an attacker can avoid this defense by first disconnecting the target Electronic Control Unit (ECU) and then spoof the messages. In this work we present CANguru, an Intrusion Detection System (IDS) made of two components: the first leverages the CAN and CAN FD specifications, in particular the fault confinement mechanism, to detect ECU’s disconnections by keeping track of the victim’s Transmission Error Counter (TEC). The second component performs a frequency analysis on time intervals between frames on the network in order to detect attack attempts. Subsequent spoofed messages are marked as an attacks and our device immediately reacts accordingly. Our work only needs to be installed on the network, without any modification to other ECUs or to the structure of the network.

Negli ultimi anni, l’industria automobilistica ha vissuto un’enorme evoluzione ed espansione, rendendo sempre più complesse le reti interne ai veicoli e aumentando sempre più il numero di centraline elettroniche (ECU). La comunicazione all’interno del veicolo viene spesso eseguita tramite il protocollo CAN. Il protocollo CAN, sviluppato da Bosch nel 1986 (e la versione seguente chiamata CAN FD del 2011) è considerato lo standard di fatto all’interno dell’industria automobilistica, principalmente per il fatto che garantisce una comunicazione affidabile ed efficiente in tempo reale, caratteristiche ideali per quanto riguarda le automobili. Il suo utilizzo non si limita però al solo settore automobilistico, infatti è utilizzato anche all’interno dei sistemi elettronici di navi, di impianti di controllo industriale, nel settore aerospaziale e nel settore medico. Le auto sono ormai sempre più connesse tra loro e ai vari dispositivi sia interni che esterni, come ad esempio gli smartphone connessi tramite WiFi o Bluetooth o il sistema di Global Positioning System (GPS). Inoltre, le auto a guida autonoma sono al giorno d’oggi in fase di sviluppo o in fase di test, talvolta anche aperti al pubblico. Questi veicoli presentano una combinazione di sensori, telecamere, radar e sistemi di controllo il cui corretto funzionamento è fondamentale per garantire la sicurezza dei passeggeri e degli altri veicoli in strada. Tuttavia, CAN, CAN FD e altri protocolli utilizzati per le reti interne sono stati inizialmente progettati con poca o nessuna attenzione per la sicurezza informatica. In particolare, i messaggi trasmessi sul CAN bus non sono autenticati ed essendo CAN un protocollo broadcast (in cui ogni messaggio viene inviato a tutti i dispositivi connessi al bus), gli attaccanti possono quindi trasmettere messaggi contraffatti sul bus. Gli attuali IDSs rilevano la presenza di questi messaggi, ma un attaccante può evitare questa difesa scollegando prima una particolare ECU e poi falsificando i messaggi corrispondenti. Questo attacco è uno dei più pericolosi dato che è anche uno dei più difficili da rilevare, e inoltre può rappresentare una grave minaccia per la sicurezza dei passeggeri. Le ECU più critiche sono infatti quasi sempre isolate rispetto alle altre e inaccessibili per un attaccante, ma in questo modo (attaccando una ECU diversa, non critica) l’attaccante ha l’obiettivo di prendere il controllo di un’altra ECU per poi influenzare il funzionamento di quelle più critiche. Per contrastare questo tipo di attacco, in questa tesi presentiamo CANguru, un Intrusion Detection System (IDS) composto da due parti: la prima parte sfrutta direttamente le specifiche dei protocolli CAN e CAN FD, in particolare il meccanismo di confinamento dei guasti, per rilevare le disconnessioni delle ECU tenendo traccia dello specifico contatore degli errori (TEC) della vittima. La seconda parte esegue un’analisi di frequenza sugli intervalli di tempo tra i messaggi trasmessi sul bus in modo da rilevare comportamenti anomali come tentativi di attacco. I successivi messaggi falsificati che vengono letti sul bus sono quindi contrassegnati come un attacco e il nostro dispositivo reagisce immediatamente di conseguenza. A differenza di altre soluzioni proposte in precedenza, il nostro dispositivo non ha bisogno di particolari accorgimenti per poter funzionare. Infatti, deve solo essere installato nella rete, senza necessità di effettuare alcuna modifica ad altre ECU o alla struttura della rete.