Physical-layer intrusion detection for the CAN Bus: a voltage-based approach against transport-layer attackers

The Controller Area Network (CAN) bus is the backbone of in-vehicle communication in modern automobiles, yet it was designed with no security mechanisms: no authentication, no encryption, and no access control. Any node on the bus can read every frame and inject frames with any identifier. This design weakness, acceptable when vehicles were closed systems, has become a significant vulnerability as cars gain wireless connectivity and expose standardized diagnostic interfaces to the outside world. Intrusion Detection Systems (IDSs) have been proposed to address CAN bus threats. Payload-based, timing-based, and physical-layer fingerprinting approaches have demonstrated effectiveness against conventional attackers that operate through the intact CAN controller (the Conventional Remote Attacker Model, CRAM). However, recent work has demonstrated that a class of software-only techniques – peripheral clock gating (CANnon) and pin conflict exploitation (CANflict) – allows a compromised ECU to bypass the CAN controller entirely and manipulate individual bus bits in real time. This Enhanced Remote Attacker Model (ERAM) undermines existing defences, including physical-layer IDSs, through fingerprint corruption, partial-frame attacks, and short-pulse injections. This thesis investigates whether a physical-layer IDS can maintain effectiveness against an ERAM attacker. The key insight is that an ERAM attacker, while gaining full data-link layer control, still uses the victim ECU’s physical CAN transceiver, whose analog output characteristics cannot be altered through software alone. A lightweight IDS is proposed that monitors the CAN bus differential voltage (VCAN-H − VCAN-L ) in real time, deriving a detection threshold (µ + 3σ) from a baseline capture of clean traffic and correlating two voltage-anomaly rules with CAN error flags detected in real time by a protocol-aware frame counter operating at 1 MSa/s. The system was evaluated on a laboratory test bed against an ERAM-class bus-off attack implemented via the CANflict technique. A baseline session of 126.1 seconds and over 65 million samples produced zero false positives and zero rule fires. Two dedicated bus-off attack sessions achieved 100% error-flag detection rates (16/16 and 19/19 error flags confirmed by preceding voltage anomalies). A sustained attack session of 127.4 seconds with 575 error flags achieved an overall detection rate of 89.6% (515/575 confirmed). These results demonstrate the feasibility of error-flag-correlated voltage monitoring as a first step toward ERAM-aware physical-layer intrusion detection.

Il Controller Area Network (CAN) bus costituisce il cuore della comunicazione interna dei veicoli moderni, ma è stato progettato senza alcun meccanismo di sicurezza: nessuna autenticazione, nessuna cifratura e nessun controllo degli accessi. Qualsiasi nodo sul bus può leggere ogni frame e iniettarne di nuovi con qualsiasi id. Questa debolezza progettuale, accettabile quando i veicoli erano sistemi chiusi, è diventata una vulnerabilità significativa con la diffusione della connettività wireless e l’esposizione di interfacce diagnostiche standardizzate verso l’esterno. Per contrastare le minacce al bus CAN sono stati proposti sistemi di rilevamento delle intrusioni (Intrusion detection Systems, IDS). Gli approcci basati sul payload, sulla temporizzazione e sul fingerprinting a livello fisico hanno dimostrato efficacia contro gli attaccanti convenzionali, che operano attraverso il controller CAN intatto (Conventional Remote Attacker Model, CRAM). Tuttavia, ricerche recenti hanno dimostrato che una classe di tecniche puramente software — il blocco del clock periferico (CANnon) e lo sfruttamento di conflitti tra pin (CANflict) — consente a un ECU compromessa di aggirare completamente il controller CAN e manipolare i singoli bit sul bus in tempo reale. Questo Enhanced Remote Attacker Model (ERAM) mina le difese esistenti, inclusi gli IDS a livello fisico, attraverso la corruzione delle fingerprint, attacchi su frame parziali e l’iniezione di impulsi. Questa tesi indaga se un IDS a livello fisico possa mantenere la propria efficacia contro un attaccante ERAM. L’intuizione chiave è che un attaccante ERAM, pur acquisendo pieno controllo del livello data-link, utilizza comunque il transceiver CAN fisico dell’ECU vittima, le cui caratteristiche di uscita analogica non possono essere modificate via software. Si propone un IDS leggero che monitora in tempo reale la tensione differenziale sul bus CAN (VCAN-H − VCAN-L ), derivando una soglia di rilevamento (µ + 3σ) da una sessione di acquisizione di traffico pulito, e correlando due regole di anomalia di tensione con gli error flag CAN rilevati in tempo reale da un contatore di frame protocol-aware operante a 1 MSa/s. Il sistema è stato valutato su un testbench di laboratorio contro un attacco bus-off di classe ERAM implementato tramite la tecnica CANflict. Una sessione di riferimento di 126,1 secondi e oltre 65 milioni di campioni ha prodotto zero falsi positivi e zero attivazioni delle regole. Due sessioni dedicate di attacco bus-off hanno raggiunto un tasso di rilevamento degli error flag del 100% (16/16 e 19/19 error flag confermati da anomalie di tensione precedenti). Una sessione di attacco sostenuto di 127,4 secondi con 575 error flag ha raggiunto un tasso di rilevamento complessivo dell’89,6% (515/575 confermati). Questi risultati dimostrano la fattibilità del monitoraggio di tensione correlato agli error flag come primo passo verso un rilevamento delle intrusioni a livello fisico consapevole dell’ERAM.