Securing robotaxi communications: threat modelling, requirement analysis, and on-vehicle validation

Shared autonomous vehicles – commonly called robotaxis – are rapidly transitioning from experimental platforms to commercial products. A robotaxi converges two established automotive paradigms – the connected fleet vehicle and the private autonomous vehicle – inheriting the cybersecurity challenges of both, while introducing new threats with the enhanced communication channel between the vehicle and the remote supervision station. Despite the critical role of the communication channel, the literature mainly focuses on intra-vehicle vulnerabilities, V2X communication and connected AVs – especially by not considering the performance impact of typical mitigations. This thesis studies the problem in three steps. First, a STRIDE-based threat analysis of a shared AV model – built from a fleet vehicle and a private AV – identifies the novel threats specific to the station-to-vehicle channel. Second, the resulting mitigations are translated into concrete security and performance requirements, and existing solutions are evaluated to determine whether they are sufficient for this use-case. Third, these requirements are implemented and validated on a real-world case – the AIDA autonomous vehicle developed at Politecnico di Milano, on which the new car-sharing startup Niulinx is based. The analysis shows that, while the shared AV paradigm presents genuinely novel threats, the established building blocks of cybersecurity – such as TLS authentication and encryption, identity certificates, VPN encapsulation – transfer effectively with only minor adaptation. Evaluation on a LAN and directly on vehicle hardware confirms their viability: the fully secured configuration adds minimal resource overhead, while respecting the identified latency and quality of service bounds. Securing the station-to-vehicle channel is both necessary and achievable with existing tools, with intrusion detection and secure over-the-air updates remaining as the main directions for future work.

I veicoli a guida autonoma condivisi, noti come robotaxi, sono in piena transizione da piattaforme sperimentali a prodotti commerciali. Un robotaxi coniuga due paradigmi automobilistici (il veicolo di flotta connesso e il veicolo autonomo privato), ereditando le sfide di sicurezza di entrambi e introducendo nuove minacce legate al canale di comunicazione tra veicolo e stazione di supervisione remota. Nonostante il ruolo critico di tale canale, la letteratura si concentra principalmente sulle vulnerabilità intra-veicolari, sulle comunicazioni V2X e i veicoli autonomi connessi, trascurando inoltre l’impatto prestazionale delle mitigazioni. Questa tesi affronta il problema in tre fasi. In primo luogo, un’analisi delle minacce basata sul framework STRIDE, applicata a un modello di veicolo autonomo condiviso, individua le vulnerabilità specifiche del canale stazione-veicolo. Successivamente, le mitigazioni individuate vengono tradotte in requisiti concreti di sicurezza e performance, valutando l’adeguatezza delle soluzioni esistenti. Infine, tali requisiti vengono implementati e validati su un caso reale: il veicolo a guida autonoma AIDA, sviluppato presso il Politecnico di Milano ed utilizzato come base della startup Niulinx. L’analisi dimostra che, sebbene il paradigma presenti minacce inedite, gli elementi fondanti della sicurezza informatica (autenticazione e cifratura TLS, certificati, VPN) possono essere applicati con successo richiedendo minimi adattamenti. La valutazione, condotta su rete LAN e sull’hardware del veicolo, ne conferma la fattibilità: la configurazione sicura introduce un overhead minimo, rispettando i vincoli di latenza e qualità del servizio. Garantire la sicurezza del canale è dunque un obiettivo necessario e raggiungibile; l’integrazione di sistemi di rilevamento delle intrusioni e di aggiornamenti over-the-air sicuri rappresentano le principali direzioni per gli sviluppi futuri.