Testen von Datensicherheit in vernetzten und automatisierten Fahrzeugen durch virtuelle Steuergeräte

In der Automobilindustrie sind in den vergangenen Jahren die zwei Trends Automatisierung und Vernetzung entstanden. Diese Trends sorgen für eine steigende Anzahl an Funktionen im Fahrzeug. Neben einer Erhöhung des Komforts nehmen jedoch auch die Risiken durch den unerlaubten Zugriff von außen zu. Das IT-Manipulationen bei Fahrzeugen keine Ausnahme bilden, zeigen bereits erste Beispiele. Besonders durch die langen Lebenszyklen in der Automobilindustrie und der Tatsache, dass 44% aller Angriffe auf IT-Systeme durch bekannte Schwachstellen geschehen, müssen Fahrzeuge bereits in der Entwicklung abgesichert werden. ... mehr

Bezogen auf die funktionale Sicherheit (engl. Safety) existieren in der Automobilentwicklung bereits eine Vielzahl an Testprozessen und -methoden. Eine Übertragbarkeit dieser auf die Datensicherheit (engl. Security) ist jedoch nicht gegeben, wodurch neue Methoden am Entstehen sind. Daher wird eine Testmethode mittels virtuellen Steuergeräten vorstellt. Hierfür wird aufgezeigt, welche Beobachtungspunkte und Überwachungsfunktionen für die Tests der Datensicherheit gegeben sein müssen, wie sich daraus eine Testmethodik ableiten lässt und wie diese Testmethodik anschließend in die Automobilentwicklung eingebunden werden kann.

Für die Testmethodik wurden die Bereiche Speicher-, Numerische-, Systematische-, Funktionale- und Anwendungsfehler identifiziert. Der Fokus wird dabei auf die ersten beiden Fehlerarten gelegt und daraus Kriterien für einen Test der Datensicherheit abgeleitet. Anhand der Kriterien werden Beobachtungspunkte in bestehenden Testsystemen analysiert und basierend auf einem virtuellen Steuergerät neue Beobachtungspunkte ergänzt. Hierbei werden nicht nur Schnittstellen des Steuergeräts berücksichtigt, sondern ebenfalls interne Zustände des steuernden Artefakts (ausgeführte Instruktionen, Variablen und Speicherbereiche) und des ausführenden Artefakts (Register, lokaler Busse und Recheneinheit). Eine Berücksichtigung der internen Zustände ist wichtig, da Speicherfehler und numerische Fehler nicht zwangsläufig an die Schnittstellen propagieren und dadurch in der Umwelt sichtbar sind.

Anhand der Beobachtungspunkte in einem virtuellen Steuergerät wurde eine Gesamtsystemsimulation erstellt, die das Steuergerät mit Applikation, Prozessor und Peripherie simuliert. Eine Co-Simulation übernimmt die Erzeugung der Teststimuli. Durch die Beobachtungspunkte können Rückschlüsse auf das Verhalten und die Zustände innerhalb des Steuergeräts gezogen werden. Durch die zusätzlichen Beobachtungspunkte können Testmethoden wie Überwachung der Instruktionen und Register, Analyse der Eingaben, Markierung des genutzten Speichers und Analysemöglichkeiten der Codeabdeckung eingesetzt werden. Zusätzlich ergeben sich durch evolutionäre Verfahren die Möglichkeit der Maximierung des Variablen Wachstums und des Speicherzugriffs sowie die Minimierung des Abstands zwischen Heap und Stack.

Um die Testmethoden in einem Entwicklungsprozess einsetzten zu können werden die Ergebnisse auf eine vernetzte Funktion (Adaptive Cruise Control) skaliert und das Echtzeitverhalten beurteilt. Für die Simulation eines einzelnen Steuergeräts können dabei bis zu 62 Steuergeräte parallel simuliert werden, bevor die Simulation auf der realen Hardware schneller als der Ablauf in der Simulation ist. Durch die Ergänzung von Überwachungsfunktionen und Co-Simulationen sinkt das Echtzeitverhältnis jedoch exponentiell.

Abschließend wird die Testmethodik mit Angriffen aus der Automobilindustrie bewertet und aufgezeigt, welche Fehler erkannt worden wären. Die Testmethodik ist dabei jedoch nur so genau, wie die zugrundeliegenden Modelle. Eine Erhöhung der Genauigkeit bedeutet dabei höhere Kosten in der Entwicklung. Zudem muss der Quellcode für die Applikation als Source- oder Maschinencode bekannt sein.
Wird die Testmethode als Ergänzung zu bereits bekannten Testverfahren eingesetzt, können jedoch Probleme in der Datensicherheit bereits der Entwicklung erkannt werden.

In recent years, two trends have emerged in the automotive industry: automation and connectivity. These trends have caused an increasing number of functions in the vehicles. In addition to enhancing comfort, the risks of unauthorized external access have increased. First examples show that vehicles are no exception when it comes to IT manipulations. Especially the long life cycles in the automotive industry and the fact that 44% of all attacks on IT systems occur through known vulnerabilities require vehicles to be secured during development.

With respect to functional safety, a large number of test processes and methods are already in place for automotive development. ... mehrHowever, a transposition of these methods to data security is not given. As a result new methods are emerging. This work will present a test method based virtual electronic control units (ECUs). It will show which observation points and monitoring functions must be given for the security tests, how test methodology can be derived and how this test methodology can subsequently be integrated in automotive development.

The following areas were identified for the test methodology: memory errors, numerical, systematic, functional and application errors. However, the focus is on the first two types of error. Criteria for testing data security are derived from these fields. On the basis of the criteria, observation points in existing test systems have been analyzed and new observation points have been added based on a virtual ECU. In this context, not only interfaces of the ECU are considered, but also internal states of the controlling (executed instructions, variables, and memory areas) and the executing artifact (registers, local buses, and arithmetic unit) are considered. Considering the internal states is important, since memory errors and numerical errors do not necessarily propagate to interfaces and therefore are not visible in the ECU environment.

Based on the observation points in a virtual control unit, an overall system simulation has been created which simulates the control unit with the application, processor and peripherals. A co-simulation generates test stimuli. The observation points can be used to determine the behavior and states within the ECU. The additional observation points allow the use of test methods to monitor instructions and registers, analyze inputs, mark the used memory and analyze code coverage. Furthermore, evolutionary techniques maximize variable growth and memory access and minimize the distance between heap and stack.

To use these test methods in development processes, the results were scaled to a connected function (Adaptive Cruise Control) and the real-time behavior was evaluated. For the simulation of a stand-alone ECU, up to 62 controllers may be simulated in parallel before the simulation on the real hardware is faster compared to the simulation. Adding monitoring functions and co-simulations, reduces the real-time ratio exponentially.

To conclude, the test methodology is evaluated with attacks from the automotive industry and it is shown which errors could have been detected. Nevertheless, the test methodology is only as accurate as the simulated models. Increasing the accuracy results in higher development costs. Furthermore, the application must be known as source code or machine code.
However, if the test method is used as a supplement to already known test methods, data security problems can be detected during development.