More Related Content
Similar to Analisi sulla sicurezza di una autovettura moderna (20)
More from Ce.Se.N.A. Security (20)
Recently uploaded (17)
Analisi sulla sicurezza di una autovettura moderna
- 1. Analisi di sicurezza sperimentali di una moderna automobile Sicurezza nelle moderne autovetture Sito di riferimento: http://www.autosec.org/
- 2. Introduzione Due gruppi di ricerca: Universit di Washington Universit della California Un unico obiettivo: Testare e mettere alla prova i sistemi di sicurezza delle moderne autovetture Il nostro obiettivo: Fare una sintesi dei test e dei risultati da loro ottenuti
- 3. Le moderne autovetture Non pi湛 solo meccanica Presenza di molti dispositivi computerizzati Comunicazioni attraverso una o pi湛 reti interne al veicolo Recenti stime riportano la presenza di 50-70 computer indipendenti presenti sulle tipiche berline di lusso (in gergo automobilistico ECU: Electronic Control Unit) Pi湛 di 100MB di codice eseguibile spalmati su questi dispositivi
- 4. Pro e Contro Pro: Aumentano la sicurezza durante la guida del veicolo Capacit di diagnostica dei guasti pi湛 rapida Contro: Quanto pi湛 un'autovettura offre sofisticati servizi e caratteristiche di comunicazione, tanto pi湛 aumentano i rischi dovuti alla variata gamma di attacchi che possono essere condotti contro l'autovettura
- 5. Premessa Implicazioni derivanti da una comunicazione malevole sulla rete interna al veicolo E' lecito chiedersi: come pu嘆 un attaccante infiltrarsi e prendere il controllo delle funzionalit offerte da veicolo? ...
- 6. Modelli di minaccia Accesso fisico:l'attaccante ha accesso fisico alla macchina e inserisce un componente malevolo attraverso l'OnBoard Dignostic (scheda situata di solito sotto il cruscotto). Presenza permanente oppure temporanea del componete all'interno della rete. Accesso tramite interfaccia wireless: le moderne autovetture sono dotate di molteplici interfacce wireless (almeno 5 quelle individuate sulle macchine utilizzate per i test). Vulnerabilit introdotte da questo tipo servizi.
- 7. Ambiente sperimentale Due autovetture della stessa marca e modello anno 2009 Presenza di un gran numero di componenti controllati elettronicamente e sofisticati sistemi telematici Marca e modello?
- 9. Ambiente sperimentale ECM: modulo di gestione del motore EBCM: modulo di controllo dei freni TCM: controllo di trasmissione elettronica per la gestione del cambio delle marce BCM: controlla diverse funzioni del veicolo e agisce da firewall tra le due sotto reti Telematics: consente la comunicazione dati con il veicolo via connessione cellulare. RCDLR: sistema di apertura/chiusura porte via telecomando HVAC: controllo condizionatore SDM: controllo dell'airbag e cinture di sicurezza IPC/DIC: display per mostrare al conducente informazioni sulla velocit, carburante e stato del veicolo Radio: radio TDM: modulo antifurto; impedisce l'avvio della macchina senza chiave legittima
- 10. Ambiente sperimentale CAN: Controller Area Network. Protocollo per la comunicazione tra i vari componenti; due varianti disponibili (L-S B e H-S B); accesso e interrogazione componenti. Al banco: analisi dell'hardware Sul cric: sicurezza e convenienza; portatile connesso all'OBD- II; cavo specifico per la comunicazione con L-S B e H-S B; utilizzo di CarShark Su strada: in strada isolata, macchina sotto attacco e macchina inseguitrice CarShark: analizzatore del CAN bus; packet injection; possibilit di effettuare pi湛 tipi di attacchi
- 11. Sicurezza nella rete interna del veicolo CAN bus: dal 2008 standard secondo determinate specifiche per effettuare delle diagnosi. Protocollo di data- link pi湛 utilizzato per le comunicazioni nelle reti interne ai veicoli No sistema d'indirizzi, modello pubblish-subscriber, pacchetto inviato a tutti i nodi, presenza di due livelli fisici separati (L-S B e H-S B)
- 12. Sicurezza nella rete interna del veicolo Debolezze chiave: Natura broadcast del protocollo: un componente malevolo pu嘆 curiosare in tutte le comunicazioni o inviare pacchetti a qualsiasi nodo; Sensibilit ai DoS: lo schema basato sulle priorit permette ad un nodo di definire uno stato dominante sul bus in maniera indefinita, ed estromettere gli altri nodi Nessun campo per l'autenticazione:ogni componente pu嘆 inviare indistintamente un pacchetto a qualsiasi altro componente. Pericolosit dei componenti compromessi! Controllo d'accesso debole: prevista una sequenza challage-response per proteggere le ECUs contro certe certe azioni senza autorizzazione (Reflashing e protezione memoria)
- 13. Sicurezza nella rete interna del veicolo Deviazione dallo standard: Semplifica il lavoro di un attaccante Sequenze challenge-response insufficienti al fine di proteggersi da aggiornamenti malevoli del firmware Possibilit di: Disabilitare le comunicazioni: disabilita le comunicazioni CAN Reflashing delle ECUs durante la guida: il modulo del controllo del motore dovrebbe rifiutare richieste di inizio programmazione mentre il motore 竪 avviato Caricare codice proprio sull'unit telematica: ECUs con funzionalit di sicurezza, sistemi antifurto devono essere protetti da sequenze di tipo challege-response
- 14. Sicurezza dei componenti Metodologie di attacco e comprensione del funzionamento: Sniffing:utilizzo di CarShark per osservare il traffico sul CAN bus Fuzzing: utilizzato per attacchi significativi e per aiutare nel reverse-engineerig Reverse-engineering: scaricamento dei codici di alcune ECU tramite servizio di ReadMemory ed utilizzo di un debugger di terze parti per comprendere alcune collaborazioni di tipo hardware. Essenziale per gli attacchi che richiedono l'aggiunta di nuove funzionalit, manipolando il software gi esistente
- 15. Risultati dei test condotti in condizioni stazionarie Radio: primo attacco effettuato; completo controllo della radio e del suo display. Pannello del cruscotto: completo controllo
- 16. Risultati dei test condotti in condizioni stazionarie Altri attacchi effettuati:
- 17. Risultati dei test condotti in condizioni stazionarie Body Controller: controllo ripartito su L-S B e H-S B; controllo di tutte le funzioni
- 18. Risultati dei test condotti in condizioni stazionarie Motore: controllo dell'accellerazione e dei cilindri (Fuzzing) Freni: controllo individuale e non (Fuzzing)
- 19. Risultati dei test condotti su strada Effettuati in condizioni sicure Gran parte dei risultati identici a quelli effettuati in condizioni stazionaria, tranne per l'EBCM!!!
- 20. Interazione multicomponente Sicurezza dei singoli componenti e dell'interazione tra di essi Contachilometri: velocit reale intercettata sul L-S B e trasmissione dei pacchetti malevoli contenenti la falsa velocit Luci: pacchetti per disabilitare luci interne ed esterne. Autodistruzione: ottenuto combinando i controlli che avevano su determinati componenti del BCM Condotti sia in condizioni stazionarie che su strada
- 21. Interazione multicomponente Bridging: componenti connessi al L-S B e componenti connessi al H-S B; utilizzo dell'unit telematica Hosting code;Wiping code: coesistenza tra vecchio codice e nuovo codice; aumenta le problematiche
- 22. Riassunto vulnerabilit riscontrate Manipolazione ECUs testate e anche altre Elevata fragilit dei sistemi: semplicit nel condurre l'attacco Assenza del controllo d'accesso: il protocollo CAN descrive metodi contro aggiornamenti del firmware non autorizzati, ma... Possibilit di bridging tra i due bus Possibilit di caricare nuovo codice e cancellarne le tracce
- 23. Considerazioni e conclusioni Servizi di diagnostica e reflashing: mancanza dei controlli d'accesso a questi servizi ECUs arbitrarie non dovrebbero fornire questi tipi di comandi ed implementazione di sistemi di autenticazione Componenti di terze parti: componenti non fidati possono creare problemi di sicurezza Filtro tra i componenti e bus per far passare solo pacchetti convalidati Individuazione o prevenzione?
- 24. GRAZIE!