Die Auto-Hacker kommen

Sicherheit im Connected Car

Der CAN-Bus ist seit mehr als 30 Jahren als Bordnetz in modernen Autos erfolgreich. Doch die Vernetzung bringt sie an ihre Grenzen. Einige Startups versprechen Abhilfe.

Connected Car

Connected Car: Im Internet der Dinge

Wer seinen Führerschein Anfang der 1980er Jahre gemacht hat, kennt das noch: Kleinwagen wie Renault R4 oder Citroën 2CV besaßen zwar Batterie und Starter, konnten aber auch mit der Kurbel gestartet werden – wie im Stummfilm. Heute dagegen versetzt eine kraftlose Batterie viele Autos ins Koma, oft funktionieren Getriebe, Bremsen und Lenkung nicht mehr. Da hilft dann nur der Bergungslaster, der den Wagen an den Haken nimmt.

Doch es muss nicht immer fehlender Strom sein, der ein Auto zum Stehen bringt. Im Jahr 2015 demonstrierten die Sicherheitsexperten Charlie Miller and Chris Valasek, wie sie ein SUV über eine Sicherheitslücke im Entertainment-System fernsteuern konnten. Diese Demo zeigte, dass ein modernes Connected Car ebenso durch Hackerangriffe gefährdet ist wie jeder andere Computer.

Denn ein Auto ist heutzutage ein rollender Computer. Seit den 1980er Jahren haben die Hersteller ihre Modelle immer stärker mit elektronischen, computergesteuerten Geräten ausgestattet, vom ABS über die Traktionskontrolle bis hin zu elektrischen Servolenkung, die keine mechanische Verbindung mehr zur Achse haben. Als bislang letzter Schritt sind Infotainment-Systeme mit Internetzugriff hinzugekommen.

Und damit sind die vernetzten Autos nun angreifbar geworden. Hinzu kommt, dass auch Bluetooth-Verbindungen beispielsweise zum Smartphone ein Einfallstor für Hacker sind und auch die ODB2-Schnittstelle für die Werkstattdiagnose ist nicht ungefährlich. Es gibt inzwischen einige Zusatzprodukte, die über ein ODB2-Dongle verfügen und damit potentiell auch Malware einschleppen können.

Sicherheit für den veralteten CAN-Bus

Connected Car Security ist also gefragt. Das Problem dabei: Die beteiligte Technologie ist eigentlich veraltet. Ein Auto kann bis zu 100 elektronische Komponenten besitzen, die alle über den sogenannten CAN-Bus (Controller Area Network) miteinander verbunden sind. Dieses Bussystem ist sehr einfach und sieht weder Verschlüsselung noch Authentifizierung vor. Als es 1986 eingeführt wurde, hat sich niemand die Vernetzung von Autos untereinander und mit der Cloud vorstellen können.

Experte Charlie Miller schlägt den Herstellern eine Reihe von Maßnahmen vor, die den CAN-Bus verbessern. Eine vergleichsweise einfach zu verwirklichende Lösung ist die Ergänzung des Bussystems um zusätzliche Komponenten, die sich wie Firewalls verhalten und den Datenverkehr zwischen den einzelnen Einheiten im Auto filtern. Dadurch könnte verhindert werden, dass beispielsweise ein Internetmodul Nachrichten an die Servolenkung senden kann.

Eine andere mögliche Lösung: Dem CAN-Bus-Protokoll wird Authentifizierung und Verschlüsselung hinzugefügt, sodass keine Nachrichten mehr eingeschleust werden können. Der Nachteil ist allerdings, dass die elektronischen Bauteile völlig neugestaltet werden müssten. Eine dritte Möglichkeit ist Sicherheitssoftware. Miller schlägt hier eine Art Intrusion Detection und/oder Prevention System (IDS/IPS) vor. Da der CAN-Bus einfach aufgebaut und eine vorhersehbare Umgebung ist, sind ungewöhnliche oder unerwartete Daten leicht zu erkennen.

Nach Ansicht von Miller ist zusätzlich eine rigide Update-Politik notwendig. Das bedeutet: Keine Werkstattaktualisierung mehr. Viele Fahrer verzichten auf Updates oder machen sie zu spät. Zudem sind selbst noch so kurze Update-Intervalle problematisch, denn bekannte Sicherheitslücken werden rasch ausgenutzt. Die einzig sinnvolle Lösung sind OTA-Updates, wie sich auch in der Computerbranche etabliert haben. Nur bei dieser Form der Aktualisierung ist sichergestellt, dass alle Fahrzeuge sofort entsprechenden Patches bekommen

Startups für Connected Car Security

Gefragt sind also neue Lösungen, die bisherige Schwächen des CAN-Bus ausmerzen oder eine völlig neue, moderne Technologie nutzen. Security-Spezialist Trend Micro kommt in einem Blogbeitrag zu dem Schluss, dass der CAN-Bus am Ende seiner Endwicklung angelangt ist und besser durch etwas Neues ersetzt werden sollte.

Das ist nicht falsch, berücksichtigt aber nicht die enormen Investitionen, die sowohl bei Zulieferern als auch den einigen Autoherstellern notwendig wären. Deshalb werden sowohl Sicherheitsanbieter als auch die Autobranche wenigstens vorläufig mit den Beschränkungen des klassischen Bussystems leben müssen. Doch es gibt Konzepte zur Absicherung der bestehenden Infrastruktur.

Die meisten Security-Anbieter behandeln das Auto dabei wie ein Gerät im Internet der Dinge und übertragen dabei erprobte Konzepte wie Endpunktabsicherung, Angriffserkennung und Identitätsmanagement auf das Auto. Passende Lösungen bieten die bekannten IT-Sicherheitsanbieter wie Trend Micro oder Thales Security ebenso wie etwa Mobilgeräte-Spezialist MobileIron – winkt doch ein Milliardenmarkt.

Aber auch eine ganze Reihe von Start-ups hat sich aufgemacht, die Sicherheit der vernetzten Autos zu stärken. Die folgende Liste nennt eine kleine Auswahl aller Startups, die in diesem Bereich aktiv sind. Einige richten sich nicht nur an vernetzte Autos der aktuellen Generation, sondern haben auch das autonome Fahren im Blick.

Argus Cyber Security

https://argus-sec.com/de/

Das israelische, 2013 gegründete Unternehmen gehört zu den Pionieren im Bereich der Connected Car Security. Es bietet eine Endpunkt-Absicherung, die speziell auf Autos und Module von Zulieferern zugeschnitten ist. Sie schützt die Infotainment- und Telematikmodule vor Hackerangriffen schützt. Dazu gehört auch eine Komplettlösung für sichere OTA-Updates.

Cube Intelligence

https://cubeint.io/

Das Londoner Startup entwickelt eine Sicherheitsplattform für das fahrerlose Auto, die auf der Blockchain-Technologie basiert. Dabei ist das Ziel, dass ein „Cube“ genanntes Modul im Auto der Endpunkt für die gesamte Datenkommunikation ist. Die Daten werden dabei mithilfe der Blockchain-Technologie abgesichert. Darüber hinaus soll es als zusätzliche Absicherung ein auf Deep Learning basierendes Instrusion-Detection-System geben.

GuardKnox

https://www.guardknox.com/

Das Startup ist ein weiteres der vielen Security-Firmen aus Israel. Es überträgt die in der Militärluftfahrt (in Israel) verbreiteten Sicherheitssysteme in die Autobranche. Dabei sichern spezielle Module (Safe Network Orchestrator, SNO) die Kommunikation im internen Bordnetz ab. Weitere SNOs schützen einzelne Steuereinheiten, die externe Kommunikation über das Internet ermöglichen.

Karamba Security

https://karambasecurity.com/

Die israelischen Security-Spezialisten bieten mit SafeCAN eine Ende-zu-Ende-Lösung, die den CAN-Bus mit Verschlüsselung und Authentifizierung versorgt. Die Zertifikate und privaten Schlüssel werden dabei in Zukunft in einem Secure Element gespeichert, das vom Karamba-Partner Micron hergestellt wird. Die Lösung ergänzt den CAN-Bus, OEMs und Zulieferer müssen bei bestehenden Geräten lediglich die Firmware anpassen.

Saferide Technologies

https://saferide.io/

Das israelische Startup entwickelt eine Lösung zur Anomalie-Erkennung und Gefahrenabwehr für vernetzte Autos und autonome Fahrzeuge. Dabei setzt das Unternehmen auf jeweils eigene Software-Suiten für den Schutz des eigentlichen Fahrzeugs und eine weitere Softwareschicht, die in der Cloud arbeitet und die Managementfunktion für Fahrzeugflotten absichert. Letzteres richtet sich vor allem auf zukünftige Flotten von fahrerlosen Autos.

©2018Alle Rechte bei MEDIENHAUS Verlag GmbH

Unsere Website verwendet Cookies, um Ihnen den bestmöglichen Service zu bieten. Durch die weitere Nutzung der Seite stimmen Sie der Verwendung zu. Weitere Infos finden Sie in unserer Datenschutzerklärung.

ok