汽车网络安全-autosar 威胁模型

【实例截图】

【核心代码】

Contents
List of Figures xiii
List of Tables xv
1 Introduction 1
1.1 Aim of work . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
1.2 Timeline . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
1.3 Thesis partner . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
1.4 Limitations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
1.5 Combitech AB limitations . . . . . . . . . . . . . . . . . . . . . . . . 4
1.6 Thesis outline . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
2 Background 7
2.1 The Connected car . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
2.2 Automotive networks . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
2.3 Security concerns . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
2.4 History of cyber-attacks on vehicles . . . . . . . . . . . . . . . . . . . 14
2.4.1 Jeep Cherokee . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
2.4.2 General Motors . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.4.3 BMW . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.4.4 Corvette . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.4.5 Tesla S model . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.4.6 Nissan LEAF . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
2.4.7 Tesla all models . . . . . . . . . . . . . . . . . . . . . . . . . . 16
2.5 Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
3 Related work 19
3.1 Books . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
3.2 Automotive cyber-security guidelines . . . . . . . . . . . . . . . . . . 20
3.3 Threat analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21
3.4 Work by security consultants in industry . . . . . . . . . . . . . . . . 22
3.5 Documented vulnerabilities . . . . . . . . . . . . . . . . . . . . . . . . 23
3.6 Previous Master theses . . . . . . . . . . . . . . . . . . . . . . . . . . 24
3.7 Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 25
4 Overview of the AUTOSAR standard 27
4.1 AUTOSAR organizational structure . . . . . . . . . . . . . . . . . . . 27
ix
Contents
4.2 Software architecture . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
4.3 Security features . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
4.3.1 CSM and CAL . . . . . . . . . . . . . . . . . . . . . . . . . . 31
4.3.2 Secure On-board Communication (SecOC) . . . . . . . . . . . 33
4.4 The AUTOSAR Security Work Package . . . . . . . . . . . . . . . . 34
4.5 Future of AUTOSAR . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
4.6 Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
5 Threat modeling techniques 37
5.1 Attacker-centric approach . . . . . . . . . . . . . . . . . . . . . . . . 37
5.1.1 Intel’s TARA (Threat Agent Risk Assessment) . . . . . . . . . 38
5.1.2 Cyber Kill Chain . . . . . . . . . . . . . . . . . . . . . . . . . 40
5.1.3 OODA Loop . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
5.2 Asset-centric approach . . . . . . . . . . . . . . . . . . . . . . . . . . 41
5.2.1 PASTA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
5.2.2 OCTAVE Allegro . . . . . . . . . . . . . . . . . . . . . . . . . 42
5.2.3 ETSI’s TVRA . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
5.3 Software-centric approach . . . . . . . . . . . . . . . . . . . . . . . . 44
5.3.1 STRIDE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
5.3.2 DREAD . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
5.4 Threat modeling mechanisms . . . . . . . . . . . . . . . . . . . . . . 46
5.4.1 Data Flow Diagrams . . . . . . . . . . . . . . . . . . . . . . . 46
5.4.2 Attack Trees . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
5.4.3 Threat modeling tools . . . . . . . . . . . . . . . . . . . . . . 47
5.5 Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48
6 Threat modeling of the Connected Car 49
6.1 TARA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
6.2 Adaptations . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50
6.2.1 TAL Library . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
6.2.2 MOL Library . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
6.2.3 CEL Library . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
6.3 Methodology and tools . . . . . . . . . . . . . . . . . . . . . . . . . . 51
6.4 Threat Agents . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53
6.5 Threat agent attributes . . . . . . . . . . . . . . . . . . . . . . . . . . 57
6.5.1 Motivations . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58
6.5.2 Outcome . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 60
6.5.3 Skills . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
6.5.4 Resources . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62
6.5.5 Limits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
6.5.6 Objective . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
6.5.7 Visibility . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64
6.6 Results . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64
6.6.1 Threat Agent Library (TAL) . . . . . . . . . . . . . . . . . . . 64
6.6.2 Methods and Objectives Library (MOL) . . . . . . . . . . . . 65
6.6.3 Common Exposure Library (CEL) . . . . . . . . . . . . . . . 67
6.6.4 Risk comparison for threat agent profiles . . . . . . . . . . . . 76
x
Contents
6.7 Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
7 Threat modeling of the AUTOSAR standard 79
7.1 The Interior Light Application . . . . . . . . . . . . . . . . . . . . . . 79
7.2 STRIDE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
7.2.1 Adaptations . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80
7.2.2 NCC Group template . . . . . . . . . . . . . . . . . . . . . . . 81
7.2.3 Methodology and tools . . . . . . . . . . . . . . . . . . . . . . 81
7.2.4 Data Flow Diagrams . . . . . . . . . . . . . . . . . . . . . . . 82
7.2.5 Microsoft Threat modeling tool . . . . . . . . . . . . . . . . . 86
7.2.6 Results . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 87
7.3 Validation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 87
7.3.1 Hardware equipment . . . . . . . . . . . . . . . . . . . . . . . 87
7.3.2 Software equipment . . . . . . . . . . . . . . . . . . . . . . . . 88
7.3.3 Simulation environment . . . . . . . . . . . . . . . . . . . . . 88
7.3.4 Security test cases . . . . . . . . . . . . . . . . . . . . . . . . 90
7.3.5 Results . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
7.4 Summary . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91
8 Discussion 93
8.1 TARA . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 93
8.2 STRIDE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 94
8.3 Ethical and sustainable problems in relation to the thesis work . . . . 95
9 Conclusion 97
Bibliography 99
A Appendix 1 I
xi
Contents
xii
List of Figures
2.1 Vehicles communicate with everything in their surroundings [80] . . . 8
2.2 Overview of internal vehicle sub-networks [103] . . . . . . . . . . . . . 10
2.3 The connected car concept [108] . . . . . . . . . . . . . . . . . . . . 11
2.4 The 15 weakest points of a connected car according to Intel [124] . . . 12
4.1 Overview of the AUTOSAR partnership program [6] . . . . . . . . . 28
4.2 AUTOSAR hardware-independent architecture [6] . . . . . . . . . . . 29
4.3 The layered AUTOSAR architecture [6] . . . . . . . . . . . . . . . . . 29
4.4 Each sub-layer of the BSW layer offers different services [6] . . . . . . 30
4.5 AUTOSAR software architecture - Components and Interfaces [6] . . 31
4.6 Two layers of crypto modules [6] . . . . . . . . . . . . . . . . . . . . . 32
4.7 Integration of the SecOC basic software module [7] . . . . . . . . . . 34
4.8 The contents of the secured I-PDU [7] . . . . . . . . . . . . . . . . . 34
5.1 Narrowing down the field of attacks [70] . . . . . . . . . . . . . . . . 38
5.2 The TARA process in detail [70] . . . . . . . . . . . . . . . . . . . . . 39
5.3 7 stages of PASTA [82] . . . . . . . . . . . . . . . . . . . . . . . . . . 42
5.4 OCTAVE Allegro road-map [33] . . . . . . . . . . . . . . . . . . . . . 43
5.5 Example of a data flow diagram . . . . . . . . . . . . . . . . . . . . . 46
5.6 Common elements of a data flow diagram . . . . . . . . . . . . . . . . 47
5.7 Example of an attack tree for breaking into a bank safe [11] . . . . . 47
6.1 Anonymous Hacktivist Group . . . . . . . . . . . . . . . . . . . . . . 53
6.2 Different motivations of threat agents [112] . . . . . . . . . . . . . . . 58
6.3 Threat Agent Library (TAL) for the Automotive industry . . . . . . . 65
6.4 18 most common attack surfaces of the connected car . . . . . . . . . 67
6.5 Connecting an OBD dongle to the OBD II port [91] . . . . . . . . . . 70
6.6 Common example of applications in the Infotainment system [95] . . 71
6.7 Advanced Driver Assistance Systems [85] . . . . . . . . . . . . . . . . 73
6.8 EV charging station [96] . . . . . . . . . . . . . . . . . . . . . . . . . 75
6.9 Risk comparison for threat agent profiles . . . . . . . . . . . . . . . . 76
7.1 The layered AUTOSAR architecture . . . . . . . . . . . . . . . . . . 82
7.2 DFD diagram of the Interior light Application - COM Layers . . . . . 83
7.3 DFD diagram of the Interior light Application - I/O Layers . . . . . 85
7.4 Data flow diagram created with the MS Threat modeling tool . . . . 86
7.5 STM32 Hardware board provided by Arccore company . . . . . . . . 88
xiii
List of Figures
7.6 LED lights indicating if the interior light is on/off . . . . . . . . . . . 89
7.7 Two wires used to simulate car doors opening/closing . . . . . . . . . 89
xiv
List of Tables
2.1 Changes in the automotive industry . . . . . . . . . . . . . . . . . . . 7
2.2 Overview of automotive networks [71] . . . . . . . . . . . . . . . . . . 10
2.3 Overview of cyber-attacks on vehicles . . . . . . . . . . . . . . . . . . 14
4.1 Differences between CAL and CSM . . . . . . . . . . . . . . . . . . . 33
5.1 STRIDE threat categorise vs security protocol violated . . . . . . . . 45
6.1 Motivations of different threat agents . . . . . . . . . . . . . . . . . . 59
6.2 Methods and Objectives Library (MOL) . . . . . . . . . . . . . . . . 66
6.3 Common Exposure Library (CEL) . . . . . . . . . . . . . . . . . . . . 69