Security für CAN-Netzwerke: Plug-and-Secure

Die Grundidee der Generierung des Schlüssels erläutert Bild 2. Alice und Bob erzeugen unabhängig voneinander eine zufällige Bitfolge einer bestimmten Länge. Anschließend erweitern sie diese Bitfolge, indem nach jedem Bit das jeweils dazu inverse Bit eingefügt wird. Danach erfolgt die zeitgleiche Übertragung der erweiterten Zufallsfolgen im Payload-Feld einer CAN-Nachricht, wobei es zur Überlagerung der Bitfolgen kommt. Aufgrund der Beschaltung von CAN-Transceivern entspricht dies auf logischer Ebene einer UND-Funktion.

Alice und Bob müssen nun die Bitfolge richtig interpretieren. Dies geschieht immer paarweise, wobei jedes Tupel einem Bit in der ursprünglichen Zufallsfolge aus Schritt 1 zugeordnet wird. Enthält ein Tupel eine 1, haben Alice und Bob das gleiche Tupel übertragen. Da aufgrund der UND-Verknüpfung auf dem CAN-Bus auch Eve diesen Schluss ziehen kann, wird das zugehörige Bit in S_Alice beziehungsweise S_Bob verworfen (Schritt 4).

Haben Alice und Bob unterschiedliche Tupel übertragen, erscheint eine „00“ auf dem CAN-Bus. Eve kann in diesem Fall nicht wissen, welcher der beiden Knoten welches Bit gesendet hat. Alice und Bob hingegen wissen, was sie gesendet haben und können schlussfolgern, dass der andere Knoten das inverse Bit gesendet haben muss. Die diesen Tupeln zugeordneten Bits werden daher beibehalten, und Alice und Bob erhalten dadurch zwei verkürzte, zueinander inverse Bitsequenzen. Damit haben beide Knoten ein gemeinsames Geheimnis generiert, aus dem sich bei Einbettung in einen geeigneten Protokollablauf symmetrische Schlüssel beliebiger Länge ableiten lassen. Für den Einsatz in Systemen wie dem von Bosch entwickelten Gesamtkonzept, sind neben dem geschilderten Grundverfahren noch weitere Konzepte und Mechanismen notwendig, um den Anforderungen im Automotive-Umfeld gerecht zu werden.

Keine Störung der Standard-CAN-Kommunikation

Durch die zeitgleiche Übertragung von CAN-Botschaften durch Alice und Bob im Payload-Teil ergeben sich praktische Herausforderungen, zum Beispiel hinsichtlich einer gegebenenfalls notwendigen Einführung von Bitstopfen bei der Übertragung von mehr als fünf gleichen Bits in Folge oder der Korrektheit der zyklischen Prüfsumme (CRC) für die überlagerte CAN-Botschaft. Dies liegt daran, dass die Überlagerung von korrekten Einzelbotschaften im Allgemeinen nicht zu einer korrekten überlagerten CAN-Botschaft führt. Eine Lösung stellt die dynamische Ermittlung von CRC und Bitstopfen basierend auf der effektiven Bitsequenz auf dem CAN-Bus anstatt auf Grundlage der jeweiligen Sendesequenzen dar. Damit entsteht eine Rückwärtskompatibilität, sodass Steuergeräte, die das Verfahren nicht unterstützen, keine Probleme verursachen. Das Verfahren lässt sich unkompliziert in den normalen CAN-Verkehr einbinden, sodass Nachrichten mit hoher Priorität nicht gestört werden.

Das Verfahren besitzt eine geringe Komplexität, da Alice und Bob zur Erzeugung kryptographischer Schlüssel lediglich CAN-Botschaften übertragen, empfangen und interpretieren müssen. Für die Erzeugung eines 128-Bit-Schlüssels sind zum Beispiel nur wenige Botschaften zwischen zwei Knoten notwendig. Das Verfahren ist universell einsetzbar und auch geeignet, um Schlüssel nach Bedarf aufzufrischen. Dazu müssen Alice und Bob nur einige neue, geheime Bits erzeugen und diese mit dem alten Schlüssel kombinieren.

Und wie sicher ist das Verfahren, wie flexibel lässt es sich implementieren?

Wie sicher ist das Verfahren?

Bild 3: Implementierungsoptionen für das PnS for CAN-Modul direkt in einen Mikrocontroller oder in den CAN-Transciever. Bosch

Beim betrachteten  Angreifermodell ist Eve nicht in der Lage, die von Alice und Bob erzeugten Schlüssel zu bestimmen oder zu beeinflussen. Eve kann lediglich die Schlüssel-Etablierung durch einen „Denial-of-Service“-Angriff unterbinden, wogegen ein CAN-Netzwerk generell nicht geschützt werden kann. Die Sicherheit von Plug-and-Secure beruht im Vergleich zu alternativen Sicherungsverfahren nicht auf der schweren Lösbarkeit mathematischer Probleme, sondern auf der Schwierigkeit, aus der Überlagerung zweier Signale auf die Einzelsignale zu schließen. Damit ist das Verfahren auch nicht mit dem Aufkommen leistungsfähigerer Rechentechnik angreifbar. Hat der Angreifer jedoch physikalischen Zugang zum CAN-Bus, stehen ihm sowohl die logischen Bitsequenzen als auch die detaillierten physikalischen Signale zur Verfügung. Diese Angriffe lassen sich durch gezielte Beeinflussung des physikalischen Signalverhaltens erschweren. Generell lässt sich Plug-and-Secure beispielsweise mit Ansätzen wie dem Diffie-Hellman-Schlüsselaustausch kombinieren, womit sich die Sicherheit insgesamt erhöht.

Flexible Implementierung

Bild 4: Aufbau zur praktischen Demonstration des Verfahrens zur Schlüsselbildung über den CAN-Bus. Bosch

Zur Realisierung des Verfahrens lässt sich ein entsprechendes Hardware-Modul entweder direkt in einen Mikrocontroller oder in einen CAN-Transceiver integrieren. Bild 3 erläutert beide Varianten der Implementierung. In beiden Fällen ist das Hardware-Modul für die zeitgleiche Übertragung der CAN-Botschaften sowie die Low-Level-Signalverarbeitung zur Sicherstellung der Rückwärtskompatibilität mit Standard-CAN verantwortlich. Zusätzlich wird eine geeignete Software-Komponente für die höheren Protokollmechanismen benötigt, die beispielsweise auf einem Hardware Security Modul (HSM) oder der CPU ausgeführt werden kann.

Das PnS-for-CAN-Modul kommt mit weniger als 10.000 Gattern aus. Vorteil der Realisierungsvariante im CAN-Transceiver ist die Nachrüstbarkeit von Steuergeräten, allerdings zu etwas höheren Kosten als bei der direkten Integration in einen Mikrocontroller. In beiden Fällen ist die Kombination mit beliebigen CAN-Controllern möglich. In Bild 4 zeigt den  Demonstratoraufbau des Verfahrens. Für die Generation eines 128-Bit-Schlüssels müssen durchschnittlich acht Classical-CAN-Botschaften mit 8-Byte-Datenfeld oder eine CAN-FD-Botschaft mit 64-Byte-Datenfeld ausgetauscht werden.