Abwehr unerlaubter Netzwerkzugriffe mit Automotive Firewalls

Software-Defined Vehicles (SDVs) bieten sowohl für Automobilhersteller als auch für Kunden zahlreiche Vorteile. So lassen sich OTA-Software-Updates schnell und effizient durchführen, Entwicklungsprozesse beschleunigen und Kunden profitieren von kontinuierlichen Funktionserweiterungen des Fahrzeugs. Durch das dafür notwendige dynamische Fahrzeugnetzwerk steigen jedoch auch die Risiken und Herausforderungen im Hinblick auf die Cybersecurity.

Im Vergleich zu den robusteren AUTOSAR Classic ECUs, die über legacy Busse wie CAN kommunizieren, eröffnet die Verwendung von Ethernet für die ECU-Kommunikation neue Angriffsflächen. Kommunikationsdaten von sicherheitsrelevanten Funktionen müssen von den Daten anderer Funktionalitäten, wie etwa Infotainment, durch Firewalls voneinander getrennt werden. Der Einsatz reiner Firewall-ECUs ist aufgrund diverser Faktoren wie Kosten, Energiebedarf und Bauraum un-realistisch. Bestehende Hardware muss genutzt werden.

Ethernet Switches dienen als Netzwerk-Firewalls

Netzwerk-Firewalls, die auf Smart Ethernet Switches implementiert sind, bieten die attraktivste Lösung für die Cybersecurity eines SDV-Netzwerkes.
Die im Switch integrierte CPU ermöglicht eine detaillierte, tiefgehende Analyse des Datenverkehrs durch Deep Packet Inspection. Besonders in Fahrzeugnetzwerken werden jedoch hohe Anforderungen an Bandbreite und Latenz gestellt, während gleichzeitig die Rechen- und Speicherressourcen begrenzt sind. Eine vollständige Filterung des gesamten Datenverkehrs durch eine rein softwarebasierte Firewall ist daher nicht realisierbar.
Aus diesem Grund greifen Netzwerk-Firewalls auch auf spezialisierte Funktionen der Switch Hardware wie beispielsweise TCAM (Ternary Content-Addressable Memory) zurück, um die Paketfilterung schnell und effizient durchzuführen.

Hardware- und softwarebasierte Filterung – hybride Lösung

Die softwarebasierte Filterung in der CPU ist aufgrund des verfügbaren Speichers für „große“ Policies geeignet und ermöglicht gleichzeitig zusätzliche Aktionen wie das Reporten sicherheitsrelevanter Ereignisse. Nachteil: Sie ist aufgrund der beschränkten CPU-Leistung und der umfangreichen Policies vergleichsweise langsam. Schnell und effizient ist hingegen die hardwarebasierte Filterung durch TCAM. Hardwarebasierte Filterung ist jedoch statisch und kann oft nicht alle Filterbedingungen komplexer Regeln abbilden. Zudem ist die Anzahl der zur Verfügung stehenden TCAM-Einträge ein limitierender Faktor. Diese Nachteile können durch die kombinierte Filterung ausgeglichen werden. Dabei werden die einzelnen Regeln einer Policy so auf hardware- und softwarebasierte Filterung aufgeteilt, dass deren jeweilige Stärken optimal genutzt werden. Es entsteht eine hybride Lösung, die die Vorteile beider Technologien vereint.

Die Aufteilung der Regeln in hardware- bzw. softwarebasierte Filterung bringt eine höhere Komplexität mit sich. Es muss berücksichtigt werden, welche Hardwarefunktionalitäten der konkrete Switch besitzt, welche Regeln für hardwarebasierte Filterung geeignet sind und welche eine softwarebasierte Filterung erfordern. Das alles muss in Anbetracht der Policy-Größe toolbasiert erfolgen.

Der Aufteilungsprozess umfasst mehrere Schritte:

1. Zunächst werden die Regeln hinsichtlich ihrer Kompatibilität auf hardwarebasierte Filterung geprüft und aufgeteilt.
2. Anschließend erfolgt die Priorisierung der kompatiblen Regeln basierend auf dem analysierten Datenverkehr.
3. Im nächsten Schritt werden die Regeln unter endgültig konkreten Hardware-Elementen (TCAM) bzw. der Softwarefilterung zugewiesen.
4. Abschließend wird die Soft- und Hardwarekonfiguration für die Firewall erzeugt.

Jede Firewall benötigt eine Policy, die auf die Netzwerkkommunikation eines Fahrzeugs abgestimmt ist. Ihre Erzeugung muss toolbasiert und erweiterbar sein, da die Netzwerkkommunikation von SDV-Architekturen sehr umfangreich ist und kontinuierlich aktualisiert wird. Gleichzeitig muss die Policy Erzeugung flexibel sein, um OEM-Spezifika zu berücksichtigen und den Fahrzeugentwicklungsprozess nicht unnötig zu behindern. Die AUTOSAR-Systembeschreibung bietet eine gute Basis, aus der Firewall-Policies erzeugt werden können. Auf dieser Grundlage werden projektspezifische Ergänzungen und Änderungen manuell eingearbeitet. Die daraus erzeugten Policies sind meist so umfangreich, dass die Ressourcen einer Switch-basierten Netzwerk-Firewall nicht ausreichen würden. Als Folge dessen werden Sie in einem nachfolgenden Schritt optimiert, wobei die Anzahl der effektiv notwendigen Filterbedingungen minimiert wird. Das reduziert die Größe der Policies und reduziert die Verarbeitungsdauer der Filterung im Switch.

Fazit

Ethernet-Kommunikation bildet die Basis für die Realisierung von SDV-Architekturen. Dabei entstehen neue Cybersecurity-Risiken, die durch den Einsatz hybrider Netzwerk-Firewalls minimiert werden können. Zur Bewältigung der technischen Komplexität dieser Firewalls und zur optimalen Nutzung ihrer Ressourcen sind intelligente Lösungen erforderlich. (na)