Verborgene Sicherheitsrisiken in der Automobilelektronik

All diese neuen Fähigkeiten sorgen für einen zunehmenden Bedarf an Security und Safety, und dies besonders im Zusammenhang mit dem Flash-Speicher, der zu einer entscheidenden Komponente dieser Systeme geworden ist. Flash-Speicher sind seit Jahrzehnten gebräuchlich und haben inzwischen einen so hohen Entwicklungsstand erreicht, dass sie auch im Automobilbereich eingesetzt werden. Das Problem an den aktuellen Embedded-Flash-Lösungen sind ihre erheblichen Sicherheitsrisiken, da sie auf althergebrachten Technologien und Architekturen beruhen, denen es schlicht an der erforderlichen Zertifizierung fehlt, um Security und Safety garantieren zu können.

Safety und Security sind jedoch unabdingbare Voraussetzungen, um ein akzeptables Risiko im Sinne der Norm ISO 26262 garantieren zu können. Zwar widmen sich die Automobilhersteller und ihre Subsystem-Zulieferer diesen Risiken, aber angesichts der steigenden Komplexität der Fahrzeugelektronik liegt die Safety, also funktionale Sicherheit, auch in der Verantwortung der IC-Hersteller. Hierdurch wiederum sind auch die Flash-Speicher betroffen, in denen kritische Programme und Daten abgelegt werden.

Unter dem Begriff Security versteht man im Kontext eines Automobils das Verbergen und Verschlüsseln aller denkbaren Informationen, damit das Entstehen von Datenlecks durch ausgefeilte Mechanismen wie etwa Seitenkanäle ausgeschlossen werden kann. Die im Flash-Speicher abgelegten Daten müssen verwürfelt und chiffriert werden, und auch für den Kommunikationskanal ist eine wirkungsvolle Verschlüsselung erforderlich. Bei der Safety im Automobilbereich geht es um 100-prozentige Beobachtbarkeit, Fehlerdetektierung und maximale Offenlegung von Informationen. Die Daten sind zu validieren, und Tests sollten ein sehr hohes Qualitätsniveau von ca. 0 DPPM gewährleisten. Hinzu kommt eine Defektanalyse, die eine Qualitätsverbesserung und das Ausfindigmachen der Fehlerursachen ermöglichen sollte.

Welche Fragen sollten Automobilhersteller stellen?

Automobilhersteller können wählen, welche Art von Flash-Technologie sie einsetzen wollen, und diese Entscheidung hat großen Einfluss darauf, ob ein Auto, das auf den Straßen unterwegs ist, geschützt oder für Angriffe anfällig ist. Bevor Sie also entscheiden, welchem Flash-Produkt Sie Ihre Safety und Security anvertrauen, sollten Sie die folgenden Fragen stellen:

• Ist die Flash-Technologie gemäß CC EAL5+ zertifiziert, und wenn ja, auf welchem Level?
  Eine geschützte Lösung ist ohne Zertifizierung nicht wirklich sicher und verlässlich. Die Zertifizierung gemäß CC EAL5+ bedeutet, dass der betreffende Flash-Speicher die höchsten Security-Anforderungen jeglicher Automobil-Anwendungen einschließlich V2V und V2X erfüllt. Mit diesem Security-Niveau kann die Architektur selbst die geringsten unbefugten Änderungen an den Daten erkennen und sie umgehend dem Host melden. Die gespeicherten Daten sind vor jeglichen nicht autorisierten Modifikationen geschützt, ganz gleich, ob diese mit Absicht herbeigeführt werden oder durch einen Fehler entstehen. Jede solche Modifikation wird sofort dem Host gemeldet, und dieser Melde-Mechanismus kann außerdem nicht blockiert werden. Darüber hinaus sollte das Flash-Array durch eine zusätzliche CRC-Ebene geschützt werden. Die Flash-Logik enthält ferner anspruchsvolle Funktionen zum Detektieren eines jeden falschen Betriebszustands. Das SPI-Interface schließlich verfügt über eine weitere Verschlüsselungs- und Fehlererkennungs-Ebene, die es schützt und vor Fehlern bewahrt.
  
  
• Besitzt die Fabrik, in der Ihre Flash-Lösung produziert wird, eine Safety-Zertifizierung gemäß ISO 26262?
  Der 2011 eingeführte Functional-Safety-Standard ISO 26262 ist ein Zertifizierungs-Indikator, mit dem sich verifizieren lässt, ob ein Automobilelektronik-Zulieferer die ASIL-Vorgaben (Automotive Safety Integrity Level) erfüllt. Die Automobilsicherheits-Zertifizierung gemäß ISO 26262 umfasst das Management der funktionalen Sicherheit, die Konzeptphase, Designs und Verifikationen auf der System-, Hardware- und Software-Ebene, die Bereiche Fertigung, Betrieb und Wartung sowie Dekommissionierungs-Dienste, womit der gesamte Produktlebenszyklus abgedeckt wird. Die Stufe ASIL-D der Norm ISO 26262 verkörpert den höchsten Grad an Risikomanagement. Für ASIL-D entwickelte Komponenten oder Systeme entsprechen somit den strengsten Safety-Anforderungen. Flash-Bausteine, in denen der Code für kritische Funktionen eines Fahrzeugs hinterlegt ist, sollten höchsten Safety-Anforderungen entsprechen und zur Senkung der Sicherheitsrisiken beitragen, indem sie für eine hochgradig zuverlässige Codespeicherung sorgen.
  
  
• Ist Ihre Security-Implementierung upgradefähig und programmierbar? Wie sieht Ihre Root-of-Trust-Implementierung (RoT) aus. Zeichnet sich Ihre Lösung durch Plattform-Resilienz aus?
  Geschützte Lösungen müssen unbedingt ein gewisses Maß an Plattform-Resilienz aufweisen, damit sie im Laufe der Zeit weiterentwickelt und angepasst werden können, um das System so vor Sicherheitsverletzungen zu schützen. Kommen traditionelle ROM- oder Embedded-Flash-Konzepte mit Mikrocontrollern oder SoCs zum Einsatz, wird der RoT-Code der Software-Implementierung im ROM gespeichert. Solche Systeme sind nicht upgradefähig und besitzen nicht die nötige Resilienz für künftige Attacken. Moderne Konzepte basieren dagegen auf Mikrocontrollern/SoCs und programmierbarem, geschütztem Flash-Speicher. Da die Implementierung dieser Lösungen auf Software und abgesicherter Hardware beruht, sind sie programmierbar und upgradefähig. Diese Art eines programmierbaren, hardwarebasierten RoT lässt sich fortlaufend aktualisieren, um mit einem immer breiter werden Spektrum an Bedrohungen fertig zu werden und für Plattform-Resilienz zu sorgen.

Es bedarf eindeutig einer neuen Technologie, die über einen kryptografisch abgesicherten, standardmäßigen SPI-Bus den Transfer von Code und Daten zwischen einem geschützten Bereich und einem SoC oder Mikrocontroller erlaubt. Es ist wahrscheinlich, dass diese besser geschützten Flash-Lösungen zwingend erforderlich sein werden, um die Sicherheitsrichtlinien und -standards zu erfüllen. Dies gilt insbesondere angesichts der ständig an Häufigkeit und Raffiniertheit zunehmenden Cyber-Attacken.

Das Auto der Zukunft

Fahrzeuge der nächsten Generation werden noch mehr elektronische Bauteile enthalten, denn die Konsumenten verlangen nach mehr Innovation in den hochentwickelten Safety-, Security-, Infotainment- und Komfort-Funktionen, und die staatlichen Vorgaben hinsichtlich des Kraftstoffverbrauchs werden immer strenger. Folglich wird es immer wichtiger, dass die zentrale Technologie, zu der die Flash-Speicher gehören, den höchsten Security- und Safety-Standards genügt. Da sich die von Hackern ausgehenden Bedrohungen durch wachsende Raffinesse auszeichnen, müssen die Halbleiterhersteller modernere Konzepte entwickeln, um diese Attacken schnell und effektiv abzuwehren. Wenn es um Ihr Auto geht, sollten die Security- und Safety-Aspekte kein Gebiet sein, auf dem Sie übermäßig sparsam sein möchten.

Weitere Informationen finden Sie hier