Mit Crypto Companion flexibel auf OEM-Spezifikationen reagieren

Vernetzte Fahrzeuge bilden Netzwerke und bieten Zugang zu In-Vehicle-Netzwerken, die vielen Angriffsformen ausgesetzt sind. Solche Angriffe sind real und gut dokumentiert, was den Ruf der Marke schädigen und zu Umsatzeinbußen aufgrund von Rückrufen führen kann. Die Branche steht vor einer echten Herausforderung, die von vielen Regierungen und Konsortien erkannt wird, was durch die Vielzahl neuer gesetzlicher Vorgaben sowie Branchen- und OEM-Cybersicherheitsspezifikationen wie ISO, IEC, SAE, NHTSA, ETSC, Jaspar, Auto-Isac, Evita und Autosar ersichtlich wird (um nur einige zu nennen). Zwar gibt es keinen einheitlichen Standard, auf den sich alle OEMs weltweit geeinigt haben, aber es gibt einige gemeinsame Sicherheitsziele.

Secure Boot und CAN-Authentifizierung

Die Zeitpläne für die Einführung variieren von Region zu Region, aber fast alle OEMs fügen in ihren Cybersicherheitsspezifikationen neue Anforderungen für das sichere Booten (Secure Boot) hinzu. Damit wird sichergestellt, dass der in einer bestimmten elektronischen Steuereinheit (ECU) ausgeführte Anwendungscode – vor allem in Bezug auf die funktionale Sicherheit – während des Lebenszyklus des Fahrzeugknotens authentisch und weiterhin vertrauenswürdig ist. Der Code muss bei jedem Einschalt-/Reset-Ereignis sicher verfizierbar sein und ist beim Aktivieren aus dem Sleep-Modus oder periodisch wiederholbar, während das Fahrzeug in Betrieb ist.

Eng verbunden mit dem sicheren Booten ist die Fähigkeit, Code im Feld sicher zu aktualisieren, indem Code-Signaturen überprüft werden, um die Codequelle zu authentifizieren, bevor mit dem Update fortgefahren wird. Die CAN-Nachrichtenauthentifizierung (Controller Area Network) wird ebenfalls zu den neuen Cybersicherheitsspezifikationen für den Automotive-Bereich hinzugefügt. In den meisten Fällen passt sie sich dem Übergang von CAN 2.0 zu CAN mit flexibler Datenrate (CAN FD) an. CAN FD hat wesentlich mehr Byte zur Verfügung (64 Byte im Vergleich zu 8 Byte bei CAN 2.0), um Message Authentication Codes (MACs) und Freshness Counter für jede Nachricht hinzuzufügen.

Crypto Companion Secure Elements

Alle diese neuen Anforderungen können für Tier-1-Lieferanten besonders aufwendig sein, ohne dass jeder Knoten wesentlich neu entwickelt werden muss. Viele bestehende ECUs sind mit Mikrocontrollern (MCUs) mit geringer oder keiner Hardwaresicherheit ausgestattet. Um die bevorstehenden hardwarebasierenden Cybersicherheitsanforderungen der OEMs zu erfüllen, muss eine ECU, die eine 8-, 16- oder 32-Bit-MCU ohne Hardwareverschlüsselung verwendet, auf eine teurere, leistungsfähige 32-Bit-MCU mit zusätzlichen Schutzfunktionen, Krypto-Beschleunigung und größerem nichtflüchtigen Speicher umsteigen. Neben den höheren Chipkosten sind auch Softwareentwicklungskosten für die Portierung des Anwendungscodes zu beachten, einschließlich der zusätzlichen Risiken, die sich bei der Entwicklung des Sicherheitscodes ergeben.

Angesichts der Anzahl der aufzurüstenden Module erscheint es für einen Tier-1-Lieferanten unpraktisch, sie alle gleichzeitig neu zu entwickeln, insbesondere wenn nicht viele oder gar keine eigenen Sicherheitsressourcen vorhanden sind. Das Hinzufügen eines vorprogrammierten Crypto Companion Secure Elements, um alle sicherheitsrelevanten Funktionen wie das Erzeugen von Sicherheitsschlüsseln, das Speichern von Schlüsseln mit Manipulationsschutz und Krypto-Beschleuniger durchzuführen, kann die Markteinführung bei weniger Kosten, Risiken und Komplexität beschleunigen.

Konfigurierbarkeit ist der Schlüssel

Konfigurierbarkeit ist für Tier-1-Lieferanten äußerst wichtig, um die verschiedenen OEM-Cybersicherheitsspezifikationen einfach zu unterstützen. Sichere Boot-Schemata sollten konfigurierbar sein, um verschiedenen Authentifizierungstypen wie MAC-basiert (symmetrisch), signaturbasiert (asymmetrisch), Hash-basiert oder Hybrid-basiert gerecht zu werden. Boot-Ausführungsstrategien wie vollständig, parallel oder teilweise sind zusammen mit konfigurierbaren Antworten auf nicht authentifizierten Code zu sichern. Die Interoperabilität von Sicherheitsimplementierungen ist entscheidend, um Lösungen reibungslos einführen zu können, die CAN-MAC unterstützen. Natürlich muss das CAN-Frame-Format in jedem Fahrzeug beziehungsweise auf jeder Plattform eine Standardisierung erfahren.

Verschiedene Gruppen von Nachrichten können unterschiedliche MAC-Typen erfordern, zum Beispiel AES-CMAC oder SHA-HMAC. Die Anzahl von MAC-Bits und Freshness Counter Bits kann dabei variieren. OEMs schreiben dies eindeutig vor. Die Konfigurierbarkeit bleibt jedoch wichtig, um die gleiche Hardwarelösung für mehrere OEM-Plattformen wiederverwenden zu können. Darüber hinaus muss für ECUs, die aussagekräftige CMAC-authentifizierte Nachrichten senden, derselbe Schlüssel auf jedem der beteiligten ECUs vorhanden sein. Eine auf Standards basierende sichere Schlüsselverteilung oder Schlüsselvereinbarungsschemata sind wichtig, um die Interoperabilität einer Vielzahl von Hardware-Sicherheitslösungen zu garantieren.

Entwicklungskit für Automotive-Sicherheit

Die Entwicklung dieser neuen Designs kann für Tier-1-Zulieferer entmutigend sein. Angenommen, ein Entwickler erhält Muster von mehreren Halbleiterherstellern – was jetzt? Es ist schwierig, eine einfache Umgebung zu finden, um mit der Konfiguration von Secure-Boot- und CAN-MAC-Schemata zu beginnen und ein Fahrzeugnetzwerk zu emulieren. Hier bietet ein Entwicklungskit für Automotive-Sicherheit wie Microchips Crypto Automotive In-Vehicle Network (IVN) Trust-Anchor/Border Security Device (TA/BSD) Kit einen einfachen Einstieg, indem ein sicherer IVN-Netzwerkknoten emuliert wird, der sich einfach konfigurieren lässt, um Abweichungen bei den OEM-Spezifikationen zu unterstützen.

Eine grafische Benutzeroberfläche (GUI) wird mit einer Vielzahl vorkonfigurierter Möglichkeiten bereitgestellt. Wird ein TA/BSD-Entwicklungskit mit einem Host-MCU-Kit verbunden, lässt sich ein sicherer Start schnell konfigurieren. Zwei oder mehr TA/BSD-Kits lassen sich verbinden, um ein Netzwerk für die schnelle Implementierung konfigurierbarer CAN-Nachrichtenauthentifizierungstypen und -gruppen zu erstellen. Letztendlich lassen sich diese Kits einsetzen, um verschiedene Schlüsselvereinbarungsschemata zu unterstützen. Außerdem lassen sie sich an externe ECUs anbinden, um ein interoperables Schema für mehrere Lösungen zu erstellen.

Neue Cybersicherheitsspezifikationen der OEMs, zusammen mit den damit verbundenen Anfragen nach Informationen und Angeboten, finden sich immer häufiger, um schnelle Sicherheits-Updates für bestehende Tier-1-Designs umzusetzen. Dabei sind Wege zu finden, um diesen Übergang mit möglichst geringen Auswirkungen zu ermöglichen. Crypto Companion Secure Elements und zugehörige Entwicklungskits sind eine Möglichkeit, diesen Übergang zu vereinfachen.

(na)