-
Die Erfindung betrifft ein Verfahren zum Eindämmen eines Angriffs auf ein Steuergerät, insbesondere auf ein Motorsteuergerät in einem Fahrzeug, und eine Anordnung zum Durchführen des Verfahrens. Die Erfindung betrifft weiterhin ein Computerprogramm und ein maschinenlesbares Speichermedium zum Durchführen des Verfahrens.
-
Stand der Technik
-
Steuergeräte sind elektronische Module, die in (Kraft-) Fahrzeugen zur Steuerung und Regelung von technischen Komponenten und damit von Vorgängen bzw. Abläufen in diesen Fahrzeugen eingesetzt werden. Motorsteuergeräte werden zum Steuern und/oder Regeln des Motors des Fahrzeugs eingesetzt und sind von besonderer Bedeutung beim Betrieb des Fahrzeugs.
-
Im Betrieb des Fahrzeugs ist es insbesondere wichtig, die Sicherheit beim Betrieb des Fahrzeugs, die sogenannte Betriebssicherheit bzw. Safety, sicherzustellen. Alle Einrichtungen und Vorgänge im Fahrzeug, die hierzu dienen, werden unter dem Begriff der Safety-Überwachung bzw. Safety-Monitoring zusammengefasst. Neben der Betriebssicherheit ist in Fahrzeugen verstärkt auch die sogenannte Informationssicherheit bzw. Security von Bedeutung, deren Ziel es ist, die Vertraulichkeit von Daten und Informationen auch bei Angriffen von außen oder innen sicherzustellen. Insbesondere ist dabei zu beachten, dass sich solche Angriffe sowohl auf die Security als auch auf die Safety auswirken können. Das hierin vorgestellte Verfahren stellt ein Vorgehen bei einem erkannten Angriff dar und dient somit sowohl der Safety als auch der Security.
-
So ist es bekannt, in einem Motorsteuergerät in einer Monitoring-Komponente Plausibilitätsprüfungen im Hinblick auf die Safety durchzuführen und bei Fehlerverdacht Werte, wie bspw. die Drehmomentbegrenzung, zu korrigieren. Dieser Ansatz ist als Safety-Mehrebenenkonzept bekannt.
-
Weiterhin ist zu berücksichtigen, dass Steuergeräte eingebaute Selbsttests, sogenannte Built-in Self-Tests, durchführen. Zudem gibt es aufgrund der Emissionsgesetzgebung im Motorsteuergerät besonders viele Diagnose-Fehler-Überprüfungen bzw. Diagnostic Fault Checks. Bei Erkennen eines Fehlers, z. B. bei einem Sensorausfall, werden vordefinierte ausfallsichere Werte, sogenannte Fail-Safe-Werte, verwendet, um das Steuergerät in einen sicheren Zustand zu überführen. Dies wird unter dem Begriff „Limp Home“ zusammengefasst.
-
Es sind weiterhin Angrifferkennungssysteme bekannt, die dazu dienen, einen Angriff, der gegen ein Computersystem oder Rechnernetz gerichtet ist, zu erkennen. Diese Systeme werden auch als Intrusion Detection Systeme (IDS) bezeichnet. Solche Intrusion Detection Systeme sind aus der IT-Welt (IT: Informationstechnologie) bekannt und dort verbreitet. Sie werden in Host Intrusion Detection Systeme, die einen Angriff auf einen einzelnen Rechner erfassen und daher auch auf diesem Rechner installiert sein müssen, und Network Intrusion Detection Systeme, die Anomalien im Netzwerkverkehr erkennen, unterteilt. Die Network Intrusion Systeme werden auch dazu eingesetzt, Angriffsmuster im Netzwerkverkehr zu erkennen.
-
Derzeit werden erste Intrusion Detection Systeme für Fahrzeuge entwickelt. Bei diesen wird angestrebt, einen erkannten Angriff an den Fahrzeughersteller, bspw. als Web- Dienst bzw. Service über Mobilfunk, zu melden, so dass dieser geeignete Gegenmaßnahmen einleiten kann.
-
Die Druckschrift
EP 2 433 457 B1 beschreibt ein Sicherheitssystem für Fahrzeuge und ein Verfahren zum Erkennen eines Eindringens, eine sogenannte Intrusion Detection. Dabei wird ein Verfahren zum Umprogrammieren eines Knotens eines elektronischen Kommunikationssystems beschrieben, bei dem ein Signal von einem ersten zu einem zweiten Knoten gesendet wird, wobei das Signal verlangt, dass der zweite Knoten umprogrammiert wird, der zweite Knoten verwendet wird, um eine Identifikation des ersten Knotens an andere Knoten rundzusenden und der zweite Knoten nur dann umprogrammiert wird, wenn eine zuvor festgelegte Menge der anderen Knoten anhand der Identifikation bestätigt, dass der erste Knoten legitim ist.
-
Offenbarung der Erfindung
-
Vor diesem Hintergrund werden ein Verfahren mit den Merkmalen des Anspruchs 1 und eine Anordnung gemäß Anspruch 7 vorgestellt. Es werden weiterhin ein Computerprogramm nach Anspruch 8 und ein maschinenlesbares Speichermedium gemäß Anspruch 9 vorgestellt. Ausführungsformen ergeben sich aus den abhängigen Ansprüchen und der Beschreibung.
-
Das vorgestellte Verfahren dient zum Eindämmen eines erfassten Angriffs auf ein Steuergerät in einem Steuergeräteverbund. Dabei ist vorgesehen, dass nach Erkennen des Angriffs auf das Steuergerät ein Security-Manager in dem Steuergeräteverbund über Security-Rückfallebenen entscheidet und diese den verbleibenden Steuergeräten als Befehle bzw. Kommandos mitteilt.
-
Die beschriebene Anordnung ist zur Durchführung des vorgestellten Verfahrens eingerichtet und ist bspw. in einem Steuergerät implementiert bzw. als solches ausgebildet. Die Anordnung kann als Hard- und/oder Software implementiert sein. Ein entsprechendes Computerprogramm, das diese Software darstellt, ist ebenfalls Gegenstand dieser Anmeldung.
-
Zu beachten ist, dass ein Angriff immer zunächst auf eines der vielen Steuergeräte eines Fahrzeugs, z. B. über das Internet auf das Central Gateway Steuergerät, erfolgt. Übernimmt ein Angreifer die Kontrolle über ein Steuergerät, z. B. per Control Flow Hijacking Exploit, ist bisher keine Eindämmung des Angriffs, bspw. eine Verhinderung nachfolgender Angriffe auf weitere Steuergeräte, möglich.
-
Das vorgestellte Verfahren ermöglicht nunmehr eine erhöhte Resilienz gegenüber Cybersecurity-Angriffen. Unter Resilienz ist dabei die Fähigkeit eines Netzwerks, bspw. eines Steuergeräteverbunds, zu verstehen, bei einer Beeinträchtigung in einem Teil des Verbunds nicht vollständig auszufallen.
-
Das vorgestellte Verfahren dient zum Eindämmen eines Angriffs auf ein Steuergerät. In diesem Fall hat ein Angriff auf das Steuergerät, das sich typischerweise in einem Steuergeräteverbund mit weiteren Steuergeräten befindet, bereits stattgefunden und dieser wurde erkannt. Nunmehr setzt das hierin beschriebene Verfahren an und bewirkt, dass dieser Angriff eingedämmt wird, d. h., dass Maßnahmen getroffen werden, die die Auswirkungen des Angriffs auf das betroffene Steuergerät und auf weitere Steuergräte im Verbund abmildern und ggf. sogar dazu führen, dass der Angriff abgebrochen wird bzw. nicht fortgeführt wird.
-
Das vorgestellte Verfahren sieht hierzu vor, dass Nachrichten zwischen Steuergeräten im Fahrzeugnetzwerk über Security-Rückfallebenen, insbesondere durch sogenannte Steuer- und Statusnachrichten, ausgetauscht werden.
-
Steuergeräte im Fahrzeug, einschließlich Schaltern bzw. Switches und Zugängen bzw. Gateways, implementieren Security-Rückfall- bzw. Fallback-Ebenen. Bei Erkennen eines erfolgreichen Angriffs auf ein Steuergerät entscheidet ein Security-Manager über die angemessene Reaktion. Es wird hierzu auf 1 verwiesen. Die Erkennung eines Angriffs kann mittels einer externen Erfassung, wie bspw. einer Host Intrusion Detection oder einer Network Intrusion Detection, erfolgen.
-
Reaktionen auf einen Angriff können sein:
- - Deaktivierung bestimmter Kommunikationswege zwischen Fahrzeug und Umgebung, z. B. Mobilfunk und WiFi,
- - Deaktivierung bestimmter Schnittstellen im Fahrzeugnetzwerk: ein Schalter bzw. Switch oder ein Zugang bzw. Gateway kann Nachrichten betroffener Steuergeräte verwerfen, anstatt sie weiterzuleiten,
- - Deaktivierung bestimmter Software-Schnittstellen zur Verkleinerung der verbleibenden Angriffsfläche,
- - Einschränkung von Fahrfunktionen, z. B. Begrenzung von Maximalgeschwindigkeit oder Drehmoment,
- - Rücksetzen bzw. Reset eines betroffenen Steuergeräts bei nächster Gelegenheit, bspw. beim nächsten Fahrzeughalt.
-
Das vorgestellte Verfahren ermöglicht, zumindest in einigen der Ausführungen, eine erhöhte Resilienz gegenüber Cybersecurity-Angriffen.
-
Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und den beigefügten Zeichnungen.
-
Es versteht sich, dass die voranstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.
-
Figurenliste
-
- 1 zeigt in schematischer Darstellung eine Anordnung zum Durchführen des Verfahrens.
- 2 zeigt in einem Flussdiagramm einen Ablauf einer Ausführungsform des vorgestellten Verfahrens.
-
Ausführungsformen der Erfindung
-
Die Erfindung ist anhand von Ausführungsformen in den Zeichnungen schematisch dargestellt und wird nachfolgend unter Bezugnahme auf die Zeichnungen ausführlich beschrieben.
-
1 zeigt eine Anordnung zum Durchführen des Verfahrens, die insgesamt mit der Bezugsziffer 10 bezeichnet ist und in einem Fahrzeug zum Einsatz kommt. Die Darstellung zeigt einen Schalter bzw. Zugang 12, ein angegriffenes Steuergerät 14 mit einem Host Intrusion Detection System 16, ein Kommunikationssteuergerät 18, einen Security-Manager 20, ein Network Intrusion Detection System 22 und verbleibende Steuergeräte 24. Das Network Intrusion Detection System 22 ist als dediziertes Steuergerät im Steuergeräteverbund des Fahrzeugs implementiert.
-
Wichtige Komponenten sind somit die Intrusion Detection Systeme 16, 22, der Security-Manager 20 sowie die verbleibenden, nicht unter Kontrolle des Angreifers stehenden Steuergeräte einschließlich der Schalter und Zugänge 12.
-
Es kann jeweils mehrere Host Intrusion Detection Systeme und Network Intrusion Detection Systeme geben. Diese können jeweils als eigenes Steuergerät oder als zusätzliche Software auf einem Steuergerät laufen. Möglich ist auch eine Implementierung mit Hypervisor im Rahmen einer (Hardware-)Virtualisierung.
-
Unter Hardware-Virtualisierung ist die Virtualisierung von Computern als vollständige Hardware-Plattformen, bestimmte logische Abstraktionen ihrer Komponenten oder nur der Funktionalität zu verstehen, die erforderlich ist, um verschiedene Betriebssysteme zu betreiben. Die Virtualisierung versteckt die physischen Eigenschaften einer rechnenden Plattform bzw. Computerplattform vor den Nutzern und zeigt anstelle dessen eine abstrakte rechnende Plattform.
-
Zu beachten ist, dass viele Prozessoren bestimmte Instruktionen bzw. Maschinenbefehle anbieten, die eine effiziente, da ein geringerer Overhead an Rechenleistung erforderlich ist, und sichere Virtualisierung ermöglichen. Ein virtualisiertes Gast-System hat keinerlei Zugriff auf den Hypervisor und andere Gastsysteme.
-
Es kann außerdem einen oder mehrere Security-Manager geben. Diese können jeweils als eigenes Steuergerät oder als Software auf einem Steuergerät implementiert werden. Möglich ist jeweils auch eine Implementierung mit Hypervisor im Rahmen einer Virtualisierung.
-
Nachrichten über erfolgreiche Angriffe werden an den bzw. die Security-Manager 20 geschickt. Der Security-Manager 20 entscheidet über Security-Rückfallebenen und teilt diese den verbleibenden Steuergeräten 24 als Kommandos mit. Eine Rückkehr aus einer Security-Rückfallebene zum Normalbetrieb erfordert eine besondere Authentisierung, beispielsweise von einer Werkstatt. Falls externe Schnittstellen, wie bspw. Mobilfunk, nicht deaktiviert wurden, ist auch eine Fernwartung mit besonderer Authentisierung denkbar.
-
Eine Security-Rückfallebene ist ein bestimmter Betriebsmodus des Steuergeräteverbunds oder eines individuellen Steuergeräts, der der Eindämmung eines Angriffs dient. Dieser Betriebsmodus umfasst eine andere Funktionalität als die üblichen Betriebsmodi, wie bspw. „Driving“ (normaler Fahrbetrieb). Insbesondere sind viele sonst verfügbare Funktionen deaktiviert oder verändert bzw. eingeschränkt, um die verbleibende Angriffsfläche und das Schadenspotential zu reduzieren.
-
Rückfallebenen können entweder für den Steuergeräteverbund oder individuell für einzelne Steuergeräte definiert werden. Ein Ausführungsbeispiel für den ersten Fall stellt eine im Steuergeräteverbund eindeutige Rückfallebenen-ID dar, entsprechend der jedes Steuergerät seine jeweiligen Aktionen ausführt. Die Rückfallebene kann als Übertragung bzw. Broadcast kommandiert werden. Ein Ausführungsbeispiel für den zweiten Fall, der steuergeräteindividuellen Rückfallebene, ist durch Rückfallebenen-IDs gegeben, die im Steuergeräteverbund nicht eindeutig sind und daher jeweils für ein bestimmtes Steuergerät befohlen werden. Die entsprechende Nachricht umfasst dann die Rückfallebenen-ID zusammen mit der Zielsteuergerät-ID.
-
Von Bedeutung sind die Nachrichten über Security-Rückfallebenen, nämlich Steuer- und Statusnachrichten, zwischen Steuergeräten im Fahrzeugnetzwerk. Die verbleibende Steuergeräte 24 senden Statusnachrichten bezüglich ihrer aktuellen Security-Rückfallebene.
-
Durch die rechteckigen Kästen in der Darstellung, die mit Bezugsziffern 14, 16, 18, 20, 22 und 24 bezeichnet sind, sind somit Steuergeräte dargestellt. Die geraden Striche 30, 32, 34, 36 und 38 zeigen einen Kommunikationsbus, bspw. Ethernet, an, der die Steuergeräte miteinander verbindet. Pfeile 40, 42, 44 und 46 zeigen die Richtung an, in denen Nachrichten übertragen werden. Diese sind:
- Pfeil 40: Incident report message; Ereignis-Bericht-Nachricht
- Pfeil 42: Incident report message; Ereignis-Bericht-Nachricht
- Pfeil 44: Security fallback A command message; Security-Rückfallebene A, Befehlsnachricht
- Pfeil 46: Security fallback A status message; Security-Rückfallebene A, Statusnachricht
-
Ein Symbol 49 kennzeichnet einen Angriff.
-
2 zeigt in einem Flussdiagramm einen möglichen Ablauf des beschriebenen Verfahrens. In einem ersten Schritt 50 wird ein Angriff auf ein Steuergerät, das in einem Steuergeräteverbund in einem Kraftfahrzeug vorgesehen ist, erfasst. In einem zweiten Schritt 52 werden den verbleibenden Steuergeräten von einem Security-Manager sogenannte Security-Rückfallebenen mitgeteilt, die dann von diesen eingenommen werden. Anschließend werden in einem Schritt 54 Gegenmaßnahmen eingeleitet. Sind diese erfolgreich, so können in einem Schritt 56 die verbleibenden Steuergeräte wieder in einen Normalbetrieb übergehen.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Patentliteratur
-
