08/9/2023 |
Aufgrund des steigenden Bedarfs an Maßnahmen zur Reduzierung von Treibhausgasemissionen haben Länder weltweit im Laufe der Jahre Vorschriften, Standards und Infrastrukturen für Elektrofahrzeuge (EV) als Alternative zu konventionellen Fahrzeugen entwickelt. Die Vehicle-to-Grid-Technologie (V2G) hat sich aufgrund der Nachfrage nach reduzierten Emissionen und sauberer Energie rasant weiterentwickelt. Die V2G-Kommunikation umfasst die Kommunikation zwischen dem Elektrofahrzeug (EV), der Ladestation und dem Stromnetz. Sie beinhaltet auch die Abrechnung der von der Ladestation an das Elektrofahrzeug gelieferten Energiemenge. Dies erfordert eine bidirektionale Kommunikation für den Informationsaustausch zwischen Elektrofahrzeug und Ladestation. Daher wächst die Besorgnis hinsichtlich der Sicherheit beim Ladevorgang eines Elektrofahrzeugs.
In V2G-Systemen ist der Informationsaustausch zwischen Elektrofahrzeug (EV) und Systemadministrator (SE) unerlässlich, um die Ladeanforderungen des EV zu erfüllen. Die Kommunikation zwischen beiden muss vor Cyberangriffen geschützt werden. Die Vertraulichkeit der Datenkommunikation zwischen EV und SE muss gewahrt und die Identität von SE und EV während der Kommunikation sichergestellt werden. Wenn der SE das EV falsch identifiziert oder fehlerhafte Ladeinformationen von einer böswilligen Quelle erhält, können die Ladeanforderungen des EV möglicherweise nicht erfüllt werden. Daher ist höchste Sorgfalt geboten, um die Integrität der Daten zwischen EV und SE zu gewährleisten. Die Datenkommunikation ist ein entscheidender Bestandteil des V2G-Systems. Ihre Verfügbarkeit muss daher sichergestellt sein.
Die oben genannten Sicherheitsanforderungen wurden in verschiedenen Standards für die V2G-Kommunikation berücksichtigt. Dennoch ist kein System vollständig sicher und muss daher kontinuierlich auf Schwachstellen geprüft werden. Die Integration von Sicherheitsprüfungen während des Entwicklungszyklus reduziert das Risiko von Cyberangriffen.
Abbildung 1: Abbildung 1: V-Modell der Cybersicherheit in der Automobilindustrie
Es ist von entscheidender Bedeutung, Cybersicherheitsprüfungen und -prozesse in jeder Phase des Entwicklungszyklus zu integrieren. Die obige Abbildung veranschaulicht dies anhand des V-Modells. Der Entwicklungsprozess beginnt stets mit der Analyse von Anforderungen und Architekturen, gefolgt von der Entwurfsphase. In diesen Phasen sollte die Sicherheitsanalyse durchgeführt werden. Der Vorteil einer Sicherheitsbewertung in diesen Phasen liegt darin, dass alle Sicherheitsanforderungen hinsichtlich Hardware, Software und Ressourcen von Beginn an bekannt sind, wodurch der Nachbearbeitungsaufwand minimiert wird. Während der Implementierungs- und Integrationsphase werden alle in der Sicherheitsbewertungsphase ermittelten Sicherheitsanforderungen umgesetzt. Um unbekannte Schwachstellen aufzudecken, sollten Fuzz-Tests durchgeführt werden. Nach der Implementierungs- und Integrationsphase können Penetrationstests durchgeführt werden, um die Ergebnisse der Sicherheitsbewertung zu validieren.
In diesem Artikel möchten wir zwei wichtige Angriffsarten vorstellen und demonstrieren: Denial-of-Service-Angriffe (DoS) und Man-in-the-Middle-Angriffe (MITM) auf eine V2G-Umgebung. Folgende Annahmen werden getroffen:
Annahmen
Vorbereitungen für den Angriff
Für dieses Experiment wurde ein Open-Source-V2G-Stack eingesetzt und zwei Mikrocontroller ausgewählt – einer zur Simulation eines Elektrofahrzeugs (EV) und der andere zur Simulation eines SE. Die beiden Mikrocontroller sind über ein Ethernet-Kabel mit einem Router verbunden. Anschließend wählten wir ein geeignetes Netzwerküberwachungstool sowie ein Python-basiertes Tool zur Manipulation des Netzwerkverkehrs aus und konfigurierten den Angreiferknoten entsprechend für die Durchführung der Angriffe. Danach wurde der Angreiferknoten in dasselbe Netzwerk wie das EV und das SE integriert.
Aufbau des Penetrationstests
Die V2G-Kommunikation in unserem System basiert auf Ethernet, die Kommunikation zwischen EV und SE hingegen auf IP. Daher konzentrierten wir uns auf die Protokolle IPv6 und ICMP, um Schwachstellen auf Protokollebene zu identifizieren und so MITM- und DOS-Angriffe zu ermöglichen.
Schnüffelattacke durch einen Mann in der Mitte:
Ein Man-in-the-Middle-Angriff ist eine Form des Abhörens, bei der die Kommunikation zwischen zwei Nutzern von einer unbefugten Person überwacht und/oder verändert wird. Dabei scheint die Kommunikation zwischen den beiden autorisierten Parteien normal zu verlaufen. Der Sender erkennt nicht, dass der Empfänger ein Angreifer oder eine unbefugte Person ist, die versucht, auf die Nachricht zuzugreifen oder sie zu verändern, bevor sie diese erneut an den Empfänger sendet. Wir haben einen solchen Man-in-the-Middle-Angriff durchgeführt, bei dem der Datenverkehr zwischen dem Elektrofahrzeug und der Ladestation aufgezeichnet wurde.
Der Angreiferknoten sendet ein Nachbaranfragepaket an das Elektrofahrzeug und gibt sich dabei als Ladestation aus, indem er die IP-Adresse der Ladestation verwendet, wie in Abbildung 2 dargestellt.
Abbildung 2: Angreifer sendet eine Unicast-Nachbarankündigung an EVCC
Das Elektrofahrzeug empfängt eine Anfrage der Ladestation (die tatsächlich vom Angreiferknoten stammt). Der Angreifer sendet seine eigene MAC-Adresse in einer Nachbaranfrage auf der Quellverbindungsschicht an das Elektrofahrzeug. Dadurch nimmt das Elektrofahrzeug an, es handele sich um die MAC-Adresse der Ladestation und aktualisiert diese daher in seinem Cache.
Aus diesem Grund wird der Datenverkehr vom Elektrofahrzeug zur Ladestation über den Angreiferknoten geleitet (siehe Abbildung 3). Auf dem Angreiferknoten wird der Datenverkehr mithilfe eines Netzwerküberwachungstools beobachtet. Die Nachrichten wurden überwacht, um eine geeignete Nachricht bzw. einen geeigneten Kommunikationsabschnitt zu identifizieren, der für einen weiteren Angriff ausgenutzt werden kann.
Abbildung 3: IPv6-Datenverkehr – Man-in-the-Middle-Sniffing
Denial-of-Service-Angriff:
Ein Denial-of-Service-Angriff (DoS-Angriff) ist ein Sicherheitsvorfall, bei dem ein Angreifer einen legitimen Nutzer an der Nutzung von Diensten hindert. Der von uns durchgeführte DoS-Angriff hat den Kunden daran gehindert, sein Elektrofahrzeug aufzuladen.
Zur Durchführung des DoS-Angriffs wurde, wie in Abbildung 4 dargestellt, eine ungültige MAC-Adresse (die im Netzwerk nicht verwendet wird) in der Nachbaranfragenachricht gesendet. (Abbildungsverweis hinzufügen)
Abbildung 4: Der Angreifer sendet eine Unicast-Nachbarankündigung an EVCC.
Dadurch hat die Nachricht ein ungültiges oder gar kein Ziel im Netzwerk, und folglich erreichen Nachrichten vom Elektrofahrzeug die Ladestation nicht. Abbildung 5 veranschaulicht die Auswirkungen eines DOS-Angriffs auf den Kommunikationsfluss während des Ladevorgangs.
Abbildung 5: IPv6-Datenverkehr – Man-in-the-Middle-Sniffing
Detaillierte Sicherheitsanalysen und Penetrationstests können diese Art von Angriffen verhindern. Wurden alle Sicherheitsprüfungen am oben beschriebenen Versuchsaufbau durchgeführt, lässt sich die Schwachstelle durch eine Sicherheitsanalyse in der Entwurfsphase (in diesem Fall des Versuchsaufbaus) frühzeitig identifizieren und in der Penetrationstestphase validieren. Wir bei KPIT haben einen umfassenden Prozess etabliert, um verschiedene Sicherheitsprüfungen in unterschiedlichen Phasen der Entwicklung von Automobilsystemen zu integrieren. Diese Sicherheitsmaßnahmen umfassen Sicherheitsanalysen, Penetrationstests, Fuzzing und HSM-basierte Sicherheitsdienste im Entwicklungszyklus von Automobilsystemen und der Fahrzeugkommunikation, einschließlich V2V, V2I und V2G.
KMU – Cybersicherheit in der Automobilindustrie
KPIT Technologies
Softwareentwickler – Cybersicherheit im Automobilbereich
KPIT Technologies
Empfehlen
Likes
Empfehlen
Likes
