DE102017212757A1

DE102017212757A1 - Verfahren und Vorrichtung zum Schützen eines Feldbusses

Info

Publication number: DE102017212757A1
Application number: DE102017212757.0A
Authority: DE
Inventors: Benjamin Herrmann; Antonio La Marca; Liem Dang
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 2017-07-25
Filing date: 2017-07-25
Publication date: 2019-01-31
Also published as: CN111133722B; CN111133722A; WO2019020549A1

Abstract

Verfahren (20) zum Schützen eines Feldbusses (10), gekennzeichnet durch folgende Merkmale:- durch eine Überwachung (21) des Feldbusses (10) wird eine auf dem Feldbus (10) übertragene erste Botschaft empfangen,- eine für die erste Botschaft definierte Prüfvorschrift wird gesucht (22),- wird die Prüfvorschrift aufgefunden (23), so wird die erste Botschaft auf eine Anomalie geprüft (24), und- wird die Anomalie erkannt (25), so wird eine zweite Botschaft mit einem Botschaftszähler dergestalt übertragen (26), dass folgende Botschaften aufgrund einer fehlerhaften Abfolge verworfen werden.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Schützen eines Feldbusses. Die vorliegende Erfindung betrifft darüber hinaus eine entsprechende Vorrichtung, ein entsprechendes Computerprogramm sowie ein entsprechendes Speichermedium.
Stand der Technik
In der IT-Sicherheit wird jedwedes System zur Erkennung von Angriffen, die gegen ein Computersystem oder Rechnernetz gerichtet sind, als Angriffserkennungssystem (intrusion detection system, IDS) bezeichnet. Bekannt sind insbesondere Netzwerk-basierte IDS (NIDS), die alle Pakete in einem zu überwachenden Netzwerksegment aufzeichnen, analysieren und anhand bekannter Angriffsmuster verdächtige Aktivitäten melden.
WO2017042012A1 offenbart ein privates Controller Area Network (CAN) in einem Fahrzeug, um nicht unmittelbar angegriffene elektronische Steuereinheiten (electronic control units, ECUs) von nicht autorisierten Versuchen zu informieren, auf eine angegriffene ECU zuzugreifen. Jede ECU auf dem privaten CAN speichert einen gemeinsamen verschlüsselten Hacking-Benachrichtigungsschlüssel und einen eindeutigen Identifikationscode. Wenn eine erste Fahrzeugsystem-ECU einen unberechtigten Zugriffsversuch über das öffentliche CAN erkennt, sendet sie eine Warnmeldung an die anderen ECUs über das geschlossene, private CAN.
Offenbarung der Erfindung
Die Erfindung stellt ein Verfahren zum Schützen eines Feldbusses, eine entsprechende Vorrichtung, ein entsprechendes Eindringschutzsystem (intrusion prevention system, IPS) sowie Speichermedium gemäß den unabhängigen Ansprüchen bereit. Als IPS ist hierbei im weitesten Sinne jedes IDS zu verstehen, welches über die reine Erkennung von Angriffen hinaus auch Maßnahmen zu deren Abwehr ergreift.
Der vorgeschlagene Ansatz fußt hierbei auf der Erkenntnis, dass die Sicherheit im Fahrzeug nicht nur durch die verbauten Systeme und den Fahrer beeinflusst wird. Das Fahrzeug wird vielmehr zunehmend zum Ziel von Angriffen Dritter, welche die Kommunikation zwischen Sensoren, Aktoren und Steuergeräten im Fahrzeug über Netzwerke und Bussysteme wie CAN oder FlexRay stören. Um die negativen Auswirkungen einer solchen Störung der Kommunikation - insbesondere auf die Sicherheit des Fahrers - zu minimieren, sind verschiedene Mechanismen einsetzbar, um einen Ausfall bzw. eine Störung zu erkennen und darauf zu reagieren. Zu diesen Mechanismen zählen in Hardware umgesetzte Maßnahmen, wie beispielsweise die zyklische Redundanzprüfung (cyclic redundancy check, CRC) im CAN-Protokoll, deren Fehlschlag eine negative Empfangsquittierung (negative acknowledgment, NAK) auslöst, sodass die betreffenden Nutzdaten (payload) vom prüfenden Steuergerät nicht weiterverarbeitet werden.
Auch in Gestalt von Software stehen einschlägige Mechanismen zur Verfügung, so etwa die Überwachung von Datenlängen und Zykluszeiten, die in der Regel im Fahrzeug fest definiert sind. Abhängig vom Ergebnis der Überwachung werden ggf. Eingriffe vorgenommen, die beispielsweise nach dem Ausfall einzelner Botschaften Ersatzwerte oder Blinddaten (dummy) anstelle der vom Empfänger über den Bus empfangenen Nutzdaten verwenden, um das Fahrzeug in einen sicheren Zustand zu versetzen. Für Botschaften, deren Inhalt die Sicherheit des Fahrzeuges gefährden kann, wird der Botschaftsinhalt mit zusätzlichen Informationen wie CRC-Werten und Botschaftszählern (alive counters) angereichert, die von Empfängern überwacht werden können und für welche in gleicher Weise Diagnosen gestartet und gegebenenfalls Ersatzwerte angewendet werden.
Um Netzwerke zukünftig gegen Manipulationen bzw. Angriffe von außen zu sichern, sind Erweiterungen der Botschaftsinhalte durch (kryptografische) Signaturen bis hin zur kompletten Verschlüsselung von Botschaften denkbar. Diese Maßnahmen erfordern jedoch eine höhere Rechenleistung oder stärkere Hardwareunterstützung und können nicht von jedem Aktuator, Sensor oder Steuergerät im Fahrzeug zeitnah eingeführt werden.
Ein Vorzug der im Folgenden vorgestellten Verfahren zur Erkennung von Angriffen auf die fahrzeuginterne Kommunikation liegt dagegen in ihrer allgemeinen und von der Mitwirkung anderer Steuergeräte weitgehend unabhängigen Anwendbarkeit.
Durch die in den abhängigen Ansprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen des im unabhängigen Anspruch angegebenen Grundgedankens möglich.
Figurenliste
Ausführungsbeispiele der Erfindung sind in den Zeichnungen dargestellt und in der nachfolgenden Beschreibung näher erläutert. Es zeigt:

1 schematisch einen Feldbus mit einem Angriffserkennungssystem gemäß einer ersten Ausführungsform.
2 das Flussdiagramm eines Verfahrens gemäß einer zweiten Ausführungsform.

Ausführungsformen der Erfindung
Im Systembeispiel der 1 dargestellt ist ein Feldbus (10), an welchen ein erstes Steuergerät (11), ein zweites Steuergerät (12), ein drittes Steuergerät (13) und ein viertes Steuergerät (14) angeschlossen sind. In einem denkbaren Anwendungsszenario versendet das erste Steuergerät (11) eine Botschaft mit der Kennung (identifier, ID) „123“. Diese Botschaft wird vom zweiten Steuergerät (12) empfangen. Das vierte Steuergerät (14) hingegen versendet eine Botschaft mit der Kennung „789“. Diese Botschaft wird vom zweiten Steuergerät (12) und dritten Steuergerät (13) empfangen.
Das dritte Steuergerät (13) entspricht einer Ausführungsform der Erfindung und befolgt den in 2 illustrierten Ablauf. Deshalb empfängt das dritte Steuergerät (13) alle im Feldbus (10) definierten Botschaften im Rahmen einer Überwachung (21) der Netzwerkkommunikation. Ein von einem Angreifer korrumpiertes fünftes Steuergerät (15) versendet nun ebenfalls eine Botschaft mit der Kennung „123“. Das zweite Steuergerät (12) empfängt zwar auch diese Botschaft, erkennt sie indes nicht selbstständig als Angriff, da beispielsweise der CRC-Wert innerhalb der Botschaft mit der Kennung „123“ korrekt nachgebildet wurde, und verarbeitet den manipulierten Botschaftsinhalt daher durch seinen Programmkode weiter.
Ein auf dem dritten Steuergerät (13) betriebenes Angriffserkennungssystem (16) jedoch erkennt - zum Beispiel durch eine Plausibilitätsprüfung (Entscheidung 24) des Dateninhalts - die Anomalie (Zweig 25) der Botschaft „123“ und kann deren Abwehr (Prozess 26) einleiten.
Zu diesem Zweck sollte das Angriffserkennungssystem (16) die gesamte Kommunikation über den Feldbus (10) empfangen und verarbeiten. Lediglich solche Botschaften werden der Prüfung (24) unterzogen, die dem System bekannt (Entscheidung 22) und für welche Prüfvorschriften definiert sind (Zweig 23). Wird eine unbekannte Botschaft empfangen (Zweig 28), so wird diese nicht weiter geprüft. Optional kann in diesem Fall eine interne oder externe Warnung oder anderweitige Meldung (Prozess 29) des Umstandes erfolgen, dass eine unbekannte Botschaft empfangen wurde.
Zur Abwehr (26) von erkannten Angriffen auf die fahrzeuginterne Kommunikation wird die gleiche Botschaftskennung für eine ebenfalls valide, jedoch unschädliche Botschaft verwendet, die so gesendet wird, dass sie zeitlich vor oder nach der Angriffsbotschaft beim designierten Empfänger eintrifft und einen korrekten CRC-Wert aufweist. Der Botschaftszähler wird hierbei so verändert, dass die folgenden Botschaften aufgrund falscher Abfolge verworfen werden. Ein Spezialfall könnte hierbei sein, den Botschaftszähler um eine Einheit zu reduzieren; es könnte gleichwohl andere Spezialfälle geben, bei denen der Botschaftszähler inkrementiert werden muss oder mehrere Einheiten reduziert oder inkrementiert werden müssen, damit diese Botschaft erfolgreich ist.
Hierzu sei bemerkt, dass die Botschaft durchaus mehrere CRC-Werte enthalten mag, die in diesem Fall sämtlich korrekt zu berechnen wären. Beispielsweise enthält das CAN-Datentelegramm ein entsprechendes 16-Bit-Prüfsummenfeld, das sich auf die gesamte Nachricht bezieht und von zahlreichen Erstausrüstern (original equipment manufacturers, OEMs) um einen weiteren, spezifischen CRC-Wert im eigentlichen Datenfeld ergänzt wird.
Da diese „Abwehrbotschaft“ somit sämtliche CRCs besteht, wird der Empfänger sie anstelle der Angriffsbotschaft verarbeiten und seinen internen Zähler entsprechend erhöhen. Erreicht ihn beispielsweise kurz darauf die eigentliche Angriffsbotschaft, so wird diese - trotz bekannter Kennung und gültigem CRC-Wert - angesichts ihres mit der bereits verarbeiteten Abwehrbotschaft übereinstimmenden Botschaftszählers verworfen.
Als Nutzdaten für die Abwehrnachricht können entweder die letzten gültigen Daten übernommen, falsche Daten oder Dummy-Daten (z. B. eine Nullfolge) eingesetzt werden. Das optimale Vorgehen in dieser Hinsicht ist abhängig von der Funktionsweise der implementierten Funktion auf dem angegriffenen Steuergerät.
Der Abwehrmechanismus kann dabei sooft wie nötig ausgeführt werden. Durch den beschriebenen Abwehrmechanismus kann die angegriffene Funktion deaktiviert werden, falls die Implementierung auf dem angegriffenen Steuergerät eine solche Deaktivierung für den Fall des Eintreffens mehrerer „Duplikate“, also gültiger Botschaften mit übereinstimmendem Zähler, vorsieht.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

WO 2017042012 A1 [0003]

Claims

Verfahren (20) zum Schützen eines Feldbusses (10), gekennzeichnet durch folgende Merkmale: - durch eine Überwachung (21) des Feldbusses (10) wird eine auf dem Feldbus (10) übertragene erste Botschaft empfangen, - eine für die erste Botschaft definierte Prüfvorschrift wird gesucht (22), - wird die Prüfvorschrift aufgefunden (23), so wird die erste Botschaft auf eine Anomalie geprüft (24), und - wird die Anomalie erkannt (25), so wird eine zweite Botschaft mit einem Botschaftszähler dergestalt übertragen (26), dass folgende Botschaften aufgrund einer fehlerhaften Abfolge verworfen werden.
Verfahren (20) nach Anspruch 1, gekennzeichnet durch folgendes Merkmal: - wird die Anomalie nicht erkannt (27), so wird die Überwachung (21) fortgesetzt.
Verfahren (20) nach Anspruch 1 oder 2, gekennzeichnet durch folgendes Merkmal: - wird die Prüfvorschrift nicht gefunden (28), so wird die erste Botschaft als unbekannt gemeldet (29).
Verfahren (20) nach einem der Ansprüche 1 bis 3, gekennzeichnet durch folgendes Merkmal: - die erste Botschaft und die zweite Botschaft weisen ferner eine übereinstimmende Botschaftskennung auf.
Verfahren (20) nach einem der Ansprüche 1 bis 4, gekennzeichnet durch folgendes Merkmal: - die zweite Botschaft wird derart übertragen (26), dass die zweite Botschaft nach der ersten Botschaft oder vor oder nach der jeweils nächsten Angriffsbotschaft zugestellt wird.
Verfahren (20) nach Anspruch 4 oder 5, gekennzeichnet durch eines der folgenden Merkmale: - die zweite Botschaft umfasst gespeicherte gültige Nutzdaten, - die zweite Botschaft umfasst bekanntermaßen fehlerhafte Nutzdaten oder - die zweite Botschaft umfasst Blinddaten, insbesondere eine Nullfolge als Nutzdaten.
Verfahren (20) nach Anspruch 6, gekennzeichnet durch folgende Merkmale: - zumindest anhand der Botschaftskennung, des Botschaftszählers und der Nutzdaten wird eine Prüfsumme, insbesondere ein CRC-Wert berechnet und - die zweite Botschaft umfasst ferner die Prüfsumme.
Computerprogramm, insbesondere Angriffserkennungssystem (16), welches eingerichtet ist, das Verfahren (20) nach einem der Ansprüche 1 bis 7 auszuführen.
Maschinenlesbares Speichermedium, auf dem das Computerprogramm nach Anspruch 8 gespeichert ist.
Vorrichtung, die eingerichtet ist, das Verfahren (20) nach einem der Ansprüche 1 bis 7 auszuführen.