IT201700013903A1

IT201700013903A1 - METHOD AND SYSTEM TO CONTRAST A COMPUTER ATTACK TO A VEHICULAR DATA NETWORK

Info

Publication number: IT201700013903A1
Application number: IT102017000013903A
Authority: IT
Inventors: Massimo Prata
Original assignee: Fpt Ind Spa
Priority date: 2017-02-08
Filing date: 2017-02-08
Publication date: 2018-08-08

Description

“METODO E SISTEMA PER CONTRASTARE UN ATTACCO INFORMATICO AD UNA RETE DATI VEICOLARE” "METHOD AND SYSTEM TO FIGHT A COMPUTER ATTACK TO A VEHICLE DATA NETWORK"

Campo di applicazione dell’invenzione Field of application of the invention

La presente invenzione si riferisce al campo delle reti di dati di un veicolo ed in particolare ad un metodo che consente di minimizzare o impedire l’efficacia di un attacco informatico alla rete dati veicolare. The present invention refers to the field of vehicle data networks and in particular to a method that allows to minimize or prevent the effectiveness of a computer attack on the vehicle data network.

Stato della tecnica State of the art

Nel seguito della presente descrizione, per “rete” si intende una rete di dati attraverso cui sono interconnessi diversi dispositivi. In the remainder of this description, "network" means a data network through which various devices are interconnected.

I sistemi a bordo veicolo scambiano tra loro dati, generalmente tramite un bus seriale. The systems on board the vehicle exchange data with each other, generally via a serial bus.

Il bus seriale più largamente diffuso è il CAN (Control Area Network). Reti di natura differente possono essere adoperate. The most widely used serial bus is the CAN (Control Area Network). Networks of a different nature can be used.

I dati sono generalmente inseriti in messaggi. The data is usually inserted into messages.

Nell’ambito del CAN, un messaggio contiene diverse informazioni, tra cui un identificativo ID ed un numero variabile di segnali. Within the CAN, a message contains various information, including an ID identifier and a variable number of signals.

L’ID è composto, tra gli altri, dal Parameter Group Number (PGN), che identifica il messaggio stesso, e dall’indirizzo sorgente SA, dall’acronimo anglosassone “Source Address”, che identifica il dispositivo trasmittente. The ID is composed, among others, of the Parameter Group Number (PGN), which identifies the message itself, and the source address SA, the Anglo-Saxon acronym "Source Address", which identifies the transmitting device.

I segnali, invece, sono identificati da un rispettivo ed univoco Suspect Parameter Number (SPN), così come normato dal comitato SAE. The signals, on the other hand, are identified by a respective and unique Suspect Parameter Number (SPN), as regulated by the SAE committee.

La trasmissione dei messaggi è di tipo asincrono, sebbene vi sia una frequenza nominale di trasmissione che però è fortemente influenzata dal traffico sul bus. The transmission of messages is of the asynchronous type, although there is a nominal transmission frequency which, however, is strongly influenced by the traffic on the bus.

Alcuni messaggi trasportano dati fisici, quali temperature, pressioni, consumi. Altri messaggi trasportano istruzioni di comando. Ad esempio l’unità di elaborazione che sovrintende il controllo del cambio può richiedere un numero di giri obiettivo od un valore di coppia alla unità di elaborazione (ECU) che controlla un motore veicolare. Oppure vi può essere una richiesta all’ECU di spegnimento del motore termico. Some messages carry physical data, such as temperatures, pressures, consumption. Other messages carry command instructions. For example, the processing unit that oversees the control of the gearbox can request a target number of revolutions or a torque value from the processing unit (ECU) that controls a vehicle engine. Or there may be a request to the ECU to shut down the heat engine.

Alcune istruzioni di comando hanno una elevata rilevanza, in termini di sicurezza. Ad esempio un comando di aumentare la copia erogata, mentre il veicolo si avvicina ad un incrocio, potrebbe causare incidenti. Some command instructions have a high relevance in terms of safety. For example, a command to increase the copy delivered while the vehicle is approaching an intersection could cause accidents.

I messaggi di comando generalmente contengono un “Message Checksum” ed un “Message Counter”. Command messages generally contain a "Message Checksum" and a "Message Counter".

Il Message Checksum è un codice di controllo, per esempio di 3 bit, inserito nello stesso messaggio e calcolato dal dispositivo trasmittente mediante un algoritmo in sé noto, sulla base di alcuni o tutte le porzioni del messaggio a cui il Message Checksum si riferisce. Il dispositivo ricevente, una volta ricevuto tale messaggio di comando, ricalcola il Message Checksum e lo confronta con quello già presente nello stesso messaggio ed in caso di discordanza, rigetta l’intero messaggio con ivi contenute le istruzioni di comando. The Message Checksum is a control code, for example of 3 bits, inserted in the same message and calculated by the transmitting device using an algorithm known per se, based on some or all of the portions of the message to which the Message Checksum refers. The receiving device, once received this command message, recalculates the Message Checksum and compares it with the one already present in the same message and in case of discrepancy, rejects the entire message containing the command instructions.

Il Checksum può raggiungere anche una estensione di 128 bit, utilizzando una variante CAN, chiamata CAN-FD (Flexible Data) allo scopo di aumentare la sicurezza. The Checksum can also reach an extension of 128 bits, using a CAN variant, called CAN-FD (Flexible Data) in order to increase safety.

Il Message Counter è un contatore, ad esempio di 3 bit, implementato da ciascun dispositivo trasmittente che viene incrementato ad ogni invio di un messaggio. Esso può essere senza riporto. Anche il Message Counter è inserito, così come il Checksum, all’interno di un messaggio da spedire. Un dispositivo ricevente, quando riceve un messaggio, verifica che il Message Counter di volta in volta ricevuto rientri in una finestra dinamica di valori. In caso contrario rigetta l’intero messaggio. The Message Counter is a counter, for example of 3 bits, implemented by each transmitting device which is incremented each time a message is sent. It can be non-carry-over. The Message Counter is also inserted, as well as the Checksum, within a message to be sent. When a receiving device receives a message, it verifies that the Message Counter received each time falls within a dynamic window of values. Otherwise, reject the entire message.

Il dispositivo ricevente, per validare un messaggio di comando accerta che siano corretti il Message Checksum e il Message Counter. The receiving device, to validate a command message, ensures that the Message Checksum and the Message Counter are correct.

Inoltre, il dispositivo ricevente può ricevere istruzioni di comando soltanto da alcuni specifici dispositivi trasmettitori autorizzati e pertanto, esso estrae dall’ID il relativo SA e in caso favorevole il dispositivo ricevente ne estrae l’istruzione di comando ivi contenuta e la esegue. In addition, the receiving device can only receive command instructions from some specific authorized transmitter devices and therefore, it extracts the relevant SA from the ID and, if so, the receiving device extracts the command instruction contained therein and executes it.

In caso contrario, il dispositivo ricevente rigetta il messaggio ricevuto. Otherwise, the receiving device rejects the received message.

I veicoli odierni sono spesso dotati di connessioni wireless. La più diffusa è di tipo Bluetooth per connettere l’infotainment di bordo con lo smartphone di un passeggero dello stesso veicolo. Today's vehicles are often equipped with wireless connections. The most common is Bluetooth to connect the infotainment on board with the smartphone of a passenger in the same vehicle.

L’infotainment che generalmente integra il sistema di vivavoce e spesso anche il sistema di navigazione satellitare è connesso, come altri dispositivi di bordo alla rete di dati veicolare. The infotainment that generally integrates the hands-free system and often also the satellite navigation system is connected, like other on-board devices, to the vehicle data network.

In alternativa, il veicolo potrebbe essere stato manomesso connettendo un dispositivo nocivo direttamente alla rete veicolare. Alternatively, the vehicle may have been tampered with by connecting a malicious device directly to the vehicle network.

Un malintenzionato potrebbe introdursi “on-the-air” nella rete dati veicolare, attraverso l’accesso offerto dall’infotainment, e simulando di essere uno dei trasmettitori autorizzati si approprierebbe del relativo ID, ed invierebbe messaggi di comando. An attacker could enter "on-the-air" in the vehicle data network, through the access offered by the infotainment, and simulating being one of the authorized transmitters would take possession of the relevant ID, and send command messages.

Prima di iniziare l’attacco, l’hacker si limiterebbe ad ascoltare i messaggi circolanti nella rete veicolare per associare un ID ad un Message Counter. A quel punto l’hacker è in grado di inviare messaggi contenenti istruzioni di comando formalmente corretti. Before starting the attack, the hacker would just listen to the messages circulating in the vehicle network to associate an ID with a Message Counter. At that point the hacker is able to send messages containing formally correct command instructions.

Inoltre, l’hacker si premunirebbe di trasmettere i propri messaggi ad una frequenza molto più alta di quella nominale. In questo modo, la sua istruzione sovrascriverebbe quella del dispositivo trasmittente usurpato. Furthermore, the hacker would take care to transmit his messages at a much higher frequency than the nominal one. In this way, its instruction would override that of the usurped transmitting device.

Ad esempio si potrebbe impartire il comando di far erogare al motore la massima potenza disponibile, indipendentemente dalla posizione del pedale dell’acceleratore. For example, the command could be given to make the engine deliver the maximum power available, regardless of the position of the accelerator pedal.

In queste circostanze l’ECU riceverebbe messaggi da un ID corretto, tra quelli autorizzati, ed avente un Message Counter nella suddetta finestra. In these circumstances, the ECU would receive messages from a correct ID, among those authorized, and having a Message Counter in the aforementioned window.

Nel seguito della presente descrizione si fa riferimento ad un dispositivo trasmittente “malevolo” che clona l’ID di un dispositivo “usurpato” allo scopo di modificare il comportamento del veicolo stesso. In the remainder of this description, reference is made to a "malicious" transmitting device that clones the ID of a "usurped" device in order to change the behavior of the vehicle itself.

Sommario dell’invenzione Summary of the invention

Scopo della presente invenzione è quello di presentare un metodo che consente contrastare un attacco informatico ad una rete dati veicolare. The purpose of the present invention is to present a method which allows to counteract a computer attack on a vehicular data network.

L’idea di base della presente invenzione è quello di far generare al dispositivo trasmittente un ulteriore messaggio di controllo da inviarsi secondo una prima cadenza temporale, in cui, nel messaggio di controllo è contenuto un conteggio dei messaggi di comando inviati da detto dispositivo trasmittente, per esempio a partire da un evento di reset, in cui il dispositivo ricevente mantiene un proprio conteggio dei messaggi ricevuti da detto dispositivo trasmittente e verifica la corrispondenza tra il proprio conteggio ed il conteggio contenuto nel messaggio di controllo ed, in caso essi differiscono, allora il dispositivo ricevente rigetta qualsiasi messaggio ricevuto da detto dispositivo trasmittente fino ad un successivo evento di reset. The basic idea of the present invention is to cause the transmitting device to generate a further control message to be sent according to a first time interval, in which a count of the command messages sent by said transmitting device is contained in the control message, for example starting from a reset event, in which the receiving device keeps its own count of the messages received from said transmitting device and verifies the correspondence between its own count and the count contained in the control message and, if they differ, then the receiving device rejects any message received from said transmitting device until a subsequent reset event.

Secondo una variante preferita dell’invenzione, quando il dispositivo ricevente riceve un primo ed un successivo secondo messaggio di controllo e il conteggio contenuto nel secondo messaggio è inferiore al conteggio contenuto nel primo messaggio, allora il dispositivo ricevente rigetta qualsiasi messaggio ricevuto da detto dispositivo trasmittente fino ad un successivo evento di reset. According to a preferred variant of the invention, when the receiving device receives a first and a subsequent second control message and the count contained in the second message is less than the count contained in the first message, then the receiving device rejects any message received from said transmitting device until a subsequent reset event.

E’ oggetto della presente invenzione un metodo e per contrastare un attacco informatico ad una rete dati veicolare secondo la rivendicazione 1. The object of the present invention is a method and to counter a computer attack on a vehicular data network according to claim 1.

Forma pure oggetto della presente invenzione un dispositivo trasmittente e ricevente comprendente mezzi di elaborazione configurati per eseguire il suddetto metodo. The present invention also relates to a transmitting and receiving device comprising processing means configured to carry out the above method.

Forma pure oggetto della presente invenzione un veicolo dotato di una rete dati veicolari, mezzi di propulsione ed unità di elaborazione includenti detti dispositivi ricevente e trasmittente. The present invention also relates to a vehicle equipped with a vehicle data network, propulsion means and processing units including said receiving and transmitting devices.

Le rivendicazioni descrivono varianti preferite della presente invenzione, formando parte integrante della presente descrizione. The claims describe preferred variants of the present invention, forming an integral part of the present description.

Breve descrizione delle figure Brief description of the figures

Ulteriori scopi e vantaggi della presente invenzione risulteranno chiari dalla descrizione particolareggiata che segue di un esempio di realizzazione della stessa (e di sue varianti) e dai disegni annessi dati a puro titolo esplicativo e non limitativo, in cui nella figura 1 è mostrata schematicamente una rete di dati in cui è implementato il metodo oggetto della presente invenzione. Gli stessi numeri e le stesse lettere di riferimento nelle figure identificano gli stessi elementi o componenti. Further objects and advantages of the present invention will become clear from the following detailed description of an example of embodiment of the same (and its variants) and from the attached drawings given purely by way of non-limiting explanation, in which figure 1 schematically shows a network of data in which the method object of the present invention is implemented. The same reference numbers and letters in the figures identify the same elements or components.

Nell’ambito della presente descrizione il termine “secondo” componente non implica la presenza di un “primo” componente. Tali termini sono infatti adoperati soltanto per chiarezza e non vanno intesi in modo limitativo. In the context of this description, the term "second" component does not imply the presence of a "first" component. These terms are in fact used only for clarity and should not be understood in a limiting way.

Descrizione di dettaglio di esempi di realizzazione Detailed description of examples of realization

In fig.1 è mostrata una rete di dati, per esempio una rete seriale di tipo CAN bus. Fig. 1 shows a data network, for example a serial network of the CAN bus type.

A tale rete sono connessi diversi dispositivi CU_1, CU_2, CU_3, ENT_BT ed ECU. Several devices CU_1, CU_2, CU_3, ENT_BT and ECU are connected to this network.

Alcuni di essi sono in grado sia di generare e trasmettere messaggi che di ricevere e decodificare messaggi ricevuti, mentre altri sarebbero in grado di compilare e trasmettere soltanto. Some of them are able both to generate and transmit messages and to receive and decode received messages, while others would be able to compile and transmit only.

Nel seguito della trasmissione, con l’espressione “generare un messaggio” si intende che il messaggio non solo è generato, ma anche accodato per essere spedito non appena il dispositivo trasmittente ha accesso al canale trasmissivo. Analogamente, la ricezione di un messaggio, implica che esso deve essere analizzato indipendentemente dai layers implicati nella decodifica, vedi modello ISO-OSI. Evidentemente, se un layer scarta un messaggio, esso non viene decodificato e analizzato ai livelli superiori così come noto al tecnico del ramo. In the subsequent transmission, the expression "generate a message" means that the message is not only generated, but also queued to be sent as soon as the transmitting device has access to the transmission channel. Similarly, the receipt of a message implies that it must be analyzed independently of the layers involved in the decoding, see ISO-OSI model. Obviously, if a layer discards a message, it is not decoded and analyzed at the higher levels as is known to the person skilled in the art.

Ad esempio, il dispositivo trasmittente relativo al pedale dell’acceleratore, invia informazioni circa la posizione del pedale dell’acceleratore, può non essere in grado di ricevere e decodificare messaggi. For example, the transmitting device relating to the accelerator pedal, sends information about the position of the accelerator pedal, may not be able to receive and decode messages.

I messaggi sono pubblicati sulla rete veicolare ed è poi un compito dei singoli dispositivi scartare o decodificare i messaggi ricevuti. The messages are published on the vehicular network and it is then up to the individual devices to discard or decode the messages received.

In figura 1 è mostrato un dispositivo di intrattenimento e informazione (infotainment). Esso, nella stragrande maggioranza dei casi è dotato di Bluetooth che consente l’interazione senza fili di uno smartphone con il dispositivo stesso. Il canale Bluetooth rappresenta il mezzo più usuale in cui è portato un attacco hacker ad un veicolo. Figure 1 shows an entertainment and information device (infotainment). In the vast majority of cases it is equipped with Bluetooth which allows wireless interaction of a smartphone with the device itself. The Bluetooth channel represents the most common means in which a hacker attack on a vehicle is carried out.

Alternativamente, si deve supporre che il malintenzionato abbia collegato direttamente alla rete veicolare un dispositivo malevolo HK, eventualmente comandabile a distanza. Alternatively, it must be assumed that the attacker has directly connected a malicious device HK, possibly remotely controlled, to the vehicle network.

Solo per una facile comprensione della presente invenzione, si suppone che il dispositivo malevolo HK o ENT_BT clonano l’ID del dispositivo CU_1 sovrascrivendo le istruzioni di comando inviate da detto dispositivo. Only for an easy understanding of the present invention, it is assumed that the malicious device HK or ENT_BT clone the device ID CU_1 by overwriting the command instructions sent by said device.

Ad esempio, supponendo che il dispositivo CU_1 rappresenti un sensore associato al pedale dell’acceleratore, e che il guidatore desidera una coppia del 20% di quella nominale del motore. Il dispositivo malevolo HK o ENT_BT invia messaggi ad alta frequenza contenenti istruzioni di comando in cui si indica come coppia da erogare il 100% della coppia nominale. Evidentemente, il conducente del veicolo perderebbe il controllo dello stesso veicolo, soprattutto nel caso di veicolo con cambio automatico. For example, assuming that the CU_1 device represents a sensor associated with the accelerator pedal, and that the driver wants a torque of 20% of the nominal torque of the engine. The HK or ENT_BT malicious device sends high frequency messages containing command instructions indicating 100% of the nominal torque as the torque to be delivered. Evidently, the driver of the vehicle would lose control of the vehicle itself, especially in the case of a vehicle with an automatic transmission.

Il dispositivo malevolo, inviando messaggi ad alta frequenza inganna la unità di elaborazione che controlla il motore ECU. The malicious device, by sending high-frequency messages, tricks the processing unit that controls the engine ECU.

Inoltre, dal momento che ciascun messaggio contiene Message Counter e Message Checksum corretti, i messaggi inviati dal dispositivo CU_1 risulterebbero superati da quelli inviati dal dispositivo malevolo e sarebbero dunque ignorati o comunque il loro effetto sarebbe trascurabile. Furthermore, since each message contains correct Message Counter and Message Checksum, the messages sent by the CU_1 device would be exceeded by those sent by the malicious device and would therefore be ignored or in any case their effect would be negligible.

Secondo la presente invenzione, il dispositivo trasmittente genera un messaggio di controllo da inviarsi preferibilmente secondo una cadenza temporale multipla rispetto all’invio dei messaggi contenenti istruzioni di comando. Questo implica che la frequenza di invio dei messaggio di comando è maggiore della frequenza di invio dei messaggi di controllo. According to the present invention, the transmitting device generates a control message to be sent preferably according to a multiple time frequency with respect to the sending of messages containing command instructions. This implies that the frequency at which command messages are sent is greater than the frequency at which control messages are sent.

Nel messaggio di controllo è contenuto un conteggio dei messaggi inviati a partire da un evento di reset. Al tempo stesso, il dispositivo ricevente mantiene un proprio autonomo conteggio dei messaggi di comando ricevuti dal dispositivo trasmittente – ed evidentemente da parte di tutti i dispositivi abilitati ad inviare messaggi di controllo - e verifica la corrispondenza tra il proprio conteggio ed il conteggio contenuto nel messaggio di controllo ed in caso essi differiscono, allora il dispositivo ricevente rigetta qualsiasi messaggio ricevuto da detto dispositivo trasmittente, sia esso malevolo che usurpato, fino ad un successivo evento di reset. The control message contains a count of messages sent since a reset event. At the same time, the receiving device maintains its own independent count of the command messages received by the transmitting device - and obviously by all the devices enabled to send control messages - and checks the correspondence between its own count and the count contained in the message. and if they differ, then the receiving device rejects any message received from said transmitting device, whether malicious or usurped, until a subsequent reset event.

Secondo una variante preferita della presente invenzione, un evento di reset può vantaggiosamente coincide con una richiesta di spegnimento del motore che conduce allo spegnimento dei dispositivi connessi alla rete veicolare. Il comando di spegnimento del motore “ignition off” appartiene ad un sottoinsieme di messaggi di comando soggetti al cosiddetto debouncing. Tale tecnica, nota al tecnico del ramo, prevede che lo stesso messaggio debba essere ripetuto con contenuto coerente per un predeterminato intervallo temporale. According to a preferred variant of the present invention, a reset event can advantageously coincide with a request to switch off the engine which leads to the switching off of the devices connected to the vehicular network. The ignition off command belongs to a subset of command messages subject to so-called debouncing. This technique, known to those skilled in the art, provides that the same message must be repeated with coherent content for a predetermined time interval.

Pertanto, se il dispositivo trasmittente malevolo invia il comando di spegnimento del motore esso deve ripeterlo per un certo predeterminato numero di volte. Therefore, if the malicious transmitting device sends the engine shutdown command, it must repeat it for a certain predetermined number of times.

Cosicché, se all’interno di tale sequenza di ripetizione, giunge a destinazione il messaggio di comando del dispositivo trasmittente usurpato che indica di mantenere acceso il motore, allora la ripetizione indicante lo spegnimento del motore deve ricominciare da capo con il risultato che il comando fraudolento non viene mai eseguito. Thus, if within this repetition sequence, the command message of the usurped transmitting device reaches its destination indicating to keep the engine running, then the repetition indicating engine shutdown must start over with the result that the fraudulent command it never runs.

Si preferisce che il Message Counter venga trascurato nel senso che il relativo campo può essere non presente oppure presente ed ignorato almeno per It is preferred that the Message Counter be neglected in the sense that the related field can be not present or present and ignored at least for

- I messaggi di comando che determinano l’evento di reset, in modo da consentire il cosiddetto debouncing, accettando il messaggio del dispositivo usurpato anche se fuori dalla finestra scorrevole del Message Counter; - The command messages that determine the reset event, in order to allow the so-called debouncing, accepting the message of the usurped device even if outside the sliding window of the Message Counter;

- I messaggi di controllo in modo da poter ricevere in ogni caso il messaggio inviato dal dispositivo usurpato e riconoscere una discrepanza che conduce al rigetto di qualsiasi ulteriore messaggio di comando da quello specifico ID. - The control messages in order to be able to receive in any case the message sent by the usurped device and recognize a discrepancy which leads to the rejection of any further command message from that specific ID.

Secondo un ulteriore aspetto preferito dell’invenzione, può avvenire che il dispositivo malevolo trasmetta ad una frequenza così alta da monopolizzare la banda intera della rete di dati veicolare. In tal caso, difficilmente il dispositivo trasmittente usurpato riuscirebbe a trasmettere il proprio messaggio di comando e/o di controllo. According to a further preferred aspect of the invention, it may happen that the malicious device transmits at such a high frequency as to monopolize the entire band of the vehicular data network. In this case, the usurped transmitting device would hardly be able to transmit its command and / or control message.

Per ovviare anche a questa ipotesi di aggirare la soluzione qui descritta, il dispositivo ricevente è configurato per operare una valutazione autonoma sul proprio conteggio di messaggi di comando ricevuti in un predeterminato intervallo di tempo, tipicamente uguale all’intervallo nominale tra due messaggi di controllo. Nel caso un incremento del conteggio in detto predeterminato intervallo di tempo supera una predeterminata soglia allora il dispositivo ricevente rigetta qualsiasi ulteriore messaggio ricevuto da detto dispositivo trasmittente fino ad un successivo evento di reset. To also obviate this hypothesis of circumventing the solution described here, the receiving device is configured to perform an autonomous evaluation on its own count of command messages received in a predetermined time interval, typically equal to the nominal interval between two control messages. If an increase in the count in said predetermined time interval exceeds a predetermined threshold then the receiving device rejects any further message received from said transmitting device until a subsequent reset event.

Pertanto, qualsiasi tentativo di aggirare la strategia oggetto della presente invenzione viene individuato e soppresso. Therefore, any attempt to circumvent the strategy object of the present invention is identified and suppressed.

Vantaggiosamente, la generazione di un messaggio di controllo dedicato al conteggio dei messaggi inviati tra due eventi di reset consecutivi non modifica la formattazione dei messaggi “ordinari” che soddisfano ai vari standard e protocolli (SAE). In aggiunta, lo spazio in bit disponibile per tale conteggio è enormemente superiore – può essere di 32bit – rispetto ai pochi bit generalmente dedicati al Message Counter. Advantageously, the generation of a control message dedicated to counting the messages sent between two consecutive reset events does not change the formatting of the "ordinary" messages that meet the various standards and protocols (SAE). In addition, the bit space available for this count is enormously higher - it can be 32bit - compared to the few bits generally dedicated to the Message Counter.

Per evitare falsi positivi, quando la rete è di tipo CAN o comunque asincrona, il dispositivo ricevente implementa, preferibilmente, una finestra “scorrevole” di tolleranza sul numero dei messaggi conteggiati in modo da evitare il blocco del dispositivo a causa della perdita eventuale di alcuni messaggi di comando. To avoid false positives, when the network is of the CAN type or in any case asynchronous, the receiving device preferably implements a "sliding" window of tolerance on the number of messages counted in order to avoid blocking the device due to the possible loss of some command messages.

Tale finestra scorrevole può essere dell’ordine di qualche unità. This sliding window can be of the order of a few units.

Inoltre, per la stessa ragione, secondo una variante preferita dell’invenzione, il dispositivo ricevente effettua una risincronizzare del proprio conteggio con quello effettuato dal dispositivo trasmittente con una cadenza temporale ampia, per esempio dell’ordine di un’ora. Preferibilmente, quando il dispositivo ricevente riceve un primo ed un successivo secondo messaggio di controllo ed un conteggio contenuto nel secondo messaggio è inferiore al conteggio contenuto nel primo messaggio, allora il dispositivo ricevente rigetta qualsiasi messaggio ricevuto da detto dispositivo trasmittente fino ad un successivo evento di reset. Furthermore, for the same reason, according to a preferred variant of the invention, the receiving device performs a resynchronization of its own count with that carried out by the transmitting device with a wide time interval, for example of the order of one hour. Preferably, when the receiving device receives a first and a subsequent second control message and a count contained in the second message is lower than the count contained in the first message, then the receiving device rejects any message received from said transmitting device until a subsequent reset.

In questo modo, vantaggiosamente, anche se il dispositivo malevolo fosse in grado di implementare l’invio di messaggi di controllo, pur implementando la suddetta finestra scorrevole, risulta possibile individuare immediatamente l’azione malevola prima che il conteggio tra dispositivo usurpato, per esempio CU_1, ed il conteggio del dispositivo ricevente ECU superi l’ampiezza della finestra scorrevole. Secondo l’esempio precedente, il motore sarebbe portato al minimo (idle) con rischi sicuramente ridotti rispetto ad una erogazione del 100% della coppia. In this way, advantageously, even if the malicious device were able to implement the sending of control messages, while implementing the aforementioned sliding window, it is possible to immediately identify the malicious action before the count between the usurped device, for example CU_1 , and the count of the receiving device ECU exceeds the width of the sliding window. According to the previous example, the engine would be brought to a minimum (idle) with definitely reduced risks compared to 100% torque delivery.

Preferibilmente, quando il messaggio di reset coincide con il comando di spegnimento del motore “ignition off”, il conteggio dei messaggi ricevuti è azzerato. Preferably, when the reset message coincides with the “ignition off” engine shutdown command, the count of messages received is zeroed.

Alcune unità di elaborazione che controllano la dinamica del veicolo possono avere una cosiddetta fase detta “di post-run”, attivata a partire dal comando si spegnimento. Tale fase dura da alcuni secondi fino a poche decine di secondi. Durante tale fase utilizzata per trasferire su memoria permanente (EEPROM) alcuni dati accumulati durante il ciclo precedente ed eventualmente per eseguire altre operazioni, esempio la messa in sicurezza del sistema ATS (After Treatment System). Solo al termine di questa fase di post-run la centralina si spegne. In tal caso, se è prevista una funzione di “postrun” anche i conteggi possono essere salvati nella memoria permanente delle unità di elaborazione, ma quando l’unità ricevente ha rigettato un ID, essa salva nella memoria permanente il valore inferiore tra gli ultimi due messaggi di controllo ricevuti. Some processing units that control vehicle dynamics may have a so-called “post-run” phase, activated starting from the shutdown command. This phase lasts from a few seconds to a few tens of seconds. During this phase it is used to transfer some data accumulated during the previous cycle to the permanent memory (EEPROM) and possibly to perform other operations, for example the safety of the ATS (After Treatment System). The control unit switches off only at the end of this post-run phase. In this case, if a "postrun" function is provided, the counts can also be saved in the permanent memory of the processing units, but when the receiving unit has rejected an ID, it saves the lower value between the last two in the permanent memory. control messages received.

Vantaggiosamente, viene scartato il conteggio effettuato dal dispositivo trasmittente malevolo, il quale generalmente trasmette a frequenza superiore rispetto al dispositivo usurpato. Advantageously, the counting carried out by the malicious transmitting device, which generally transmits at a higher frequency than the usurped device, is rejected.

Secondo una variante preferita dell’invenzione, il messaggio di controllo può avere la stessa formattazione di un messaggio ordinario, includendo ad esempio il Message Checksum ed il Message Counter. According to a preferred variant of the invention, the control message can have the same formatting as an ordinary message, including for example the Message Checksum and the Message Counter.

Questo significa che le modifiche proposte dalla presente invenzione sono integralmente demandate a livello applicativo piuttosto che a livello di rete, che invece resta completamente invariato, rispettando gli eventuali standard esistenti. This means that the modifications proposed by the present invention are fully delegated to the application level rather than to the network level, which instead remains completely unchanged, respecting any existing standards.

Secondo una ulteriore variante preferita dell’invenzione che si combina con le precedenti, il conteggio dei messaggi contenenti istruzioni di comando inviati da un predeterminato dispositivo trasmittente può essere cifrato secondo un codice di cifratura unico, veicolo per veicolo, attribuito alla rete, in fase di assemblaggio dello stesso veicolo. According to a further preferred variant of the invention which is combined with the previous ones, the counting of messages containing command instructions sent by a predetermined transmitting device can be encrypted according to a unique encryption code, vehicle by vehicle, attributed to the network, during the assembly of the same vehicle.

Si propone ora un esempio pratico di implementazione dell’invenzione. Si suppone che il dispositivo CU_1 Invia un messaggio contenente una istruzione di comando ogni 10 ms. Un dispositivo malevolo HK, acquisisce un messaggio di CU_1, ne estrae l’ID ed il Counter ed utilizza il medesimo ID di CU_1, aggiorna il Counter e compila un messaggio contenente una istruzione di comando falsa includendovi il Checksum calcolato secondo il medesimo algoritmo impiegato in quella rete. A practical example of implementation of the invention is now proposed. It is assumed that the CU_1 device sends a message containing a command instruction every 10 ms. A malicious device HK acquires a message from CU_1, extracts the ID and the Counter and uses the same ID as CU_1, updates the Counter and compiles a message containing a false command instruction including the Checksum calculated according to the same algorithm used in that network.

Il dispositivo malevolo compila ed invia ulteriori messaggio ad una frequenza superiore a quella di CU_1, per esempio ogni 2 ms. The malicious device compiles and sends further messages at a rate higher than that of CU_1, for example every 2 ms.

Allo scadere di, ad esempio, 200 ms, CU_1 invia un messaggio di controllo con il proprio conteggio dei propri messaggi contenenti istruzioni di comando. For example, when 200 ms has elapsed, CU_1 sends a control message with its own message count containing command instructions.

Il dispositivo ricevente rileva che quel conteggio non è coerente, in quanto questo dispositivo ha ricevuto molti più messaggi da HK che lavora a frequenza superiore a quello di CU_1 e da quel momento rigetta qualsiasi messaggio proveniente da CU_1 e dunque anche da HK. The receiving device detects that that count is not consistent, as this device has received many more messages from HK which works at a higher frequency than that of CU_1 and from that moment it rejects any message coming from CU_1 and therefore also from HK.

Viceversa, se HK invia prima di CU_1 il proprio messaggio di controllo, il dispositivo ricevente non rileva ancora l’intervento malevolo, ma non appena CU_1 invia il proprio messaggio di controllo, anche in questo caso il dispositivo di controllo rileva una discordanza e rigetta qualsiasi ulteriore messaggio proveniente da CU_1 e dunque da HK. Conversely, if HK sends its control message before CU_1, the receiving device still does not detect the malicious intervention, but as soon as CU_1 sends its control message, also in this case the control device detects a discrepancy and rejects any further message coming from CU_1 and therefore from HK.

La presente invenzione può essere vantaggiosamente realizzata tramite un programma per computer che comprende mezzi di codifica per la realizzazione di uno o più passi del metodo, quando questo programma è eseguito su di un computer. Pertanto si intende che l’ambito di protezione si estende a detto programma per computer ed inoltre a mezzi leggibili da computer che comprendono un messaggio registrato, detti mezzi leggibili da computer comprendendo mezzi di codifica di programma per la realizzazione di uno o più passi del metodo, quando detto programma è eseguito su di un computer. The present invention can be advantageously carried out by means of a computer program which comprises coding means for carrying out one or more steps of the method, when this program is executed on a computer. Therefore, it is intended that the scope of protection extends to said computer program and further to computer readable means comprising a recorded message, said computer readable means comprising program coding means for carrying out one or more steps of the method. , when said program is run on a computer.

Sono possibili varianti realizzative all'esempio non limitativo descritto, senza per altro uscire dall’ambito di protezione della presente invenzione, comprendendo tutte le realizzazioni descritte dalle rivendicazioni. Implementation variants of the described non-limiting example are possible, without however departing from the scope of protection of the present invention, including all the embodiments described by the claims.

Dalla descrizione sopra riportata il tecnico del ramo è in grado di realizzare l’oggetto dell’invenzione senza introdurre ulteriori dettagli costruttivi. Gli elementi e le caratteristiche illustrate nelle diverse forme di realizzazione preferite, inclusi i disegni, possono essere combinati tra loro senza peraltro uscire dall’ambito di protezione della presente domanda come definito dalle rivendicazioni. Quanto descritto nel capitolo relativo allo stato della tecnica occorre solo ad una migliore comprensione dell’invenzione e non rappresenta una dichiarazione di esistenza di quanto descritto. Inoltre, se non specificatamente escluso nella descrizione di dettaglio, quanto descritto nel capitolo stato della tecnica è da considerarsi come parte integrante della descrizione di dettaglio. From the above description, the person skilled in the art is able to realize the object of the invention without introducing further construction details. The elements and features illustrated in the various preferred embodiments, including the drawings, can be combined with each other without however departing from the scope of the present application as defined by the claims. What is described in the chapter relating to the state of the art is needed only for a better understanding of the invention and does not represent a declaration of existence of what is described. Furthermore, if not specifically excluded in the detailed description, what is described in the state of the art chapter is to be considered as an integral part of the detailed description.

Claims

CLAIMS 1. Method and for countering a computer attack on a vehicular data network comprising at least a receiving device (ECU) and a transmitting device (CU_1, CU_2, ENT_BT ...) interconnected through said vehicular data network, the transmitting device being able to send a succession of command messages to said receiving device according to a first predetermined frequency, the method comprising - a first step (I) of generation, by said transmitting device (CU_1, CU_2, ENT_BT ...), of a control message, different from said command message, containing a first count of the command messages previously sent by it same ed - a second step (II) of carrying out a second count, by said receiving device, of the command messages received by said transmitting device and, when said receiving device receives said control message, - a third step (III) of comparison between said first and said second count by said receiving device and in case said first and second count differ, - a fourth step (IV) of rejecting, by said receiving device, any subsequent message received by said transmitting device.

A method according to claim 1, further comprising a fifth step (V) of resetting said first and second counts and of resetting a reception of a command message from said transmitting device when a reset event occurs.

Method according to one of claims 1 or 2, wherein said succession of command messages is sent according to a first frequency and wherein said control message is sent according to a second sending frequency lower than said first frequency.

The method according to claim 3, wherein said second frequency is lower by at least one order of magnitude than said first frequency.

Method according to one of the preceding claims, in which said comparison (III) is operated up to a predetermined tolerance window.

Method according to any one of the preceding claims, wherein, when said receiving device receives a first and a subsequent second control message, the method comprises a sixth step (VI) of comparing a count contained in the second message with a count contained in the first message and if the latter is less than the count contained in the first message, then execution of said fourth step (IV).

Method according to any one of the preceding claims, wherein said second count is suitably encrypted according to an encryption scheme shared between said transmitting device and said receiving device.

Method according to any one of the preceding claims, further comprising a seventh step (VII) of comparing said first count with a predetermined threshold value and if said first count exceeds said predetermined threshold value, then performing said fourth step (IV) .

9. Computer program comprising program coding means suitable for carrying out all the steps ((((I, II, III, IV), V), VI), VII) of any one of claims 1 to 8, when this program is run on a computer.

10. Computer readable means comprising a recorded program, said computer readable means comprising program coding means adapted to perform all steps (((I, II, III, IV), V), VI), VII) of any one of claims 1 to 8, when said program is run on a computer.

11. Transmitting device (CU_1, CU_2, ENT_BT) comprising first interface means for being connected to a vehicular data network and processing means configured to send a succession of command messages on said data network according to a first predetermined frequency, and further configured to (I) generate a control message containing a first count of the command messages previously sent by it, according to a third frequency lower than said first frequency.

12. Receiving device (ECU) comprising second interface means for being connected to a vehicular data network and processing means configured to receive a succession of command messages through said data network and further configured to (II) perform a first message count commands received from at least one predetermined transmitting device (CU_1, CU_2, ENT_BT) and configured to receive a control message, from said at least one predetermined transmitting device (CU_1, CU_2, ENT_BT), containing a second count and to (III) compare said first and second count and in case said first and second count differ, said processing means are configured to (IV) reject any subsequent message received from said at least one predetermined transmitting device (CU_1, CU_2, ENT_BT).