Hei, Charlie Miller! Mari Bicara Tentang Mengamankan Kendaraan Otonom

Artikel Wired baru-baru ini tentang Charlie Miller (yang terkenal karena meretas dan mengendalikan Jeep dari jarak jauh) mengklaim bahwa "percakapan terbuka dan kerja sama di antara perusahaan" adalah prasyarat yang diperlukan untuk membangun kendaraan otonom yang aman. Hal ini tampaknya agak dibuat-buat ketika begitu banyak perusahaan berlomba untuk mendominasi masa depan industri otomotif yang pernah hampir mati tetapi baru dihidupkan kembali (ingat dana talangan Tiga Besar?). Meskipun bagian dari artikel itu terdengar naif, yang benar-benar mengejutkan saya adalah implikasi bahwa jawaban untuk mendesain ulang keamanan hanya terletak pada industri kendaraan otonom.

Konsep keamanan tidak terisolasi untuk kendaraan otonom jadi tidak ada gunanya berpura-pura seperti itu. Setiap industri IIoT mencoba memecahkan masalah serupa dan secara mengejutkan terbuka untuk membagikan temuan mereka. Saya tidak mengatakan bahwa Miller perlu melakukan perjalanan pencerahan melalui semua industri lain untuk menciptakan solusi ideal untuk keamanan. Saya mengatakan ini telah dilakukan untuk kami, pujian dari Industrial Internet Consortium (IIC).

IIC terdiri dari 250+ perusahaan di beberapa industri – termasuk pemasok otomotif seperti Bosch, Denso, dan TTTech – dengan masalah mendasar yang sama dalam menyeimbangkan keamanan, keselamatan, kinerja, dan tentu saja biaya untuk sistem terhubung mereka. Jika Berkabel dan Miller mencari percakapan terbuka – ini terjadi di IIC. IIC menerbitkan Arsitektur Referensi Internet Industri, yang tersedia untuk semua orang secara gratis – seperti dalam “bir gratis”, terutama jika mobil mengemudi untuk Anda! Ekstensi untuk dokumen ini adalah Industrial Internet Connectivity Framework (IICF) dan Industrial Internet Security Framework (IISF). Dokumen-dokumen ini memberikan panduan dari perspektif bisnis hingga implementasi, dan IISF secara khusus dapat diterapkan karena membahas Wired's penyebutan singkat untuk mengamankan titik akhir konektivitas dan data yang lewat di antaranya.

Berkendara dengan saya dan lihat bagaimana kami dapat memodifikasi arsitektur mobil yang terhubung untuk melindungi dari musuh potensial. Karena kami tidak memiliki serangan jahat yang diketahui pada mobil, kami dapat mulai dengan peretasan Jeep Miller. Berkat "fitur" pintu belakang di unit kepala Harmon Kardon, Miller dapat menjalankan perintah jarak jauh yang tidak terlindungi dengan cukup mudah. Melalui eksploitasi awal ini, ia dapat memprogram ulang sebuah chip yang terhubung ke CAN Bus. Dari sana, dia memiliki kendali penuh atas mobil. Anda berpikir, “hapus saja antarmuka yang tidak terlindungi itu”, bukan?

Miller tidak akan berhenti di situ, begitu juga kami. Dengan asumsi kami masih dapat menemukan exploit yang memberi kami akses untuk memprogram ulang chip ARM, maka Wired artikel dengan tepat menyarankan untuk membuat aplikasi yang diautentikasi – mungkin dimulai dengan boot aman untuk kernel yang mendasarinya, memanfaatkan ARM Trust Zone untuk tahap berikutnya dari perangkat lunak hanya kritis, dan menerapkan semacam otentikasi untuk OS dan proses aplikasi tingkat yang lebih tinggi. Titik akhir perangkat Anda mungkin mulai terlihat seperti tumpukan aplikasi tepercaya (Gambar 1 di bawah). Saya hanya bisa menebak berapa biaya head unit ini sekarang, tetapi untuk adil, ini adalah pertimbangan yang valid untuk menjalankan aplikasi tepercaya. Masalahnya sekarang adalah kita belum benar-benar terhubung ke apa pun, apalagi dengan aman. Jangan khawatir, saya tidak akan meninggalkan Anda di pinggir jalan.

Banyak dari aplikasi tepercaya ini terhubung langsung ke CAN Bus, yang bisa dibilang memperluas permukaan serangan ke kontrol kendaraan. Data yang dikirimkan antara aplikasi ini tidak dilindungi dari penulis dan pembaca data yang tidak sah. Dalam kasus taksi otonom, seperti Berkabel menunjukkan, peretas potensial sekarang memiliki akses fisik ke target mereka, meningkatkan peluang mereka untuk mengambil alih aplikasi atau memperkenalkan penipu. Sekarang pertanyaannya menjadi:dapatkah aplikasi saling percaya dan data pada bus CAN? Bagaimana kluster instrumen mempercayai data suhu eksternal? Apakah itu benar-benar perlu? Mungkin tidak dan tidak apa-apa. Namun, saya cukup yakin bahwa kontrol kendaraan perlu memercayai LIDAR, Radar, kamera, dan sebagainya. Hal terakhir yang ingin dikhawatirkan siapa pun adalah peretas yang mengambil mobil dari jarak jauh untuk bersenang-senang.

Kami benar-benar berbicara tentang keaslian data dan kontrol akses:dua ketentuan yang akan mengurangi risiko lebih lanjut terhadap peretasan Miller. Mengamankan aplikasi lama adalah langkah yang baik, tetapi mari kita pertimbangkan skenario di mana produsen data yang tidak sah diperkenalkan ke sistem. Pelanggar ini dapat menyuntikkan perintah pada CAN Bus – pesan yang mengontrol kemudi dan pengereman. CAN Bus tidak mencegah penerbit data yang tidak sah dan juga tidak memastikan bahwa data tersebut berasal dari produsen yang diautentikasi. Saya tidak menyarankan bahwa mengganti CAN Bus adalah jalan ke depan – meskipun saya tidak menentang gagasan untuk menggantinya dengan solusi yang lebih berpusat pada data. Secara realistis, dengan kerangka kerja seperti Layanan Distribusi Data (DDS), kita dapat membuat arsitektur berlapis seperti yang dipandu oleh IISF (Gambar 2 di bawah). CAN Bus dan komponen drive kritis secara efektif merupakan sistem warisan yang risiko keamanannya dapat dikurangi dengan membuat penghalang databus DDS. Komponen baru kemudian dapat diintegrasikan dengan aman menggunakan DDS tanpa mengorbankan kontrol kendaraan Anda lebih lanjut. Jadi apa itu DDS? Dan bagaimana cara ini membantu mengamankan kendaraan saya? Senang Anda bertanya.

Bayangkan jaringan sensor otomotif, pengontrol, dan "peserta" lainnya yang berkomunikasi peer-to-peer. Setiap peserta hanya menerima data yang dibutuhkan dari peserta lain dan sebaliknya. Dengan peer-to-peer, peserta dalam jaringan itu dapat saling mengautentikasi dan jika aplikasi tepercaya kami bertahan, begitu pula konektivitas tepercaya kami. Bagaimana kami mengamankan koneksi peer-to-peer itu? TLS, kan? Mungkin, tetapi dengan kerumitan mengamankan kendaraan kami, kami menginginkan fleksibilitas untuk menukar antara kinerja dan keamanan dan menerapkan mekanisme kontrol akses.

Mari kita mundur sedikit dan mengunjungi kembali percakapan kita tentang IICF, yang memberikan panduan tentang konektivitas untuk sistem kontrol industri. IICF mengidentifikasi standar terbuka yang ada dan secara ringkas mengaitkannya dengan fungsi yang tepat dari sistem IoT Industri. Pada intinya, kendaraan otonom, sekeren kedengarannya, hanyalah sistem IoT Industri dalam bodi aerodinamis yang ramping dengan jok kulit opsional. Jadi apa yang disarankan IICF untuk mengintegrasikan perangkat lunak untuk sistem IoT Industri, atau lebih khusus lagi, sistem otonom? Anda menebaknya! DDS:seperangkat standar terbuka yang dirancang dan didokumentasikan melalui percakapan terbuka oleh Object Management Group (OMG). Solusi otomotif ideal yang memanfaatkan DDS memungkinkan aplikasi sistem untuk mempublikasikan dan berlangganan hanya pesan yang mereka butuhkan (lihat Gambar 3 di bawah untuk pandangan kami tentang arsitektur otonom). Dengan pendekatan yang berpusat pada data ini, kami dapat memecah pesan secara arsitektural berdasarkan kekritisan untuk keamanan atau kebutuhan akan integritas data.

Dan sekarang kami telah menetapkan solusi konektivitas untuk kendaraan otonom kami, kami dapat kembali berbicara tentang keamanan dan alternatif TLS kami:solusi keamanan data-sentris untuk kerangka kerja pengiriman pesan data-sentris. Dengan Keamanan DDS, arsitek sistem IoT Industri dapat menggunakan plugin keamanan untuk menyempurnakan pertukaran keamanan dan kinerja, kemampuan yang diperlukan yang tidak ditawarkan oleh TLS (Gambar 4 di bawah). Otentikasi hanya pilih topik data tetapi tidak lebih? Memeriksa. Enkripsi hanya informasi sensitif tetapi tidak lebih? Memeriksa. Sebenarnya masih ada lagi. Mengesampingkan broker terpusat, DDS Security menawarkan mekanisme kontrol akses terdistribusi yang mendikte peserta yang dapat mempublikasikan atau berlangganan topik tertentu tanpa satu titik kerentanan. Ini berarti bahwa aplikasi Miller yang tidak sah akan ditolak izinnya untuk menerbitkan perintah untuk mengontrol pengereman atau kemudi. Atau jika Miller mengkompromikan data yang sedang bergerak, pelanggan data dapat mengotentikasi pesan secara kriptografis dan membuang apa pun yang tidak sesuai dengan kebijakan yang ditetapkan. Bisakah kita mengatakan kendaraan otonom kita sekarang benar-benar aman? Tidak, karena seperti yang dijelaskan Miller dengan sangat jelas, kami masih membutuhkan lebih banyak percakapan. Namun, kami dapat mengatakan bahwa DDS dan Keamanan DDS memberikan fleksibilitas berwawasan ke depan yang diperlukan untuk membantu menghubungkan dan mengamankan sistem otonom.

[1] [2] 下一页