Mehr Sicherheit für vernetzte Fahrzeuge

Trend Micro, Anbieter von Cybersicherheitslösungen, will mit einer Studie zur Cybersicherheit in vernetzten Fahrzeugen Hersteller, Zulieferer, Behörden und Dienstleister dabei unterstützen, die neue UN-Regelung zur Cybersicherheit von vernetzten Fahrzeugen umzusetzen. Zudem analysiert die Untersuchung Cyberrisiken, die in den aktuellen Vorgaben noch nicht berücksichtigt werden, verspricht das Unternehmen.

Das Weltforum für die Harmonisierung von Fahrzeugvorschriften (World Forum for Harmonization of Vehicle Regulations, Working Party/WP.29) der Wirtschaftskommission der Vereinten Nationen für Europa ist für die Regulierung der Fahrzeugsicherheit weltweit zuständig. Ihre aktuelle Verordnung enthält sieben übergeordnete sowie 30 untergeordnete Beschreibungen von Schwachstellen und Bedrohungen. Darunter befinden sich zudem Beschreibungen von 69 Angriffsvektoren.

Um Hersteller, Zulieferer, Behörden und Dienstleister bei der Priorisierung der von WP.29 beschriebenen Bedrohungen und Angriffsvektoren zu unterstützen, berechneten die Experten von Trend Micro die Dringlichkeitsstufen der einzelnen Angriffsvektoren anhand des branchenüblichen „DREAD“-Bedrohungsmodells. Dieses Modell beurteilt den möglichen Schaden, wie einfach ein Angriff zu starten und zu reproduzieren ist, wie einfach sich ausnutzbare Schwachstellen finden lassen und wie viele Nutzer davon betroffen wären.

Laut Studie sollte der Absicherung folgender Angriffsvektoren eine hohe Priorität zukommen: Zum einen Back-End-Server, die für Angriffe auf Fahrzeuge oder zur Datenextraktion eingesetzt werden können. Zweitens sogenannte Denial-of-Service (DoS)-Angriffe zur Störung von Fahrzeugfunktionen über verschiedene Kommunikationskanäle. Und drittens gehostete Software von Drittanbietern (beispielsweise Unterhaltungs-Apps), über die Fahrzeugsysteme angegriffen werden können.

Desweiteren berechneten die Forscher eigenen Angaben zufolge das DREAD-Bedrohungsmodell neu, um zu zeigen, wie sich der Schweregrad verschiedener Bedrohungen in den nächsten fünf bis zehn Jahren entwickeln wird. Dabei wiesen sie auch auf neue Vektoren hin, die in der WP.29-Verordnung noch nicht enthalten sind. „Ein möglicher Vektor ist die Bilderkennung in smarten Autos. Dabei liegt der Angriff nicht in einer Kompromittierung der Implementation im Fahrzeug.

Vielmehr können beispielsweise Verkehrsschilder so verändert werden, dass diese für den Menschen unverfälscht erscheinen, für Machine Vision Algorithmen in Fahrzeugen aber etwa andere Geschwindigkeiten anzeigen“, erläutert Udo Schneider, IoT Security Evangelist Europe bei Trend Micro, auf Anfrage der Automobilwoche. Der „Angriff“ sei hier also nicht direkt auf das Fahrzeug, sondern vielmehr auf den Kontext, in dem sich das Fahrzeug bewegt, gerichtet. Ein ähnlicher Vektor ist für Schneider bei der Einbindung „in IST-Systeme oder allgemein Car2X zu sehen“. Hier stellt sich für ihn die Frage, „wie sehr ich externem Input, wie dem von Verkehrsleitsystemen oder anderen Autos, vertraue“. Beides sind für ihn Beispiele, „die man autark, etwa im Rahmen der Zulassung, natürlich schlecht testen kann“. Dies würde für ihn eine Art Penetrationstest „mal Faktor X“ bedeuten.

Zudem zeigen die Forscher Möglichkeiten auf, wie aktuelle und zukünftige Risiken durch Cybersicherheitslösungen minimiert werden können. „Cyber-Risiken lauern überall – auch in Autos. Fahrzeuge gewinnen an Intelligenz, Rechenleistung und Konnektivität, was neue Angriffsszenarien für Cyberkriminelle schafft“, so Schneider. Die in der WP.29-Verordnung beschriebenen Cybersecurity-Empfehlungen und -Vorschriften zu verstehen, helfe Herstellern dabei, die Mobilität zukunftssicher zu gestalten.“

Lesen Sie auch:

Drohende Hacker-Angriffe: BSI fordert "Crashtest für Cyber-Sicherheit"

Smart Data Car Data Video – Tarek Besold, Dekra Digital: "Safety ist unsere Mission"

Cyberattacken: Conti hält Vorsprung auf Hacker für möglich

Dazu aus dem Datencenter:

Bedrohung durch Cyber-Angriffe in Deutschland 2008 bis 2019