web-dev-qa-db-ja.com

OBD-IIの「コネクテッドカー」製品（Automatic Pro、Hum）は安全ですか？

「コネクテッドカー」製品と呼ばれる新しいクラスの車両データデバイスがあります。 2つの例は、Automatic ProとHumです。どちらも、車のOBD-IIポートに接続し、位置やエンジンの状態などの情報を記録できます。

私の肘掛け椅子のセキュリティ研究者は恐怖であり、インターネットに接続された、設計に実質的にセキュリティがなく、車両のECUなどの組み込みコンピューティングデバイスを参照しています。重大な事故を引き起こすために必要なことは、デバイスを危険にさらし、ECUによって制御される車両内のあらゆるものに影響を与える悪意のある「キル」コマンドを発行することだけです。これは、1996年以降に製造されたほとんどの車両で、ほぼすべてです。

これらのデバイスは実際に使用しても安全ですか？メーカーはこれらのユニットの潜在的な妥協を真剣に受け止めていますか？私の評価では、これはピンなどを省略して、OBD-IIポートへのsendデータへのあらゆる方法を無効にすることを意味します。これらのデバイスが物理的に車両のコンピューターにデータを送信できない場合、私はそれらの安全性により自信を持ちます（あなたの場所をスパイできるという明らかな問題はありません）。彼らが持っている機能を考えると、そのようなことは可能ですか？

attack-preventionattack-vectorvehicle
6
Mike Nielsen

これらのデバイスは実際に使用しても安全ですか？

いいえ。これらのデバイスは「低速CANバス」にアクセスし、実際にCAN-BUSでメッセージを送信します。 OBD-IIデバイスを危険にさらしている人はだれでも、偽のメッセージを送信して、CANバスに接続された異なるECUをだますことができます。

メーカーはこれらのユニットの潜在的な妥協を真剣に受け止めていますか？

はい、しかしいくつかの問題があります。大手メーカーは潜在的なセキュリティリスクがあることを理解していますが、CANバスプロトコルの固有の制限のため、それについてできることはあまりありません。

CANバスプロトコルを変更せずにセキュリティを実装するための正しい方法は、次のいずれかです。

  • 各ECU AVをECUから最初から製造済み（すでに Karamba Security によって実行されている））
  • 別のECU CANバスに接続して、DPIをリスニングおよび実行します（ Argus Sec によって行われます）。
  • CANバスの動作に関する統計分析を実行し、通常のアクティビティと異常なアクティビティを区別できる（ Cycuro によって行われる）

あなたはおそらく自分自身に尋ねているでしょう、なぜこれが埋め込まれているのを見ないのですか？

製造会社は、適切な大量テストを行わずに新しいデバイスをCANバスに挿入することを恐れています。中小企業が製品の動作を証明するには、まずメーカーが怖がっているために利用できない大量の車でテストする必要があります。つまり、ループ全体です。

Xee や Carvoyant のような企業が開発者がドライバーに提供するテストキットを提供しているため、このループから抜け出す方法がある可能性もあります。これらの開発ドライバーは、データを収集して開発者の「サーバー」に送信します。この時点で、データをオフライン/オフロードで使用して、必要なテストを実行できます。

彼らが持っている機能を考えると、そのようなことは可能ですか？

上で述べたように、ODB-IIプロトコルのセットアップ方法が原因で、現時点ではそれは不可能です。

結論：

メーカーはサイバーセキュリティ防止の採用を望んでいますが、市場はまだ準備ができていません（しかし、これまでになく近いです）。OBD-II環境を意識して確実に確保するかどうかは、あなた次第です。

攻撃ベクトルが成長し、攻撃が少し狂ってしまう可能性があります（メカニックのコンピューターが危険にさらされてから、メカニックのOBD-IIデバイスを介してマルウェアを車に拡散するために使用されますか？）。メーカーから最高。

OBD-IIとCANバスの詳細については、こちらをご覧ください。 CANバスとOBD IIについて説明、CANバスとOBD IIの動作例

5
Bubble Hacker