[論文レビュー] Identifying ECUs Using Inimitable Characteristics of Signals in Controller Area Networks

Won Suk Choi, Hyo Jin Jo+4 more|arXiv (Cornell University)|Jul 2, 2016

Vehicular Ad Hoc Networks (VANETs)被引用数 6

ひとこと要約

本論文は、電子制御ユニット（ECU）の物理層信号特性を用いて、既存のECUを変更せずにリプレイ攻撃を検出可能な、ハードウェア非干渉的な新規手法を提案する。本手法は、拡張CANフレーム形式と耐障害性の高いビットストリング分類アルゴリズムを活用することで、実環境の高速CAN（500 kbps）条件下でも、先行研究よりも2倍以上低い誤検出率を達成する。

ABSTRACT

In the last several decades, the automotive industry has come to incorporate the latest Information and Communications (ICT) technology, increasingly replacing mechanical components of vehicles with electronic components. These electronic control units (ECUs) communicate with each other in an in-vehicle network that makes the vehicle both safer and easier to drive. Controller Area Networks (CANs) are the current standard for such high quality in-vehicle communication. Unfortunately, however, CANs do not currently offer protection against security attacks. In particular, they do not allow for message authentication and hence are open to attacks that replay ECU messages for malicious purposes. Applying the classic cryptographic method of message authentication code (MAC) is not feasible since the CAN data frame is not long enough to include a sufficiently long MAC to provide effective authentication. In this paper, we propose a novel identification method, which works in the physical layer of an in-vehicle CAN network. Our method identifies ECUs using inimitable characteristics of signals enabling detection of a compromised or alien ECU being used in a replay attack. Unlike previous attempts to address security issues in the in-vehicle CAN network, our method works by simply adding a monitoring unit to the existing network, making it deployable in current systems and compliant with required CAN standards. Our experimental results show that the bit string and classification algorithm that we utilized yielded more accurate identification of compromised ECUs than any other method proposed to date. The false positive rate is more than 2 times lower than the method proposed by P.-S. Murvay et al. This paper is also the first to identify potential attack models that systems should be able to detect.

研究の動機と目的

• CANネットワークにおける深刻なセキュリティ脆弱性である、メッセージ認証の欠如とリプレイ攻撃への耐性の欠如を解消すること。
• ECU交換や高いバス負荷を要する、従来の暗号的・プロトコルベースの解決策の制限を克服すること。
• 既存の車載CANインfraに統合可能な実用的で展開可能なECU識別手法を開発すること。
• Murvayらの信号ベースECUファングプリント手法を、高速CAN（500 kbps）条件下でのテストおよび衝突状況の処理を含めて改善すること。
• ECUのハードウェアを変更せずに、物理層信号特性を用いて、リアルタイムで改ざん済みまたは不正なECUを検出可能にする。

提案手法

• 異なるECUがハードウェアのばらつきにより発生させる、不可再現性のある物理層信号特性（具体的には、CANフレーム内の固有のビットパターン）を活用する。
• 29ビット識別子を有する拡張CANフレーム形式を用い、より長く安定したビットストリングを抽出・分析してECU識別を実現する。
• 信号相関と特徴抽出に基づく分類アルゴリズムを実装し、高い精度でECUを区別する。
• ECUのファームウェareやハードウェアを変更せずに、CANバスにパassiveモニタリングユニットを設置し、リアルタイムで信号を収集・分析する。
• 標準CANプロトコルと互換性を持たせ、信号衝突を含む実環境条件でも動作可能に設計する。
• 物理層における信号タイミングおよびアマプリチュードのばらつきを活用して、メッセージ内容や識別子に依存しない固有のデバイスファングプリントを生成する。

実験結果

リサーチクエスチョン

• RQ1 車載ネットワーク実環境において、CAN ECUの不可再現性のある物理層信号特性を信頼性高く、個々のECUを識別・区別するために利用できるか？
• RQ2 高速CAN（500 kbps）条件下における信号特性に基づくECU識別性能は、低速CANと比較してどのように異なるか？
• RQ3 CANネットワークにおける信号衝突は、識別子フィールドまたは信号パターンを用いたECUファングプリントの正確性にどの程度影響を及えるか？
• RQ4 ECUやネットワークインfraを変更せずに、パassiveモニタリングユニットが信号ファングプリントを分析することで、改ざん済みまたは不正なECUを検出可能か？
• RQ5 本手法の誤検出率は、先行研究と比較して、特に現実の車載ネットワーク環境下でどの程度低いのか？

主な発見

• 本手法は、Murvayらが提案した手法と比較して、誤検出率が2倍以上低いことを実証し、ECU識別において優れた精度を示した。
• ビットストリング解析に基づく分類アルゴリズムは、高速CAN（500 kbps）条件下でも高い精度でECUを識別でき、実車両環境を模擬した条件で有効であることが確認された。
• 信号衝突時においても、仲裁に基づく識別子フィールドに依存せず、物理層信号特性に依存するため、本手法は依然として有効である。
• 本システムは標準CANプロトコルと完全に互換性があり、ECUのハードウェア交換は不要で、拡張フレーム形式をサポートするファームウェア更新のみで実現可能である。
• モニタリングユニットはパassiveかつ透明に動作し、ネットワークへのオーバーヘッドを最小限に抑え、バス負荷は50％未満を維持する。
• 本研究は、物理層信号ファングプリントを用いて検出可能なリプレイ攻撃のシナリオを、初めて形式的に同定・モデル化した。