[論文レビュー] Secure Time-Sensitive Software-Defined Networking in Vehicles

Timo Häckel, Philipp Meyer+2 more|arXiv (Cornell University)|Jan 3, 2022

Software-Defined Networks and 5G参考文献 58被引用数 46

ひとこと要約

本論文は、自動車エーテルネットワークにおける同期的・非同期的リアルタイムおよびベストエフォートトラフィックを統合的に制御する、時間遅延に敏感なソフトウェア定義ネットワーキング（TSSDN）アーキテクチャを提案する。標準ネットワークヘッダに制御フロー識別子を露呈させることで、時間的に制限のあるトラフィックに遅延ペナルティを課すことなく、正確なトラフィック隔離とアクセス制御を実現し、プロダクション車両プロトタイプにおける攻撃表面を顕著に縮小する。

ABSTRACT

Current designs of future In-Vehicle Networks (IVN) prepare for switched Ethernet backbones, which can host advanced LAN technologies such as IEEE Time-Sensitive Networking (TSN) and Software-Defined Networking (SDN). In this paper, we present an integrated Time-Sensitive Software-Defined Networking (TSSDN) architecture that simultaneously enables control of synchronous and asynchronous real-time and best-effort communication for all IVN traffic classes. Despite the central SDN controller, we can validate that control can operate without a delay penalty for TSN traffic, provided protocols are properly mapped. We demonstrate how TSSDN adaptably and reliably enhances network security for in-vehicle communication. A systematic investigation of the possible control flow integrations with switched Ether-networks reveals that these strategies allow for shaping the attack surface of a software-defined IVN. We discuss embeddings of control flow identifiers on different layers, covering the range from a fully exposed mapping to deep encapsulation. We experimentally evaluate these strategies in a production vehicle, which we map to a modern Ethernet topology. Our findings indicate that visibility of automotive control flows on lower network layers enables isolation and access control throughout the network infrastructure. Such a TSSDN backbone can establish and survey trust zones within the IVN and reduce the attack surface of connected cars in various attack scenarios.

研究の動機と目的

• 増加する接続性とドメイン統合に起因する現代の車載ネットワーク（IVN）におけるセキュリティリスクの増大に対処する。
• 従来のCANベースのネットワークやドメイン単位のアーキテクチャの限界を克服し、すべてのトラフィッククラスに対して統一的でプログラマブルな制御を可能にする。
• 時間遅延に敏感なトラフィックのリアルタイム性能を維持しながら、強力なアクセス制御を可能にする、セキュアで集中型のSDNコントローラアーキテクチャを開発する。
• 異なる制御フロー埋め込み戦略（露呈 vs. 隐藏）が、実際の車両環境におけるネットワークセキュリティおよびトラフィック隔離に与える影響を評価する。
• SDNベースのアクセス制御が、ECUやネットワークコンponent間の不正な通信を防止することで、攻撃表面を顕著に削減できることを実証する。

提案手法

• TSNのタイムアウェアシェーパーおよびスケジューリングと、SDNの集中型OpenFlowコントローラーを統合したTSSDNアーキテクチャを設計し、すべてのIVNトラフィッククラスの統合制御を実現する。
• 車載制御フロー（CF）を標準イーサネットヘッダーフィールド（例：送信元/受信先MAC、VLAN）にマッピングすることで、SDNスイッチによるネットワークレベルの識別とフィルタリングを可能にする。
• 安全で重要なTSNトラフィックに対して静的SDNフロールールを実装し、実行時における改ざんを防止し、リアルタイム保証を確保する。
• 3つの埋め込み戦略を評価：メッセージ単位の露呈（MAC/VLAN）、ドメイン単位の隠蔽（VLAN）、および従来のマルチキャスト（明示的な制御フロータグなし）。
• ゾーナルコントローラーとドメインゲートウェイを備えた現代のエーテルネットトポロジーを想定した実車両環境で実験を実施する。
• リプレイ攻撃およびパケットインジェクションを用いて、異なる埋め込み方式下でのSDNアクセス制御ポリシーの有効性をテストする。

実験結果

リサーチクエスチョン

• RQ1 集中型SDNコントローラーは、TSNストリームに遅延ペナルティを課すことなく、IVNにおける時間遅延に敏感なトラフィックとベストエフォートトラフィックの両方を管理できるか？
• RQ2 ネットワークヘッダに制御フロー識別子を露呈させることで、車載エーテルネットにおけるトラフィック隔離およびアクセス制御の正確性にどのような影響を与えるか？
• RQ3 異なる制御フロー埋め込み戦略（露呈 vs. 隐藏）が、SDN対応IVNの攻撃表面およびセキュリティポリシーに与える影響は何か？
• RQ4 特に、コンプライアンスゲートウェイが侵害された状況下でも、SDNベースのアクセス制御がECU間の不正な通信をどれほど効果的に防止できるか？
• RQ5 実車両環境下で、SDNベースのネットワーク中心のセキュリティは、リプレイ攻撃、スプーフィング攻撃、マルチキャストフラッディング攻撃をどれほど効果的に緩和できるか？

主な発見

• TSSDNアーキテクチャは、時間的に制限のあるストリームにゼロの遅延ペナルティを伴いながら、非同期リアルタイムおよび同期的TSNトラフィックの両方を効果的にサポートし、TSNのハードリアルタイム保証を維持した。
• 標準イーサネットヘッダに制御フロー識別子（例：MACアドレス）を露呈させることで、正確なフロー基準アクセス制御が可能となり、不正なすべてのトラフィック（コンプライアンスゲートウェイからのものも含む）がブロックされた。
• メッセージ単位の露呈埋め込みでは、正当な送信者（例：ZC FL）のみが制御フローを送信でき、意図した受信者にのみ届くことが確認され、不正なマルチキャストフラッディングは発生しなかった。
• 一方、隠蔽埋め込み（例：VLANタグ内）では、ブロードキャストポリシー下で71％のパケットが意図しない受信者に転送され、攻撃表面が拡大した。
• ドロップポリシーを用いたSDNアクセス制御は、不正なすべてのフロー（オンラインゲートウェイからのものも含む）を100％ブロックした。このゲートウェイは制御メッセージの送信が許可されていなかったため、攻撃表面が縮小された。
• プロトタイプは、ネットワーク中心のセキュリティがSDNフローコントロールを通じて、危険な制御フローを隔離し、不正アクセスを防止できることを実証した。これは、レガシーECUやゲートウェイが侵害された場合でも同様に有効であった。