[論文レビュー] Viden: Attacker Identification on In-Vehicle Networks

Kyong-Tak Cho, Kang G. Shin|arXiv (Cornell University)|Aug 28, 2017

Vehicular Ad Hoc Networks (VANETs)参考文献 17被引用数 24

ひとこと要約

Videnは、CANハイおよびCANロー線路上の電圧信号を測定・分析することで、車載CANネットワークにおける攻撃者ECU（電子制御ユニット）を電圧ベースで同定する画期的な手法である。再帰的最小二乗法（RLS）を用いた適応的オンライン学習により、各ECUの独自な電圧プロファイル（指紋）を構築し、継続的に更新する。実車両のCANプロトタイプおよび2台の車両を用いた実環境評価では、誤同定率が0.2%にとどまり、高い精度を示した。

ABSTRACT

Various defense schemes --- which determine the presence of an attack on the in-vehicle network --- have recently been proposed. However, they fail to identify which Electronic Control Unit (ECU) actually mounted the attack. Clearly, pinpointing the attacker ECU is essential for fast/efficient forensic, isolation, security patch, etc. To meet this need, we propose a novel scheme, called Viden (Voltage-based attacker identification), which can identify the attacker ECU by measuring and utilizing voltages on the in-vehicle network. The first phase of Viden, called ACK learning, determines whether or not the measured voltage signals really originate from the genuine message transmitter. Viden then exploits the voltage measurements to construct and update the transmitter ECUs' voltage profiles as their fingerprints. It finally uses the voltage profiles to identify the attacker ECU. Since Viden adapts its profiles to changes inside/outside of the vehicle, it can pinpoint the attacker ECU under various conditions. Moreover, its efficiency and design-compliance with modern in-vehicle network implementations make Viden practical and easily deployable. Our extensive experimental evaluations on both a CAN bus prototype and two real vehicles have shown that Viden can accurately fingerprint ECUs based solely on voltage measurements and thus identify the attacker ECU with a low false identification rate of 0.2%.

研究の動機と目的

• 車載CANネットワークにおける攻撃を実行している特定のECUを同定できないという、既存の侵入検知システムにおける重要な空白を解消すること。
• 正確なフォレンジック分析、隔離、パッチ適用を可能にするために、攻撃者ECUを正確に特定すること。
• 環境的変化や攻撃的変更に対して失敗する、静的かつバッチ学習された指紋抽出手法の限界を克服すること。
• 現代のCANベースの車両アーキテクチャと互換性がある実用的で導入可能なソリューションを開発すること。

提案手法

• Videnは、CANハイ（CANH）およびCANロー（CANL）ライン上の電圧信号を監視し、ECUの送信行動を捉える。
• 送信を行わずメッセージを単にアキュシットするECUの電圧測定値を除外するため、ACK学習フェーズを採用する。
• 本物の送信者信号から抽出した電圧インスタンスを、適応的プロファイル構築の入力として使用する。
• 再帰的最小二乗法（RLS）アルゴリズムにより、リアルタイムで電圧プロファイルを動的に更新し、環境的変化や攻撃的変更に適応する。
• 得られた電圧プロファイルは、リアルタイムでの攻撃者ECU同定のためのECU固有の指紋として機能する。
• 本システムは、低オーバーヘッドであり、既存の車載ネットワークハードウェアおよびプロトコルと互換性があるように設計されている。

実験結果

リサーチクエスチョン

• RQ1 CANバスにおける電圧測定値を用いて、攻撃者同定のための異なるECUを信頼性高く区別できるか？
• RQ2 環境的または攻撃的変化の下でも、精度を維持できるように、電圧プロファイルをどのように適応的に構築・更新できるか？
• RQ3 実車両環境における電圧ベースの攻撃者同定手法の誤同定率はどの程度か？
• RQ4 複数のECUが同じメッセージIDを共有する場合、またはECUが追加・削除される場合、システムの性能はどのように変化するか？
• RQ5 攻撃者がタイミングや電圧に注意を払っている場合でも、システムは攻撃者を検出・同定できるか？

主な発見

• VidenはCANバスプロトタイプを用いた評価で、誤同定率0.2%を達成し、攻撃者ECU同定の高精度を実証した。
• 11台のECUを用いた第二の評価でも、誤同定率が0.3%に保たれ、システム複雑性の増加に対しても耐性があることが示された。
• Videnが構築した電圧プロファイルは各ECUに対して特徴的であり、電圧ベースの指紋抽出の実現可能性が裏付けられた。
• 適応的RLSベースのプロファイル更新メカニズムにより、Videnは環境の変動や検知回避を試みる攻撃的行動に対しても、精度を維持できた。
• ECU数の増加に対してもVidenの性能は安定しており、通常の車載CANバス構成内でのスケーラビリティが確認された。
• 攻撃がFlexRayやLINなどの他の車載ネットワークから発生した場合、ゲートウェイECUが攻撃者として効果的に同定された。