[論文レビュー] Who Killed My Parked Car?

Kyong-Tak Cho, Yuseung Kim+1 more|arXiv (Cornell University)|Jan 23, 2018

Vehicular Ad Hoc Networks (VANETs)参考文献 10被引用数 7

ひとこと要約

本論文は、標準化された車載機器起動機能を悪用することで、エンジンを切った状態の駐車中の車両を無力化できる2つの新規サイバー攻撃——バッテリー放電攻撃およびDenial-of-Body-control (DoB) 攻撃——を明らかにした。攻撃者は起動メッセージを注入することでECUを起動させ、バッテリーを放電させたり、回復不能なバスオフ状態に強制することで、物理的アクセスがなくても車両を無効化できる。

ABSTRACT

We find that the conventional belief of vehicle cyber attacks and their defenses---attacks are feasible and thus defenses are required only when the vehicle's ignition is turned on---does not hold. We verify this fact by discovering and applying two new practical and important attacks: battery-drain and Denial-of-Body-control (DoB). The former can drain the vehicle battery while the latter can prevent the owner from starting or even opening/entering his car, when either or both attacks are mounted with the ignition off. We first analyze how operation (e.g., normal, sleep, listen) modes of ECUs are defined in various in-vehicle network standards and how they are implemented in the real world. From this analysis, we discover that an adversary can exploit the wakeup function of in-vehicle networks---which was originally designed for enhanced user experience/convenience (e.g., remote diagnosis, remote temperature control)---as an attack vector. Ironically, a core battery-saving feature in in-vehicle networks makes it easier for an attacker to wake up ECUs and, therefore, mount and succeed in battery-drain and/or DoB attacks. Via extensive experimental evaluations on various real vehicles, we show that by mounting the battery-drain attack, the adversary can increase the average battery consumption by at least 12.57x, drain the car battery within a few hours or days, and therefore immobilize/cripple the vehicle. We also demonstrate the proposed DoB attack on a real vehicle, showing that the attacker can cut off communications between the vehicle and the driver's key fob by indefinitely shutting down an ECU, thus making the driver unable to start and/or even enter the car.

研究の動機と目的

• 車両のサイバー攻撃はエンジンが稼働している場合にのみ可能であるという従来の認識に挑戦すること。
• 利便性を目的とした車載ネットワークの起動機能が、攻撃のベクトルとして悪用可能かどうかを調査すること。
• 駐車中かつ電源を切った状態でも、車両の可用性を損なう実用的攻撃を実証すること。
• 実際の車両に対してバッテリー放電攻撃およびDoB攻撃の実現可能性と影響を評価すること。
• 対策策定の提言と、ECUの標準的動作および回復ポリシーの再評価の必要性を強調すること。

提案手法

• ISO 11898-1 などの車載ネットワーク規格および実際のECU実装を分析し、起動機能の脆弱性を特定する。
• 逆アセンブルとファズィングを用いて、ECU起動および制御機能をトリガーするメッセージIDを同定する。
• バッテリー放電攻撃に必要な制御メッセージを特定する作業を簡素化するため、ドライバーレベルの文脈に基づくスキームを提案する。
• エンジンを切った状態で起動メッセージを注入し、ECUを起動させた後、制御メッセージを送信してバッテリー放電またはバスオフ状態を引き起こす。
• ISO 11898-1 に従い、一部のECUがバスオフ状態から回復しない事実を悪用し、持続的なDoB効果を実現する。
• 2017年式の実際の車両を対象に攻撃を評価し、バッテリー消費量の増加と無力化の成功率を測定する。

実験結果

リサーチクエスチョン

• RQ1 エンジンが切られた状態でも、従来の認識とは反して、車両のサイバー攻撃が成功するか？
• RQ2 標準化された起動機能が、車両の可用性を損なう目的でどの程度悪用可能か？
• RQ3 バッテリー放電攻撃およびDoB攻撃は、バッテリーを放電させるか、重要なECUを無効化するのにどの程度効果的か？
• RQ4 ECUの設定、特にバスオフ回復動作がDoB攻撃の成功に果たす役割は何か？
• RQ5 IDS などの既存のセキュリティ機構は、バッテリー消費量を増加させずに、このような攻撃を検出可能か？

主な発見

• バッテリー放電攻撃により、平均的なバッテリー消費量が最低でも12.57倍に増加し、数時間から数日でバッテリーが放電した。
• DoB攻撃により、バスオフ状態に陥った後もリモートコントロールモジュール（RCM）が回復できず、キーフォブ通信が遮断された。
• より多くのスタンバイ機能を備えた最新の車両は、より脆弱であり、起動可能で制御可能なECUの数が多い。
• エネルギー効率とユーザーの利便性を目的とした起動機能が、攻撃の主なベクトルとして悪用された。
• DoB攻撃の成功は、OEM固有のバスオフ回復ポリシーに強く依存しており、多くの場合、実装が行われていないか、回復不能である。
• パターンベースのIDS起動および定期的なバッテリーSoCチェックといった対策により、継続的な動作を伴わずに異常活動を検出可能である。