[논문 리뷰] Secure Time-Sensitive Software-Defined Networking in Vehicles

Timo Häckel, Philipp Meyer외 2명|arXiv (Cornell University)|2022. 01. 03.

Software-Defined Networks and 5G참고 문헌 58인용 수 46

한 줄 요약

이 논문은 자동차 이더넷 네트워크에서 동기 및 이방성 실시간 및 베스트 에프포트 트래픽을 통합 제어하기 위해 중심집중형 SDN 제어와 IEEE 802.1Q TSN을 융합한 시간 민감 소프트웨어 정의 네트워킹(TSSDN) 아키텍처를 제안한다. 표준 네트워크 헤더에 제어 흐름 식별자를 노출시킴으로써 TSSDN은 시간에 민감한 트래픽에 지연 부담 없이 정밀한 트래픽 격리 및 액세스 제어를 가능하게 하며, 실차 프로토타입에서 공격 표면을 크게 감소시킨다.

ABSTRACT

Current designs of future In-Vehicle Networks (IVN) prepare for switched Ethernet backbones, which can host advanced LAN technologies such as IEEE Time-Sensitive Networking (TSN) and Software-Defined Networking (SDN). In this paper, we present an integrated Time-Sensitive Software-Defined Networking (TSSDN) architecture that simultaneously enables control of synchronous and asynchronous real-time and best-effort communication for all IVN traffic classes. Despite the central SDN controller, we can validate that control can operate without a delay penalty for TSN traffic, provided protocols are properly mapped. We demonstrate how TSSDN adaptably and reliably enhances network security for in-vehicle communication. A systematic investigation of the possible control flow integrations with switched Ether-networks reveals that these strategies allow for shaping the attack surface of a software-defined IVN. We discuss embeddings of control flow identifiers on different layers, covering the range from a fully exposed mapping to deep encapsulation. We experimentally evaluate these strategies in a production vehicle, which we map to a modern Ethernet topology. Our findings indicate that visibility of automotive control flows on lower network layers enables isolation and access control throughout the network infrastructure. Such a TSSDN backbone can establish and survey trust zones within the IVN and reduce the attack surface of connected cars in various attack scenarios.

연구 동기 및 목표

• 증가하는 연결성과 도메인 통합으로 인해 증가하는 현대 차량 내 네트워크(IVN)의 보안 위험을 해결하기 위해.
• 기존의 CAN 기반 네트워크와 고립된 도메인 아키텍처의 한계를 극복하기 위해 모든 트래픽 클래스에 대한 통합적이고 프로그래머블한 제어를 가능하게 하기 위해.
• 시간 민감한 트래픽에 대해 실시간 성능을 유지하면서도 강력한 액세스 제어를 가능하게 하는 보안 중심의 중앙집중형 SDN 컨트롤러 아키텍처를 개발하기 위해.
• 다양한 제어 흐름 태깅 전략(노출 대 비노출)이 실차 환경에서 네트워크 보안과 트래픽 격리에 미치는 영향을 평가하기 위해.
• SDN 기반 액세스 제어가 비허용된 ECU 및 네트워크 구성 요소 간의 통신을 차단함으로써 공격 표면을 극적으로 감소시킬 수 있음을 입증하기 위해.

제안 방법

• 모든 IVN 트래픽 클래스에 대한 통합 제어를 위해 TSN의 시간 인식 슈퍼바이저 및 스케줄링과 SDN의 중심집중형 OpenFlow 컨트롤러를 융합한 TSSDN 아키텍처를 설계하기 위해.
• SDN 스위치가 네트워크 수준에서 식별 및 필터링할 수 있도록 차량 내 제어 흐름(CF)을 표준 이더넷 헤더 필드(예: 소스/디스티네이션 MAC, VLAN)에 매핑하기 위해.
• 안전성에 중요한 TSN 트래픽에 대해 런타임 조작을 방지하고 실시간 보장을 확보하기 위해 정적 SDN 흐름 규칙를 구현하기 위해.
• 세 가지 태깅 전략을 평가하기 위해: 메시지 단위로 노출된(예: MAC/VLAN), 도메인 단위로 숨겨진(VLAN), 기존의 멀티캐스트(명시적 제어 흐름 태그 없음).
• 지역 제어자 및 도메인 게이트웨이가 있는 현대적인 이더넷 토폴로지로 구성된 실차 환경에서 실험을 수행하기 위해.
• 재생 공격 및 패킷 주입을 사용하여 다양한 태깅 전략 하에서 SDN 액세스 제어 정책의 효과성을 테스트하기 위해.

실험 결과

연구 질문

• RQ1 중앙집중형 SDN 컨트롤러는 TSN 스트림에 지연 부담 없이 IVN 내 시간 민감한 트래픽과 베스트 에프포트 트래픽을 모두 관리할 수 있는가?
• RQ2 네트워크 헤더에 제어 흐름 식별자가 노출될 경우 자동차 이더넷에서 트래픽 격리 및 액세스 제어의 정밀도에 어떤 영향을 미치는가?
• RQ3 다양한 제어 흐름 태깅 전략(노출 대 비노출)이 SDN 기반 IVN의 공격 표면과 보안 포지션에 어떤 영향을 미치는가?
• RQ4 특히 손상된 게이트웨이가 존재하는 상황에서 SDN 기반 액세스 제어가 ECU 간 비허용 통신을 얼마나 효과적으로 방지할 수 있는가?
• RQ5 실차 환경에서 SDN 기반 네트워크 중심 보안이 재생, 위조, 멀티캐스트 플러딩 공격을 얼마나 효과적으로 완화할 수 있는가?

주요 결과

• TSSDN 아키텍처는 시간 민감한 스트림에 지연 부담 없이 이방성 실시간 트래픽과 동기 TSN 트래픽을 모두 성공적으로 지원하며, TSN의 하드 실시간 보장을 유지한다.
• 표준 이더넷 헤더(예: MAC 주소)에 제어 흐름 식별자를 노출함으로써 정밀한 플로우 기반 액세스 제어가 가능해지며, 모든 비허용 트래픽(손상된 게이트웨이에서 온 것 포함)을 차단할 수 있다.
• 메시지 단위로 노출된 태깅 전략을 사용할 경우, 유일한 합법적 송신자(예: ZC FL)만 제어 흐름을 전송할 수 있었고, 유일한 수신자만 수신할 수 있었으며, 의도하지 않은 멀티캐스트 플러딩은 발생하지 않았다.
• 반면에 숨겨진 태깅 전략(예: VLAN 태그 내부에)은 의도하지 않은 패킷 전달을 유도하였다: 브로드캐스트 정책 하에서 71%의 패킷이 의도하지 않은 수신자에게 전달되었으며, 이는 공격 표면을 증가시켰다.
• 드롭 정책을 사용한 SDN 액세스 제어는 비허용 흐름의 100%를 차단하였으며, 온라인 게이트웨이가 제어 메시지를 전송할 수 없었기 때문에 공격 표면이 감소하였다.
• 프로토타입은 네트워크 중심 보안이 SDN 흐름 제어를 통해 핵심 제어 흐름을 격리하고, 레거시 ECU나 게이트웨이가 손상된 경우에도 비허용 액세스를 방지할 수 있음을 입증하였다.