[논문 리뷰] TACAN: Transmitter Authentication through Covert Channels in Controller Area Networks

Xuhang Ying, Giuseppe Bernieri외 2명|arXiv (Cornell University)|2019. 03. 12.

Vehicular Ad Hoc Networks (VANETs)참고 문헌 23인용 수 8

한 줄 요약

TACAN은 프로토콜 수정이나 트래픽 오버헤드 없이 CAN 버스에서 보안적인 ECU 인증을 가능하게 하는 코어트 채널 기반 송신자 인증 기법을 제안한다. 메시지 간 이격 시간, 시계 오프셋, CAN 메시지의 가장 낮은 유효 비트에 인증 메시지를 통합하여, IAT 및 LSB 채널의 비트 오류 비율을 각각 0.1–0.42% 및 3.1×10⁻⁷%로 달성하였으며, ECU의 기능을 유지하면서도 가짜 인증 및 DoS 공격을 탐지할 수 있다.

ABSTRACT

Nowadays, the interconnection of automotive systems with modern digital devices offers advanced user experiences to drivers. Electronic Control Units (ECUs) carry out a multitude of operations using the insecure Controller Area Network (CAN) bus in automotive Cyber-Physical Systems (CPSs). Therefore, dangerous attacks, such as disabling brakes, are possible and the safety of passengers is at risk. In this paper, we present TACAN (Transmitter Authentication in CAN), which provides secure authentication of ECUs by exploiting the covert channels without introducing CAN protocol modifications or traffic overheads (i.e., no extra bits or messages are used). TACAN turns upside-down the originally malicious concept of covert channels and exploits it to build an effective defensive technique that facilitates transmitter authentication via a trusted Monitor Node. TACAN consists of three different covert channels for ECU authentication: 1) Inter-Arrival Time (IAT)-based, leveraging the IATs of CAN messages; 2) offset-based, exploiting the clock offsets of CAN messages; 3) Least Significant Bit (LSB)-based, concealing authentication messages into the LSBs of normal CAN data. We implement the covert channels on the University of Washington (UW) EcoCAR testbed and evaluate their performance through extensive experiments. We demonstrate the feasibility of TACAN, highlighting no traffic overheads and attesting the regular functionality of ECUs. In particular, the bit error ratios are within 0.1% and 0.42% for the IAT-based and offset-based covert channels, respectively. Furthermore, the bit error ratio of the LSB-based covert channel is equal to that of a normal CAN bus, which is 3.1x10^-7%.

연구 동기 및 목표

• 마스커레이드 공격을 통해 악성으로 변조된 ECU가 정상적인 ECU를 위장할 수 있는 CAN 버스의 심각한 보안 취약점을 해결하기 위해.
• 프로토콜 수정이나 추가 트래픽 오버헤드 없이도 안전한 인증 메커니즘을 개발하기 위해.
• 자원 제약이 있는 ECU와 호환되도록 계산 및 통신 오버헤드를 최소화하면서도, 신뢰할 수 있는 모니터링 노드가 정상적인 CAN 메시지 타이밍과 데이터에 통합된 코어트 채널을 통해 ECU의 진위를 검증할 수 있도록 하기 위해.
• 자원 제약이 있는 ECU와의 호환성을 확보하기 위해 계산 및 통신 오버헤드를 최소화하기 위해.
• 실차 환경에서의 실현 가능성과 강건성을 차량 테스트베드와 실제 데이터셋을 활용해 평가하기 위해.

제안 방법

• TACAN은 세 가지 코어트 채널을 사용한다: IAT 기반(메시지 간 이격 시간 조절), 오프셋 기반(시계 오프셋 활용), LSB 기반(데이터 페이로드의 가장 낮은 유효 비트에 메시지 통합).
• 각 ECU는 모니터링 노드와 마스터 키를 공유하며, 이 키를 사용해 코어트 채널을 통해 전송 메시지의 인증을 위한 세션 키를 생성한다.
• IAT 기반 채널은 메시지 전송 간격에 제어된 변동을 도입하여 타이밍을 조절하며, 탐지되지 않도록 기준 수준을 유지한다.
• 오프셋 기반 채널은 ECU와 모니터링 노드 간 시계 스킴 차이를 활용하며, 슬라이딩 윈도우를 사용해 시계 오프셋을 추정하고 검증하여 인증을 수행한다.
• LSB 기반 채널은 센서 데이터 필드의 가장 낮은 유효 비트에 인증 데이터를 통합하며, 정확도 손실 최소화를 위해 L=1 또는 2를 사용한다.
• 인증 메시지는 지속적으로 전송되며, 모니터링 노드에서 수신된 메시지의 유효성과 존재 여부를 검증한다. 만약 잘못된 메시지 또는 메시지가 누락된 경우 경고를 발생시킨다.

실험 결과

연구 질문

• RQ1 코어트 채널을 악성 용도에서 방어적 용도로 재사용할 수 있는가? 이는 프로토콜 수정 없이 CAN 버스 인증에 적용 가능한가?
• RQ2 CAN 기반 자동차 시스템에서 프로토콜 변경 없이 트래픽 오버헤드가 전혀 없는 송신자 인증이 가능한가?
• RQ3 실차 환경에서 IAT, 오프셋, LSB 기반 코어트 채널 기법이 비트 오류 비율, 처리량, 정확도 손실 측면에서 어떻게 성능을 내는가?
• RQ4 제안된 기법이 ECU 기능과 센서 정확도를 유지하면서도 마스커레이드 및 DoS 공격을 탐지할 수 있는가?
• RQ5 CAN 메시지에 인증 메시지를 통합할 경우 처리량, 비트 오류 비율, 센서 데이터 정확도 간의 상호 상충 관계는 어떠한가?

주요 결과

• 실차 환경에서 IAT 기반 코어트 채널은 비트 오류 비율 0.1%를 달성하여 타이밍 기반 인증의 높은 신뢰성을 입증하였다.
• 오프셋 기반 코어트 채널은 비트 오류 비율 0.42%를 기록하여 시계 드리프트와 환경 노이즈에도 불구하고 만족스러운 성능을 보였다.
• LSB 기반 코어트 채널은 비트 오류 비율 3.1×10⁻⁷%를 기록하여 일반 CAN 버스의 오류율과 동일했으며, 데이터 무결성에 미치는 영향이 극히 미미함을 시사했다.
• 센서 데이터의 경우, LSB 통합으로 인한 최대 오차는 휠 속도 기준으로 L=1일 때 0.01 km/h, L=2일 때 0.03 km/h였으며, 엔진 냉각수 온도 기준으로는 L=1일 때 1°C, L=2일 때 3°C였으며, 이는 무시할 만한 수준 또는 중간 수준의 영향으로 간주된다.
• 시스템은 ECU의 기능을 그대로 유지하였으며, 정상적인 CAN 버스 운영에 영향을 주지 않았다. 이는 실차 자동차 환경에서의 실현 가능성을 확인한 것이다.
• TACAN은 모니터링 노드에서 통합된 인증 메시지의 존재성과 유효성을 검증함으로써 마스커레이드 및 DoS 공격을 성공적으로 탐지하였다.