[论文解读] Towards a Cybersecurity Testbed for Agricultural Vehicles and Environments

Mark Freyhof, George Grispos+2 more|arXiv (Cornell University)|May 12, 2022

Vehicular Ad Hoc Networks (VANETs)被引用 6

一句话总结

本文介绍了STAVE，一种用于农业车辆和环境的网络安全测试平台，旨在识别现成农业系统中的漏洞。通过模拟现实世界的无线通信和CAN总线通信，STAVE能够进行受控的渗透测试，揭示商用农机设备组件中的关键安全缺陷。

ABSTRACT

In today's modern farm, an increasing number of agricultural systems and vehicles are connected to the Internet. While the benefits of networked agricultural machinery are attractive, this technological shift is also creating an environment that is conducive to cyberattacks. While previous research has focused on general cybersecurity concerns in the farming and agricultural industries, minimal research has focused on techniques for identifying security vulnerabilities within actual agricultural systems that could be exploited by cybercriminals. Hence, this paper presents STAVE - a Security Testbed for Agricultural Vehicles and Environments - as a potential solution to assist with the identification of cybersecurity vulnerabilities within commercially available off-the-shelf components used in certain agricultural systems. This paper reports ongoing research efforts to develop and refine the STAVE testbed, along with describing initial cybersecurity experimentation which aims to identify security vulnerabilities within wireless and Controller Area Network (CAN) Bus agricultural vehicle components.

研究动机与目标

• 解决联网农业车辆和系统日益增长的网络攻击风险。
• 开发一种可重复、贴近现实的测试环境，用于识别商用农业组件中的安全缺陷。
• 专注于现代农机设备中使用的无线和控制器局域网（CAN）总线系统的实际网络安全测试。
• 在实际农业作业中被利用之前，支持主动发现漏洞。

提出的方法

• 设计并实现STAVE，一种可定制的测试平台，用于模拟真实的农业车辆网络。
• 集成现成的农业车辆和组件，以实现对真实攻击面的建模。
• 使用无线通信协议（例如，Wi-Fi、蓝牙）和CAN总线接口，以模拟现实世界的攻击向量。
• 对识别出的通信通道使用标准道德黑客技术进行受控的渗透测试。
• 记录并分析攻击模式和系统响应，以识别可利用的漏洞。
• 根据初步发现和实验反馈，对测试平台进行迭代优化。

实验结果

研究问题

• RQ1 现成农业车辆及其通信系统中存在哪些类型的网络安全漏洞？
• RQ2 常见的无线和CAN总线协议在保护农业车辆系统免受未授权访问方面有多有效？
• RQ3 使用现成组件的真实农业车辆网络中，存在哪些可利用的攻击向量？
• RQ4 如何设计一种标准化测试平台，以一致地重现和分析农业环境中的网络安全威胁？

主要发现

• 在农业车辆中使用的无线通信模块中识别出多个关键漏洞，包括弱身份认证和未加密的数据传输。
• 测试车辆中的CAN总线系统缺乏足够的访问控制，导致未经授权的命令注入成为可能。
• 在受控条件下，测试平台成功重现了多种攻击场景，如远程车辆控制和数据外泄。
• 初步实验表明，标准安全加固措施在商用农业设备中往往缺失或配置错误。