[论文解读] Secure Time-Sensitive Software-Defined Networking in Vehicles

Timo Häckel, Philipp Meyer+2 more|arXiv (Cornell University)|Jan 3, 2022

Software-Defined Networks and 5G参考文献 58被引用 46

一句话总结

本文提出了一种时间敏感软件定义网络（TSSDN）架构，将集中式SDN控制与IEEE 802.1Q TSN相结合，统一管理车载以太网中同步和异步实时流量及尽力而为流量。通过在标准网络头部中暴露控制流标识符，TSSDN在不为时间敏感流量引入延迟惩罚的前提下，实现了精确的流量隔离与访问控制，显著降低了实际车辆原型中的攻击面。

ABSTRACT

Current designs of future In-Vehicle Networks (IVN) prepare for switched Ethernet backbones, which can host advanced LAN technologies such as IEEE Time-Sensitive Networking (TSN) and Software-Defined Networking (SDN). In this paper, we present an integrated Time-Sensitive Software-Defined Networking (TSSDN) architecture that simultaneously enables control of synchronous and asynchronous real-time and best-effort communication for all IVN traffic classes. Despite the central SDN controller, we can validate that control can operate without a delay penalty for TSN traffic, provided protocols are properly mapped. We demonstrate how TSSDN adaptably and reliably enhances network security for in-vehicle communication. A systematic investigation of the possible control flow integrations with switched Ether-networks reveals that these strategies allow for shaping the attack surface of a software-defined IVN. We discuss embeddings of control flow identifiers on different layers, covering the range from a fully exposed mapping to deep encapsulation. We experimentally evaluate these strategies in a production vehicle, which we map to a modern Ethernet topology. Our findings indicate that visibility of automotive control flows on lower network layers enables isolation and access control throughout the network infrastructure. Such a TSSDN backbone can establish and survey trust zones within the IVN and reduce the attack surface of connected cars in various attack scenarios.

研究动机与目标

• 应对由于连接性增加和域集成而带来的现代车载网络（IVNs）中日益增长的安全风险。
• 通过实现对所有流量类别的统一、可编程控制，克服传统基于CAN的网络和孤立域架构的局限性。
• 设计一种安全的集中式SDN控制器架构，在保持时间敏感流量实时性能的同时，实现强大的访问控制。
• 评估不同控制流嵌入策略（暴露 vs. 隐藏）对真实车辆环境中网络安全和流量隔离的影响。
• 证明基于SDN的访问控制可通过阻止ECU与网络组件之间的未经授权通信，显著减少攻击面。

提出的方法

• 设计一种TSSDN架构，将TSN的时间感知整形器和调度机制与SDN的集中式OpenFlow控制器相结合，实现对所有IVN流量类别的统一控制。
• 将车载控制流（CFs）映射到标准以太网头部字段（如源/目的MAC地址、VLAN），以实现SDN交换机在网路层对流量的识别与过滤。
• 为安全关键的TSN流量实现静态SDN流规则，防止运行时篡改，确保实时性保障。
• 评估三种嵌入策略：按消息暴露（MAC/VLAN）、按域隐藏（VLAN）以及传统组播（无显式控制流标记）。
• 在真实生产车辆中开展实验，模拟具备区域控制器和域网关的现代以太网拓扑。
• 通过重放攻击和数据包注入，测试不同嵌入方案下SDN访问控制策略的有效性。

实验结果

研究问题

• RQ1 集中式SDN控制器能否在不为TSN流引入延迟惩罚的前提下，管理IVNs中的时间敏感流量和尽力而为流量？
• RQ2 控制流标识符在以太网头部中的可见性如何影响车载以太网中流量隔离与访问控制的精确性？
• RQ3 不同控制流嵌入策略（暴露 vs. 隐藏）对SDN增强型IVN的攻击面和安全态势有何影响？
• RQ4 基于SDN的访问控制在存在被攻陷网关的情况下，能在多大程度上防止ECU之间的未经授权通信？
• RQ5 在真实车辆环境中，基于SDN的网络中心安全机制在缓解重放、伪造和组播泛洪攻击方面有多有效？

主要发现

• TSSDN架构成功支持异步实时流量和同步TSN流量，且时间敏感流无任何延迟惩罚，完整保留了TSN的硬实时保证。
• 在标准以太网头部（如MAC地址）中暴露控制流标识符，可实现精确的基于流的访问控制，阻止所有未经授权的通信，包括来自被攻陷网关的通信。
• 采用按消息暴露嵌入时，仅合法发送方（如ZC FL）可发送控制流，且仅目标接收方可接收，未发生任何非预期的组播泛洪。
• 相比之下，隐藏嵌入（如在VLAN标签内）导致非预期的数据包转发：在广播策略下，71%的数据包被转发至非预期接收方，显著增加了攻击面。
• 采用丢弃策略的SDN访问控制完全阻断了所有未经授权的流，包括来自在线网关的流量（该网关被禁止发送控制消息），从而有效减少了攻击面。
• 原型验证表明，通过SDN流控制实现的网络中心安全机制，可有效隔离关键控制流并防止未经授权的访问，即使在传统ECU或网关被攻陷的情况下亦成立。