[论文解读] TACAN: Transmitter Authentication through Covert Channels in Controller Area Networks

Xuhang Ying, Giuseppe Bernieri+2 more|arXiv (Cornell University)|Mar 12, 2019

Vehicular Ad Hoc Networks (VANETs)参考文献 23被引用 8

一句话总结

TACAN 提出了一种基于隐蔽信道的 CAN 总线发送方认证方案，可在不修改协议或引入额外通信开销的情况下实现安全的 ECU 认证。通过将认证消息嵌入 CAN 消息的帧间间隔、时钟偏移以及最低有效位中，TACAN 在 IAT 和 LSB 信道中分别实现了 0.1–0.42% 和 3.1×10⁻⁷% 的误码率，同时保持 ECU 功能正常，并能检测伪装攻击和拒绝服务攻击。

ABSTRACT

Nowadays, the interconnection of automotive systems with modern digital devices offers advanced user experiences to drivers. Electronic Control Units (ECUs) carry out a multitude of operations using the insecure Controller Area Network (CAN) bus in automotive Cyber-Physical Systems (CPSs). Therefore, dangerous attacks, such as disabling brakes, are possible and the safety of passengers is at risk. In this paper, we present TACAN (Transmitter Authentication in CAN), which provides secure authentication of ECUs by exploiting the covert channels without introducing CAN protocol modifications or traffic overheads (i.e., no extra bits or messages are used). TACAN turns upside-down the originally malicious concept of covert channels and exploits it to build an effective defensive technique that facilitates transmitter authentication via a trusted Monitor Node. TACAN consists of three different covert channels for ECU authentication: 1) Inter-Arrival Time (IAT)-based, leveraging the IATs of CAN messages; 2) offset-based, exploiting the clock offsets of CAN messages; 3) Least Significant Bit (LSB)-based, concealing authentication messages into the LSBs of normal CAN data. We implement the covert channels on the University of Washington (UW) EcoCAR testbed and evaluate their performance through extensive experiments. We demonstrate the feasibility of TACAN, highlighting no traffic overheads and attesting the regular functionality of ECUs. In particular, the bit error ratios are within 0.1% and 0.42% for the IAT-based and offset-based covert channels, respectively. Furthermore, the bit error ratio of the LSB-based covert channel is equal to that of a normal CAN bus, which is 3.1x10^-7%.

研究动机与目标

• 为解决 CAN 总线中的关键安全漏洞，即被攻破的 ECU 可通过伪装攻击冒充合法 ECU。
• 开发一种无需协议修改且不引入额外通信开销的安全认证机制。
• 使可信的监控节点能够通过嵌入在正常 CAN 消息时间间隔和数据中的隐蔽信道验证 ECU 的真实性。
• 通过最小化计算和通信开销，确保与资源受限 ECU 的兼容性。
• 利用车辆测试平台和真实数据集，在真实条件下评估基于隐蔽信道的认证方案的可行性与鲁棒性。

提出的方法

• TACAN 使用三种隐蔽信道：基于 IAT（调制 CAN 消息的帧间间隔）、基于时钟偏移（利用 ECU 与监控节点之间时钟漂移差异）以及基于 LSB（将消息嵌入数据负载的最低有效位）。
• 每个 ECU 与监控节点共享一个主密钥，用于通过隐蔽信道生成会话密钥以认证发送的消息。
• 基于 IAT 的信道通过在消息传输时间间隔中引入受控偏差来调制 CAN 消息的发送时间，同时保持参考水平以避免被检测。
• 基于时钟偏移的信道利用 ECU 与监控节点之间时钟漂移差异，使用滑动窗口估计并验证时钟偏移以实现认证。
• 基于 LSB 的信道将认证数据嵌入传感器数据字段的最低有效位中，L=1 或 2，以最小化精度损失。
• 认证消息持续传输，由监控节点验证；若接收到无效或缺失的消息，监控节点将触发警报。

实验结果

研究问题

• RQ1 隐蔽信道能否被有效重新用于防御性用途，以实现 CAN 总线认证，而无需修改协议？
• RQ2 能否在不增加通信开销且不修改协议的前提下，实现 CAN 汽车系统中的发送方认证？
• RQ3 在真实车辆条件下，不同隐蔽信道技术（IAT、时钟偏移、LSB）在误码率、吞吐量和精度损失方面的表现如何？
• RQ4 所提出的方案能否在保持 ECU 功能和传感器精度的同时检测伪装攻击和拒绝服务攻击？
• RQ5 在 CAN 消息中嵌入认证消息时，吞吐量、误码率与传感器数据精度之间的权衡关系如何？

主要发现

• 基于 IAT 的隐蔽信道在真实车辆条件下实现了 0.1% 的误码率，表明其在基于时间的认证中具有高度可靠性。
• 基于时钟偏移的隐蔽信道实现了 0.42% 的误码率，尽管存在时钟漂移和环境噪声，仍表现出可接受的性能。
• 基于 LSB 的隐蔽信道实现了 3.1×10⁻⁷% 的误码率，与正常 CAN 总线的误差率相当，表明对数据完整性的干扰极小。
• 对于传感器数据，LSB 嵌入引入的最大误差为：轮速方向 0.01 km/h（L=1）和 0.03 km/h（L=2）；发动机冷却液温度方向 1°C（L=1）和 3°C（L=2），均被视为可忽略或适中。
• 系统保持了完整的 ECU 功能，未干扰正常的 CAN 总线操作，证实其在真实汽车环境中的可行性。
• TACAN 通过在监控节点验证嵌入的认证消息的存在性和有效性，成功检测了伪装攻击和拒绝服务攻击。