[论文解读] Viden: Attacker Identification on In-Vehicle Networks

Kyong-Tak Cho, Kang G. Shin|arXiv (Cornell University)|Aug 28, 2017

Vehicular Ad Hoc Networks (VANETs)参考文献 17被引用 24

一句话总结

Viden 是一种基于电压的新型方案，通过测量和分析车载 CAN 网络中 CAN-High 和 CAN-Low 线路上的电压信号，实现对攻击者电子控制单元（ECU）的识别。通过采用递归最小二乘法（Recursive Least Squares）的自适应在线学习机制，Viden 构建并持续更新每个 ECU 的独特电压特征（指纹），在 CAN 原型和两辆实车上的真实环境评估中，实现了 0.2% 的极低误识别率。

ABSTRACT

Various defense schemes --- which determine the presence of an attack on the in-vehicle network --- have recently been proposed. However, they fail to identify which Electronic Control Unit (ECU) actually mounted the attack. Clearly, pinpointing the attacker ECU is essential for fast/efficient forensic, isolation, security patch, etc. To meet this need, we propose a novel scheme, called Viden (Voltage-based attacker identification), which can identify the attacker ECU by measuring and utilizing voltages on the in-vehicle network. The first phase of Viden, called ACK learning, determines whether or not the measured voltage signals really originate from the genuine message transmitter. Viden then exploits the voltage measurements to construct and update the transmitter ECUs' voltage profiles as their fingerprints. It finally uses the voltage profiles to identify the attacker ECU. Since Viden adapts its profiles to changes inside/outside of the vehicle, it can pinpoint the attacker ECU under various conditions. Moreover, its efficiency and design-compliance with modern in-vehicle network implementations make Viden practical and easily deployable. Our extensive experimental evaluations on both a CAN bus prototype and two real vehicles have shown that Viden can accurately fingerprint ECUs based solely on voltage measurements and thus identify the attacker ECU with a low false identification rate of 0.2%.

研究动机与目标

• 解决现有入侵检测系统无法识别在车载网络中发起攻击的具体 ECU 的关键空白问题。
• 通过精确定位攻击者 ECU，实现快速、准确的取证分析、隔离与补丁修复。
• 克服静态、批处理学习指纹方法在环境或对抗性变化下失效的局限性。
• 开发一种与现代基于 CAN 的车载架构兼容的实用、可部署解决方案。

提出的方法

• Viden 监测 CAN-High（CANH）和 CAN-Low（CANL）线路的电压信号，以捕获 ECU 的传输行为。
• 采用 ACK 学习阶段，过滤掉仅用于确认消息的 ECU 所产生的电压测量值，而非主动发送者。
• 从真实发送者的信号中提取电压实例，并作为自适应特征构建的输入。
• 通过递归最小二乘法（Recursive Least Squares, RLS）算法，动态实时更新电压特征，以适应环境和对抗性变化。
• 生成的电压特征作为每个 ECU 的唯一指纹，用于实时攻击者识别。
• 系统设计为低开销，并与现有车载网络硬件和协议兼容。

实验结果

研究问题

• RQ1 能否利用 CAN 总线上的电压测量可靠地区分不同 ECU，以实现攻击者识别？
• RQ2 如何实现电压特征的自适应构建与更新，以在环境或对抗性条件变化下保持准确性？
• RQ3 在真实车辆环境中，基于电压的攻击者识别方案的误识别率是多少？
• RQ4 当多个 ECU 共享同一消息 ID，或 ECU 被增减时，系统性能如何？
• RQ5 即使攻击者具备时序或电压感知能力，系统是否仍能检测并识别出攻击者？

主要发现

• 在 CAN 总线原型上的评估中，Viden 实现了 0.2% 的误识别率，证明了其在攻击者 ECU 识别方面的高准确性。
• 在包含 11 个 ECU 的第二轮评估中，Viden 保持了 0.3% 的低误识别率，表明其在系统复杂度增加时仍具鲁棒性。
• Viden 构建的电压特征对每个 ECU 均具有唯一性，验证了基于电压的指纹技术的可行性。
• 基于 RLS 的自适应特征更新机制使 Viden 在环境波动和对抗性规避尝试下仍能维持识别准确性。
• 当 ECU 数量增加时，Viden 性能保持稳定，表明其在典型车载 CAN 总线配置下具备可扩展性。
• 当攻击源自其他车载网络（如 FlexRay 或 LIN）时，系统能有效识别网关 ECU 为攻击者。