Gateway sicuro per veicoli autonomi

Secondo una ricerca globale, la quota di mercato dei veicoli altamente automatizzati a guida autonoma è in rapida crescita. Gli analisti stimano che i prossimi 10-15 anni segneranno un importante passaggio dai progetti pilota all’adozione di massa del trasporto autonomo. Lo slancio sta prendendo piede in tutto il mondo: l’Europa ha già lanciato oltre 35 progetti pilota di veicoli autonomi, mentre Stati Uniti e Cina registrano rispettivamente più di 450.000 e 250.000 viaggi commerciali a settimana. Il rapporto rileva tuttavia diversi ostacoli che rallentano questo avanzamento. Uno di questi è l’incertezza relativa a responsabilità legali e regolamentazione, anche nelle aree della sicurezza e della protezione. L’allocazione delle responsabilità tra fornitori, produttori, clienti aziendali e utenti finali rimane un importante snodo da risolvere.

Ciascun attore del mercato vede la questione della sicurezza dei veicoli a guida autonoma a modo proprio. Le case automobilistiche si preoccupano per la responsabilità del comportamento dei veicoli su strada e del vaglio dei propri fornitori. I fornitori stessi sanno di dover progettare meccanismi di protezione direttamente nell’architettura della soluzione e garantirne l’adeguatezza, il tutto a monte della filiera. Le compagnie di assicurazione devono rivedere completamente i propri modelli di rischio per tenere conto non solo degli incidenti, ma anche di potenziali problemi tecnici del software e attacchi informatici. Tutti però sono d’accordo su un punto: la sicurezza deve essere una caratteristica fondamentale del veicolo, non un optional.

Garantire la sicurezza dei veicoli nell’era moderna

Per anni le discussioni sulla sicurezza automobilistica si sono concentrate esclusivamente sugli aspetti funzionali. In altre parole, l’obiettivo era garantire il corretto funzionamento dei sistemi del veicolo e l’attenuazione o la riduzione a un livello accettabile dei rischi associati ai possibili guasti. La norma ISO 26262 “Sicurezza funzionale dei veicoli stradali” aiuta ad affrontare questa sfida e funge da riferimento per l’industria automobilistica.

Tuttavia, il moderno veicolo connesso è un complesso sistema ciberfisico che archivia ed elabora enormi quantità di dati, comprese informazioni sensibili. E questo porta all’emergere di nuovi bisogni primari. Per tracciare un’analogia con due livelli della gerarchia dei bisogni di Maslow, un veicolo moderno deve:

• Soddisfare il bisogno di “apprezzamento”, nel senso che deve archiviare in modo sicuro e affidabile i dati del profilo utente, come credenziali dell’account, dati biometrici, dettagli di pagamento e altro ancora.
• Soddisfare le esigenze cognitive dell’utente, ovvero fornire connettività Internet protetta, trasmettere la telemetria del veicolo e inviare promemoria per la manutenzione programmata o di emergenza.

Tutto ciò significa dotare i veicoli di numerose interfacce (come telematica, Bluetooth, Wi-Fi, connettività cellulare, aggiornamenti OTA e V2X) esponendo il fianco ad attacchi remoti. Diventa pertanto necessario garantire non solo la sicurezza funzionale del veicolo, ma anche quella informatica. Di conseguenza, nella maggior parte dei Paesi sono emersi standard di settore per affrontare le sfide della sicurezza informatica nel settore automobilistico. Gli standard internazionali fondamentali sono ISO/SAE 21434 “Ingegneria della sicurezza informatica dei veicoli stradali”, UNECE R155 e UNECE R156.

Anche le normative cinesi si stanno evolvendo. Nel 2024 in Cina è stato pubblicato lo standard nazionale GB 44495-2024 “Requisiti tecnici di cybersicurezza per veicoli”, entrato in vigore il 1° gennaio 2026. Il documento introduce requisiti di sicurezza informatica obbligatori per veicoli, tra cui protezione delle comunicazioni, gestione degli eventi di sicurezza, monitoraggio delle minacce e interazione sicura del veicolo con infrastrutture esterne.

Comprendere e applicare questi standard sta diventando assolutamente critico. Una ricerca mostra che i rischi per la sicurezza informatica aumentano ogni giorno e il loro impatto sulla sicurezza funzionale può arrivare a innescare incidenti molto più pericolosi di un errore interno del sistema. Cosa succederebbe se un utente malintenzionato riuscisse ad accedere al sistema di controllo remoto di un autocarro a guida autonoma o a eseguire il flashing di un’unità di controllo elettronica critica durante una sessione diagnostica non autorizzata?

Uno dei componenti chiave per mitigare questi scenari è un gateway di protezione che isoli l’architettura del veicolo in diversi domini in base alle criticità, fornendo al contempo in sicurezza routing, filtro e controllo del traffico. Lo sviluppo di questo tipo di soluzione software è l’obiettivo del nostro team intento a realizzare Kaspersky Automotive Secure Gateway basato su KasperskyOS.

Perché Kaspersky Automotive Secure Gateway?

Lo scopo principale di Kaspersky Automotive Secure Gateway (KASG) è proteggere il dominio CAN del veicolo, poiché il bus CAN viene utilizzato per trasmettere un gran numero di comandi di controllo critici. Ha un impatto su quasi l’80% delle unità di controllo elettroniche all’interno dell’auto che si occupano della gestione del motore, dei freni, dell’elettronica nella carrozzeria e altro ancora. Per questo motivo utilizziamo l’approccio Safety-Aware Cybersecurity, un’architettura unificata che tiene conto sia della sicurezza funzionale che dei requisiti di sicurezza informatica.

Ad esempio, i meccanismi standard di End-to-End Protection (E2E) vengono in genere utilizzati per ridurre i rischi associati a messaggi CAN eliminati, fuori servizio o danneggiati. Tuttavia, questi meccanismi non sono nati per contrastare attacchi informatici mirati. Se un utente malintenzionato riesce a costruire un frame dannoso conforme al formato E2E richiesto, il sistema potrebbe accettarlo come valido.

Questo introduce un nuovo fattore: non solo è fondamentale verificare che un messaggio sia stato recapitato senza errori, ma è anche necessario garantire che sia stato effettivamente generato da un’unità di controllo elettronica (ECU) attendibile e non sia stato alterato durante il trasporto. Ciò è particolarmente vitale per la trasmissione dei comandi di controllo, come quelli inviati all’impianto frenante del veicolo, o per l’implementazione di sistemi di accesso senza chiave (NFC).

Per affrontare questa sfida, vengono integrati nell’architettura del veicolo meccanismi di Secure Onboard Communication (SecOC). Questi usano metodi di criptaggio per verificare l’autenticità e l’integrità dei messaggi, proteggendo il sistema dallo spoofing dei messaggi e da attacchi replay. KASG implementa con successo questi meccanismi che, oltre alla verifica dei messaggi, svolgono la funzione cruciale della gestione centralizzata delle chiavi. In questo modo si consente la distribuzione e l’aggiornamento delle chiavi di criptaggio da un unico punto all’interno del veicolo, riducendo sia i costi che il carico di elaborazione sulle ECU coinvolte nello scambio di dati supportato da SecOC.

IDS per l’automotive

Nei sistemi complessi non è però più sufficiente applicare i meccanismi di protezione solo ai singoli messaggi o ai segmenti di rete separati. È essenziale fornire monitoraggio e controllo a livello di veicolo, tracciando anomalie comportamentali, interazioni insolite tra domini e tentativi di manomissione non autorizzati. Nel dominio IT tutto questo va sotto il nome di Intrusion Detection System (IDS). Questi sistemi sono stati adottati con successo anche dall’industria automobilistica.

Allo stesso tempo, è importante rendersi conto che per un veicolo moderno, un IDS non è un singolo punto magico di raccolta e analisi dei dati; il veicolo richiede un sistema di monitoraggio distribuito. Il monitoraggio viene eseguito a vari livelli di architettura: all’interno dei domini, a livello di singolo controller e ai confini della rete.

Il gateway di protezione diventa un punto di monitoraggio critico in quanto attraversato da tutte le interazioni tra domini. Il gateway fornisce inoltre visibilità sullo scambio di dati tra diversi segmenti della rete del veicolo. Il suo compito è rilevare le deviazioni dal comportamento normale e generare eventi di protezione.

Quando si tratta del monitoraggio del dominio CAN implementato in KASG, l’IDS esamina i seguenti criteri per l’analisi del traffico:

• Allineamento dei parametri dei messaggi CAN (CAN ID, DLC) con le relative descrizioni nella specifica DBC.
• Frequenza e periodicità dei messaggi CAN.
• Intervalli consentiti per i segnali CAN.

Nella pratica, tuttavia, diventa chiara un’importante limitazione: anche con un IDS integrato, è necessario più contesto per determinare le caratteristiche esatte di un attacco. Inoltre, quando si utilizzano veicoli altamente automatizzati, tali per cui il monitoraggio dell’intera flotta diventa essenziale, questa analisi isolata diventa intrinsecamente insufficiente.

Connessione di un veicolo a un SIEM

Il monitoraggio di più oggetti, la correlazione dei dati e l’analisi dei dati possono essere gestiti esternamente in modo efficiente, in particolare nei sistemi SIEM (Security Information and Event Management), tradizionalmente utilizzati nei centri operativi di sicurezza informatica aziendali e industriali. Pertanto, l’utilizzo di un parco macchine di sistemi SIEM è un passaggio logico che consente di:

• Raccogliere eventi di sicurezza da più veicoli.
• Correlare gli eventi nel tempo e in tutti i contesti.
• Rilevare attacchi avanzati e distribuiti.
• Fornire auditing e investigazione degli incidenti.
• Reagire ai singoli incidenti e gestire i rischi informatici a livello di flotta.

Durante l’integrazione con sistemi SIEM esterni, è necessario svolgere diverse attività critiche: garantire una connessione protetta, ottimizzare il processo di trasmissione degli eventi di protezione e stabilire regole di base per l’elaborazione e la correlazione degli eventi. Stiamo affrontando attivamente tutte queste sfide utilizzando il nostro sistema SIEM Kaspersky Unified Monitoring and Analysis Platform come base progettuale.

Ci sono ancora molti problemi da risolvere che devono essere risolti. Questo articolo ha trattato solo una parte degli approcci attualmente utilizzati in KASG per garantire la sicurezza e la protezione dei veicoli. Eppure anche questa piccola parte dimostra che la sicurezza automobilistica non può essere raggiunta risolvendo un singolo problema o applicando un singolo meccanismo. Per ottenerla è necessario un approccio che consenta lo sviluppo metodico dell’architettura, bilanciando i diversi requisiti in termini di funzionalità, sicurezza e affidabilità del veicolo.