Parasoft® Deutschland GmbH

Bei ihren neuen Modellen setzen Automobilhersteller modernste Hardware ein mit Funktionen zur Fahrerassistenz, wie z.B. automatisches Lenken, Bremsen, adaptive Geschwindigkeitsregelung, automatisches Einparken, Kollisionsvermeidung, Unterstützung beim Spurwechsel und vieles mehr. Einige dieser modernen Fahrassistenzsysteme (Advanced Driving Assistance Systems, ADAS) wie Tesla Autopilot AI, Volkswagen ID.3 und andere wie Super Cruise von GM, sind serienmäßig im Fahrzeug integriert. Andere werden als externe Geräte angeboten, wie comma.ai, die man direkt an den On-Board-Diagnose-II-Anschluss (OBD-II) des Fahrzeugs anschließen kann, um auf den Fahrzeugcomputer zuzugreifen und autonomes Fahren der Stufe 2 (Lenkung und Beschleunigung) zu erleben.

ADAS stützt sich auf mehrere Echtzeit-Datenquellen, die von der äußeren Umgebung des Fahrzeugs gesammelt werden, um die Funktionen sicher und zuverlässig auszuführen. Dazu zählen u.a. visuelle Daten von Kameras, Bildgebung von LiDAR, Radar zur Abstandsmessung, Telemetriedaten wie Geschwindigkeit, Standort und Ortung sowie Fahrzeug-zu-Fahrzeug-Kommunikation. Zusammenarbeit und Kommunikation müssen auch zwischen Telematik, Gateways, Infotainmentsystemen und anderen Steuergeräten zur Unterstützung von ADAS stattfinden und über ein Controller Area Network (CAN-Bus) erfolgen. Zum Einsatz kommen dabei verschiedene Technologien wie Bluetooth, Hochgeschwindigkeits-Breitband- oder Mobilfunknetze wie LTE und 5G, über die man die Autotüren ver-/entriegeln, den Motor starten und den Status des Fahrzeugs oder den Ort, an dem man es geparkt hat, abrufen kann - all das problemlos über eine Telefon-App mit PIN. Eine geheime vierstellige PIN ist zwar angenehm und bequem, reicht aber nicht aus, um die Cybersicherheit des Fahrzeugs zu gewährleisten.  

ECE WP.29 Fahrzeug-Cybersicherheit

Nach langer Vorbereitung hat die Wirtschaftskommission der Vereinten Nationen für Europa (UNECE) am 23. Juni 2020 regulatorische Anforderungen veröffentlicht, die die Automobilhersteller in ihre Unternehmen und Fahrzeuge einbauen müssen. Dies betrifft nicht nur die Erstausrüster (OEMs), sondern auch die Soft- und Hardwarekomponenten von Tier 1 und Tier 2 sowie mobile Dienste. Die neue Regelung UNECE WP.29 Cybersecurity and Cybersecurity Management Systems (CSMS) gilt für 54 Länder. Danach sind  Fahrzeughersteller verpflichtet, einen risikobasierten Managementrahmen für das Aufspüren, die Analyse und den Schutz vor relevanten Bedrohungen, Schwachstellen und Cyberangriffen in ihre Unternehmensstruktur einzubauen. Dies lässt sich zweifellos in ein bestehendes Qualitätsmanagementsystem (QMS) und Prozesse integrieren, wie es die ISO-Norm 26262-2 zur Gewährleistung von Qualität und Sicherheit verlangt.

Zusätzlich gibt es ECE WP.29-Anforderungen für den Fahrzeugtyp (Kategorie M und N, einschließlich der Kategorien L6 und L7 bei Ausstattung mit Funktionen für automatisiertes Fahren ab Stufe 3), zu denen das Prüfen der Implementierung der Cybersicherheitskontrollen und das erfolgreiche Absolvieren der Prüfung gehören. Erfüllt der Hersteller die organisatorischen und fahrzeugbezogenen ECE WP.29-Schlüsselanforderungen korrekt, erhält er von einer Genehmigungsbehörde eine Konformitätsbescheinigung. Neufahrzeuge ohne diese Bescheinigung dürfen in der EU ab Juni 2022 nicht mehr verkauft werden.

In WP.29 Abschnitt 7.3.3 wird auch erwähnt, dass der Fahrzeughersteller eine umfassende „Risikobewertung" durchführen muss, allerdings ohne Aussage dazu, wie diese durchzuführen ist. Allerdings wird in Abschnitt 5.3.1(a) auf verschiedene Normen zur Risikobewertung verwiesen; eine davon ist die Automobil-Cybersicherheitsnorm ISO/SAE 21434 – Road Vehicles  - Cybersecurity Engineering.

ISO/SAE 21434 Straßenfahrzeuge-Cybersecurity Engineering

Eine gemeinsame Arbeitsgruppe der ISO- und SAE-Organisationen hat im Mai 2020 einen Entwurf der ISO/SAE 21434 für Fahrzeughersteller und Zulieferer veröffentlicht, der im August 2021 freigegeben wurde. Die Norm soll sicherstellen, dass:

- Cybersecurity-Risiken erfolgreich gehandhabt werden.

- Cybersecurity-Richtlinien und -Prozesse definiert werden.

- Eine Cybersecurity-Kultur gefördert wird.

Die Norm ist in verschiedene Kapitel untergliedert. Eine davon betrifft die „Risikobewertungsmethoden", bei denen Bedrohungs- und Schadensszenarien berücksichtigt werden müssen. Dazu zählt beispielsweise ein Angriffsweg, bei dem CAN-Botschaften an das Steuergerät des Antriebsstrangs gefälscht werden, was zum Verlust der Kontrolle und zu möglichen Schäden führen kann. Da Angriffe über verschiedene Medien wie Bluetooth, LTE, USB oder physischen Zugang (ISO/SAE 21434) erfolgen können, wurden die Bedrohungen nach der Durchführbarkeit der Angriffe kategorisiert in:

- hoch

- mittel

- niedrig

- sehr niedrig

Ein „Defense-in-Depth"-Ansatz (bei dem mehrere Schichten von Cybersicherheitsmaßnahmen zum Einsatz kommen für den Fall, dass der Angriff eine Schicht durchdringen kann) muss dokumentiert und durchgeführt werden. Für die Auswirkungen auf die Sicherheit gilt die Norm ISO 26262 für Straßenfahrzeuge - Funktionale Sicherheit.

Cybersecurity Risikobewertung

Weil Bedrohungspfade auch mit Schäden zusammen fallen, wurden folgende Schadensauswirkungsgrade definiert:

- Severe / Gravierend

- Major / Schwerwiegend

- Moderate / Mäßig

- Negligible / Vernachlässigbar

Basierend auf den Angriffs- und Schadensszenarien lässt sich eine Sicherheitsstufe für die Cybersicherheit (CAL/ cybersecurity assurance level) definieren. Die Stufe CAL 4 verlangt das höchste Maß an Sorgfalt bei Entwurf, Tests und Überprüfen der Cybersicherheit, während für CAL 1 ein niedriges Maß an Strenge ausreicht.

Cybersicherheit über den gesamten SDLC

Entwickler von Embedded Systemen wissen, dass die ISO/SAE 21434 den gesamten Lebenszyklus der Softwareentwicklung (SDLC) umfasst - von den Anforderungen über den Entwurf, die Implementierung und Integration bis hin zu Verifizierung und Validierung (V&V).

Daher sollte man sicherstellen, dass ein solides Application Lifecycle Management (ALM) oder Requirements Management (RM) Tool zum Einsatz kommt. Zusätzlich zu den Anforderungen der jeweiligen Interessensgruppen und allen anderen Sicherheitsvorschriften müssen auch die Anforderungen der ECE WP.29 an die Cybersicherheit erfüllt werden. Hilfreich ist hier der Einsatz einer Rückverfolgbarkeitsmatrix, um sicherzustellen, dass man keine Cybersicherheitsanforderungen übersieht.

Die ISO/SAE 21434 empfiehlt für V&V Testmethoden wie die statische Codeanalyse, Kontroll- und Datenflussüberprüfung, Grenzwertanalyse, strukturelle Codeabdeckung und mehr. Ein idealer Ausgangspunkt für die Umsetzung der Cybersicherheitsanforderungen ist der Einsatz von Programmierstandards wie SEI CERT, CWE, OWASP und MISRA C:2012. Diese und andere Standards können Sicherheitsschwachstellen bereits beim Schreiben des Codes und/oder als Teil der kontinuierlichen Integrationspipeline (CI) aufdecken.

Es macht Sinn, die von der Norm empfohlene Codeabdeckung zu nutzen, um zu erfahren, welche Teile der Software noch nicht getestet wurden. Empfehlenswert ist auch die Berücksichtigung des evolutionären Wandels, der sich in der Automobilindustrie vollzieht, und wie er sich auf die Norm ISO/SAE 21434 und auch auf die eingesetzten Entwicklungswerkzeuge auswirken wird. Man sollte sich vergewissern, dass man diese Entwicklung problemlos mitmachen kann, beispielsweise mit einem vom TÜV für den Einsatz in sicherheitskritischen Systemen zertifizierten Tool. So ist man bereits gerüstet, wenn es soweit ist, dass das Tool auch für den Einsatz bei cybersicherheitskritischen Systemen zertifiziert werden muss.

Autor: Ricardo Camacho, technischer Autor, Parasoft