Vehículo conectado: riesgos de ciberseguridad en el ámbito de la movilidad

Author: https://jornadas.ccn-cert.cni.es/es/xixjornadas-programa-general/xix-jornadas-ccn-cert/ponente/jose-daniel-serrano

Conferencia técnica sobre ciberseguridad automotriz

Contexto general

La charla va de cómo analizar los riesgos de ciberseguridad en vehículos, centrándose específicamente en el sistema de frenado. El enfoque es práctico: partir de un componente crítico (los frenos), identificar el peor escenario posible (que fallen en movimiento) y trazar todos los caminos de ataque posibles usando árboles de ataque. Lo interesante es que combinan análisis teórico con pruebas empíricas en laboratorio para ver qué ataques son realmente viables.

Conceptos clave

• Metodología sistemática de análisis de riesgos: identificar componentes críticos, peor escenario, amenazas, vulnerabilidades y contramedidas
• Árboles de ataque: representación gráfica de los distintos caminos que un atacante podría seguir para lograr un objetivo
  • Conexiones tipo OR: se puede elegir un camino u otro
  • Conexiones tipo AND: hay que pasar por todos los puntos para conseguir el objetivo superior
• Inhabilitación física vs lógica: pueden cortar cables físicamente, pero la charla se centra en ataques lógicos
• Acceso al bus CAN: punto crítico para realizar ataques lógicos, necesario para comunicarse con las ECUs del vehículo
• Protocolo UDS (Unified Diagnostic Services): protocolo de diagnóstico que usan las máquinas de taller para escanear y probar actuadores
  • Permite ejecutar rutinas de test de componentes críticos
  • En este caso, probar las electroválvulas del sistema ABS
• Cálculo de viabilidad: se pondera la probabilidad de éxito de cada amenaza según varios parámetros

Desarrollo técnico

El caso práctico que presentan es bastante completo. Para inhabilitar los frenos de forma lógica necesitas dos cosas: acceder al bus CAN y ejecutar un ataque mediante el protocolo de diagnóstico.

Desde el interior del vehículo, el camino sería desbloquear las puertas (probaron un ataque de rolling code jamming que consiste en inhibir la frecuencia de la llave, capturar las peticiones del usuario al intentar abrir y replay de códigos guardados), conectarse al puerto OBD de diagnóstico y bypassar el gateway que separa el puerto OBD de las ECUs críticas. El ataque de rolling code resultó ser poco probable porque depende de muchos factores externos: posición del usuario, distancia al coche, posición de las antenas, etc.

Desde el exterior, la opción es forzar el capó (demostraron que es bastante sencillo) y conectarse directamente al bus CAN. El bus CAN no tiene ninguna autenticación nativa que impida conectar nuevos dispositivos, así que una vez tienes acceso físico a los cables es trivial.

Una vez dentro, abusan del protocolo UDS para ejecutar rutinas de test de los actuadores del ABS. Estas rutinas están diseñadas para probar que las electroválvulas funcionan, pero si las activas en movimiento, básicamente desactivas la capacidad de frenado. Y lo demostraron: en el vídeo se ve que el coche no puede frenar hasta que echan el freno de mano.

Herramientas y técnicas mencionadas

• Ataque de rolling code (relay attack/jamming): inhibir señal de llave del coche, capturar códigos válidos y reproducirlos después
• Puerto OBD (On-Board Diagnostics): puerto de diagnóstico estándar en vehículos, punto de entrada común
• Bus CAN: sistema de comunicaciones interno del vehículo entre ECUs
• Gateway: componente que filtra/controla comunicaciones entre el puerto OBD y las ECUs críticas
• Protocolo UDS: protocolo de diagnóstico usado en talleres para escanear errores y ejecutar rutinas de test
• Rutinas de test de actuadores: funciones del UDS que permiten probar componentes como las electroválvulas del ABS

Términos técnicos importantes

• ECU (Electronic Control Unit): unidades de control electrónico, básicamente los "ordenadores" del coche que gestionan diferentes sistemas
• ABS (Anti-lock Braking System): sistema antibloqueo de frenos, usa electroválvulas para evitar que las ruedas se bloqueen
• Gateway: dispositivo que actúa como firewall interno entre diferentes buses o redes del vehículo
• Electroválvulas: válvulas controladas eléctricamente que en el ABS regulan la presión de frenado

Recomendaciones propuestas

Las mitigaciones que dan cubren varios niveles:

• Diseño físico: fortalecer el cierre del capó para dificultar acceso al bus CAN
• Lógica de control: que funciones críticas (como las rutinas de test de frenos) no funcionen cuando el vehículo está en movimiento
• Arquitectura de red: implementar gateway robusto entre puerto OBD y ECUs críticas
• Autenticación: usar los mecanismos de acceso seguro que ya define el estándar UDS pero que no se estaban aplicando

Conclusión

Lo más importante que saco de esto es que el análisis de riesgos en sistemas críticos no puede quedarse solo en papel. Las pruebas empíricas son fundamentales para entender la viabilidad real de las amenazas, porque lo que parece un ataque complejo en teoría puede ser trivial en la práctica (forzar un capó) o viceversa (el rolling code que parece fácil pero tiene muchas variables).

También me queda claro que los vehículos modernos están llenos de funcionalidades legítimas (diagnóstico, test de componentes) que pueden ser abusadas si no hay autenticación o controles contextuales. Es el concepto de "abuso de funcionalidad legítima".

La metodología de árboles de ataque es bastante útil para visualizar y priorizar riesgos, sobre todo en sistemas complejos con múltiples puntos de entrada.

Más

• Profundizar en el estándar ISO 21434 de ciberseguridad automotriz
• Investigar más sobre seguridad del bus CAN y alternativas como CAN-FD con autenticación
• Ver qué herramientas open source existen para auditar buses CAN (tipo CANtact, CANalyze)
• El tema de las sondas que están desarrollando para detectar/prevenir estos ataques suena interesante pero no dieron detalles