CAN-Bus-Firewall für das internetfähige Autoradio. Sinn oder Unsinn oder evtl. sogar irgendwann gesetzlich geregelt?

Hallo zusammen,
mal sehen was ihr alle davon haltet. Ich denke in einem KFZ-Forum wären die hiermit verbundenen Fragen weniger gut zu beantworten.

Aus https://www.nextpit.de/de/android/forum/thread/474831/Android-Smartphone-selber-bauen?si=20 dem Beitrag von Andy vom 21.07.2013.




Nun, zu der Zeit als das geschrieben wurde hatte ich mir noch nicht so viele Gedanken zu dem Thema gemacht. Es ist in IT-interessierten Kreisen eher eine Art Reflex bei Geräten die am Internet hängen über den Sinn des Internetzugangs und über die Absicherung des Zugangs nachzudenken. Das habe ich natürlich auch erst mal, aber die Gedanken nicht weiter vertieft.
Damals hatte ich mir auch vorstellen können den Tempomat teilweise über das Autoradio laufen zu lassen. Von diesem Gedanken bin ich jetzt weg. Das wäre mir persönlich jetzt schon zu viel.

Zu der Begriffsbestimmung und den Grundlagen.
Autoradio im Sinn dieses Beitrags ist natürlich nur ein zumindest teil/zeit-weise mit dem Internet verbundenes Autoradio welches mehr oder weniger Programmierbar ist und daher auch von Viren und/oder Trojanern befallen werden kann.

CAN-Bus ist der in vielen KFZ genutzte Bus mit dem unterschiedliche Komponenten miteinander Kommunizieren können. Auf den ersten Blick könnte alles, was im Auto mit der Elektronik gesteuert wird über den CAN-Bus beeinflusst werden. Ob jetzt Tempomat oder über die Einparkhilfe die Lenkung, oder die Klimaanlage oder die Fensterheber oder das Cabriolet-Verdeck oder... Erst eine genaue Analyse kann dies bestätigen, ein widerlegen fällt noch viel schwerer. Und das noch schwerer geht leicht in richtig unmöglich. Es ist einfach nahezu unmöglich Sicherheit zu beweisen wenn man nicht alle Informationen hat. Und diese Informationen werden von den KFZ-Herstellern (mehr oder weniger) zu recht mehr oder weniger geheim gehalten. Zum einen zum Schutz eigenen geistigen Eigentums und zum anderen auch um solche Angriffe zu erschweren.
Oftmals gibt es folgende CAN-Bus-Bereiche: Diagnose-CAN langsam, Komfort-CAN mittel und Engine schnell. Nirgends habe ich gelesen das die Gateways/Interfaces (oder wie immer du es nennen willst) zw. den Bereichen dazu da sind Hacker fern zu halten. Der CAN-Bus ist alt, wurde von KFZ und nicht von IT/Internet Experten entwickelt. Ok, Elektroniker waren dabei, aber keine IT/Netzwerk/(Anti)Virenexperten.

CAN-Bus-Firewall: Für mich ist eine echte Firewall nur wenn dies eine Hardware ist die ausdrücklich der Absicherung eines Rechners oder Netzwerkes dient. Also die „normale“ Windows Firewall bei dem „normalen privaten Anwender“ ist für mich keine echte Firewall, weil auf dem Rechner ja üblicherweise auch gearbeitet und/oder gespielt wird, so dass es viele Möglichkeiten gibt wie dieser Rechner und damit auch diese Firewall kompromittiert werden kann.
Eine CAN-Bus-Firewall ist also ein zusätzlicher Rechner der Signale filtern kann.
z.B. alle Signale vom CAN zum Radio weiterleiten und keine vom Autoradio in das CAN.
Evtl. auch eine Liste der Signale die als Ausnahme doch vom Autoradio an das CAN gesendet werden dürfen. Diese Liste kann evtl. auch auf einer SD liegen welche auf PC/Laptop editiert werden kann. Der Rechner kann entweder auf der Hauptplatine (oder bei SoC auf dem Chip) zw. dem Input/Output Bereich des Autoradiohauptrechners und CAN-Bus liegen oder auf einer Tochterplatine im Autoradio oder fest im KFZ eingebaut oder … oder aber zw. CAN-Bus des KFZ und CAN-Bus des Autoradios. Bei letzterer Lösung kann die Firewall für alle Autoradios und KFZ genutzt werden. Die Signale kommen dann nur etwas später beim jeweils anderen Bus an.

Den Ausschlag für meinen Meinungswechsel zu „Tempomat erlauben oder nicht“ hat ein Artikel bei Spiegel-Online gegeben.
Computerexperten-hacken-auto-software...
Bzw. ein Auszug aus der Veröffentlichung auf der dieser Beitrag beruht.
Erst mal, ja die Veröffentlichung passt nicht komplett. „Die“ konnten sich die Systeme genau ansehen. Wer „einfach so mal ein am Internet hängendes Gerät hackt“, der weiß vermutlich nicht mal ob es ein Mixer oder ein Auto(radio) ist. „Die“ konnten ihre Geräte überall anschließen wo sie wollten, das Autoradio kommt üblicherweise nur an den CAN-Komfort-Bus.
Trotzdem, ohne alle Informationen ist es schwierig alles wirklich abzuschätzen geschweige denn zu widerlegen. Also besser auf Nummer sicher gehen.
Auch die unterschiedlichen Busabschnitte sind nicht unbedingt ein Schutz. Es kann ja sein, dass es Befehle gibt mit denen die Schnittstellen zw. den unterschiedlichen Bereichen für bestimmte Signale freigeschaltet werden. Oder einige Signale werden grundsätzlich durchgelassen. Und auch wenn dem nicht so ist, es ist unangenehm genug wenn der Virus einfach mal so programmiert wird, dass die Komfortfunktionen Verdeck und Fenster schließen ab einem bestimmten Datum desaktiviert werden. Und wenn es „nur“ bei Regen (Scheibenwischer an) ist. Die in der Veröffentlichung befürwortete und gelobte Verschlüsselung des CAN-Busses ist meines Erachtens keine Lösung. Diese macht den Bus (meines Erachtens unnötigerweise) komplexer und funktioniert nur bei KFZ welche mit Verschlüsselung gebaut werden/wurden. Das ist also keine nachrüstbare Lösung. Hingegen kann eine CAN-Bus-Firewall ab Werk in ein KFZ oder in ein Autoradio oder einfach nachträglich dazwischen eingebaut werden. Ist also eine wesentlich flexiblere Lösung. Und der Aufwand ist auch nicht so groß, wenn ich das richtig sehe war die Basis für die Versuche in der oben erwähnten Veröffentlichung ein Andurio mit 2 CAN-Bus Anschlüssen. Kosten angeblich nur 20€. Das wäre dann die Hardware und die Software muss nur die Daten gefiltert von einem zum anderen CAN kopieren. Die Hardware kann auch zu einem Chip oder gar einen kleinen Funktionsblock im Chip und einem optionalen SD-Kartenhalter reduziert werden. Das Fileformat für die Settings auf der SD-Karte kann z.B. ein ASCII-File mit Hexadezimalen Signalcodes sein. Das wäre ein einfach auf jedem PC-System (abgesehen von unterschiedlichen Zeilenvorschüben) einfach mit einem Texteditor zu editierendes Format. Andere Formate sind natürlich auch vorstellbar. Um noch mal auf die Verschlüsselung der Bussignale zurück zu kommen. Natürlich kann man verschlüsseln und/oder Checksumme(n) einsetzen. Aber das hilft auch nicht „wenn Angreifer physischen Zugriff auf die Elektronik haben“. Dann kann der Angreifer ja auch einfach die verschlüsselten Chips gegen etwas unverschlüsseltes austauschen. Oder Schlüssel und Checksumme analysieren oder... Es ist einfach ABSOLUT UNMÖGLICH ein (laufendes) System bei dem der Angreifer physischen Zugriff hat(te) abzusichern. Und ganz ehrlich, anzunehmen dass ein Angreifer mit physischen Zugriff etwas böses vorhat ist doch (zumindest in den allermeisten Fällen) eher unter Paranoia anzusiedeln.
Hingegen jemand der einfach mal im Internet nach offenen Ports sucht und einfach mal probiert was er machen kann und.... Daher in meinen Augen kommt die Gefahr viel eher ungezielt aus dem Internet aus durch Angreifer mit physischen Zugriff. Unangenehm wäre dann auch wenn jemand einen Anti-(Multi-)Marken Trojaner bastelt. Also z.B. einen Trojaner der in KFZ der Marke(n) … zu einem bestimmten Zeitpunkt irgendetwas unangenehmes macht. Natürlich nur dann nicht wenn der KFZ-Hersteller ein Lösegeld bezahlt. Das wäre das selbe Prinzip wie bei den Spinnern die Lebensmittel der Marke … vergiften und nur aufhören wenn …. Nur eben nicht bei Lebensmitteln, sondern, viel wichtiger, bei des Deutschen liebsten Kind, dem KFZ.

Ich selbst will (jetzt/derzeit) eine CAN-Bus-Firewall wenn ich ein Internetfähiges Autoradio nutze. Und lieber zu harte als zu weiche Filterregeln.
Ohne Firewall würde ich lieber auf wirklich wichtige CAN-Bus Vorteile wie z.B. eCall bei Airbagauslösung verzichten.

So lange es keine gesetzlichen Vorgaben, wie z.B. erlöschen der Betriebserlaubnis, gibt bleibt so etwas natürlich jedem selbst überlassen. Aber so lange sollte jeder gut darüber nachdenken ob er seinen CAN-Bus absichern will oder nicht.

eCall soll ab 2015(?) gesetzlich (wohl nur für Neuwagen) vorgeschrieben sein. Also spätestens hier wird der Gesetzgeber eingreifen wenn das Autoradio nicht mehr nach einem Unfall mal schnell telefonieren kann. Das wird hoffentlich auch die Autoradiohersteller dazu bewegen in Richtung Autoradio mit integrierten Telefon etwas zu unternehmen. Viele KFZ-Hersteller bauen schon (zumindest in gut ausgestatteten KFZ) Autoradios mit integrierten Telefon ein. Aber die im Handel erhältlichen Autoradios haben so etwas üblicherweise nicht. Wenn also ein eCall taugliches Autoradio durch nicht eCall taugliches (wie quasi 100% der derzeit im Handel frei verfügbaren) ersetzt wird, erlischt dann (demnächst) die Betriebserlaubnis des KFZ?

Ich würde auch im Bereich CAN-Bus-Firewall eine gesetzliche Regel begrüßen.
Ich befürchte allerdings, dass das Thema CAN-Bus-Firewall noch nicht so schnell zu einem Thema wird. Obwohl, meines Erachtens, beim heutigen Stand der Technik, schon ein Grund gegeben wäre einem kompletten KFZ die Betriebserlaubnis durch den Einbau eines Internetfähigen Autoradios zu entziehen, sofern nicht der Autoradio (und/oder der KFZ-Hersteller?) belegt, dass von dem/einem Autoradio keine Gefahr für den CAN-Bus eines/des KFZ ausgeht. Eine gute und nachrüstbare Option sehe ich wie oben beschrieben in einem kleinen Zusatzgerät welches zw. CAN-Bus und Autoradio geschaltet wird. Je nach Stückzahl wäre sogar ein Endkundenpreis von unter 5€ vorstellbar/realisierbar. Wenn auch nicht zu erwarten. Die Mehrkosten für eine solche Firewall im KFZ-CAN oder in einem Autoradio auf der Hauptplatine (oder sogar im SoC) sollten kaum Einfluss auf die Kosten des KFZ oder des Autoradios haben.

Zu meinem KFZ (Baujahr 2001):
Marke und Typ meines KFZ will ich jetzt mal nicht veröffentlichen weil ich mir nicht 100% sicher bin und ich keine konkret falschen Informationen verteilen will.
Vor mehr als 10 Jahren gebaut, also zu einer Zeit als vermutlich noch recht wenige daran dachten ein Autoradio mit Internetzugang an den CAN-Komfortbus anzuschließen.
Ich bin mir leider nur zu 90% sicher, aber ich denke das Autoradio kann zumindest indirekt über die Komfortfunktion Tempomat „Gas geben“. Eine Funktion, welche ich nach heutigen Wissensstand doch eher blocken würde. Fakt ist in jedem Fall, dass im Ursprungszustand der Bordcomputer (oder nur der Bedienteil) an diesem CAN hing und seitdem der weg ist der Tempomat nicht mehr geht. Was mir aber auch nicht wichtig war/ist. Ich habe jetzt auch mal kurz im Internet geprüft was ich so zum Thema CAN-Bus, Autoradio, Bordcomputer und Tempomat zu Marke und Typ meines KFZ finden kann. Es gab in der Bauzeit und eindeutig nachdem mein KFZ gebaut wurde wohl zu einer Umstellung des Busses. Aus einigen Beiträgen geht aber nicht hervor ob alte oder neue Version. Es gibt recht viele Beiträge zum Thema Bordcomputer raus, Doppel-DIN Autoradio rein und CAN-Bus. Es gab auch recht viele Beiträge zum Thema Tempomat und dass dieser hier und da angemeldet sein muss um zu funktionieren. Unter anderem im Bordcomputer. Ich kann das alles aber, wenn unbedingt notwendig, auch mal bei einer Werkstatt verifizieren. Ich denke eine Markenwerkstatt solle es genau wissen. Wenn dort keine Informationen zu bekommen sind (soll lt. Internet vorkommen) kann man es ja auch mal bei unabhängigen versuchen.

Bye
Alexander
Get än bestuet, da get än veruet; sterft än, da get än gelueft.

— geändert am 19.08.2013, 12:39:20

Hallo Andy,
es geht nicht nur um sicherheitsrelevante Komponenten. Auch Fensterheber können ein Problem werden.
Es geht um KFZ vieler unterschiedlichen Marken und Typen aus vielen auch weit (>10Jahre) in der Vergangenheit liegenden Baujahren.
Es ist eine zusätzliche Sicherheitsmaßnahme, die meines Erachtens dadurch notwendig wird weil der Anwender eine riesige Sicherheitslücke erzeugt, indem er eine frei programmierbare Hardware an eine Schnittstelle (CAN) anschließt, die in der Vergangenheit nicht für so etwas vorgesehen war.

Lese doch mal www dot mikrocontroller dot net/topic/33809#new
Der wollte auch WLAN und UMTS im Auto und auf einmal wollte dann nicht mehr. Er hat natürlich den Bus selbst freigeschaltet. Aber ein Hacker der dein Autoradio kontrolliert kann das auch.
Also ich bleibe dabei, eine frei programmierbare Hardware und freier Zugriff auch nur auf das Komfort-CAN kommt bei mir im Auto nicht in Frage. Ich denke beim lesen der Signale auf dem Bus reicht mir eine leere Blacklist, beim schreiben in den Bus muss es aber Whitelist sein. Ich will keinesfalls das irgendwelche Schadsoftware auf dem Autoradio geheimnisvolle Codes senden können welche dann irgendetwas auslösen was ich nicht will. Und diese Firewall inkl. Liste darf nicht durch das Autoradio bzw. durch den frei programmierbaren Bereich des Autoradios beeinflussbar sein.
Verschlüsselung bringt auch nicht so viel. Erstens kannst du keine Verschlüsselung nachrüsten. Zweitens kannst du dann mit deinem Autoradio auch nichts mehr machen. Drittens kann eine Verschlüsselung grundsätzlich geknackt werden, die Frage ist nur mit wie viel Aufwand. Hingegen eine Firewall an die der Hacker nicht per Fernzugriff heran kommt. Die ist garantiert sicher und in jedem Fall nachrüstbar.
Evtl. hat das dich ja schon überzeugt.


Übrigens: Mein aktueller Favorit für den CAN-Chip ist der MCP25025.
www dot microchip dot com/wwwproducts/Devices.aspx?dDocName=en010401
Das ist der aus dieser Familie der keinen A/D Wandler hat aber optional 1-PIN/Draht-CAN kann.

Bye
Alexander
Get än bestuet, da get än veruet; sterft än, da get än gelueft.

PS.: Weitere Recherche hat ergeben, dass die MCP250xx vermutlich nicht für mein KFZ geeignet sind, weil ich für VAN Chips aus der TSS461 oder TSS463 Familie benötige.

— geändert am 02.09.2013, 11:05:19