Establishment von Safety und Trust im V2X-Ökosystem
Das V2X-Ökosystem, das auf den IEEE1609-Standards basiert, revolutioniert die Transportsysteme und ermöglicht eine nahtlose Kommunikation zwischen Fahrzeugen, Verkehrsinfrastruktur und Netzwerkdiensten. Mit der Weiterentwicklung dieses Ökosystems wird die Einbeziehung von Fußgängern/Radfahrern und zusätzlichen Diensten eine zentrale Rolle bei der Verbesserung der Verkehrssicherheit und Effizienz spielen. Die Gewährleistung von Vertrauen und Sicherheit innerhalb dieses komplexen Ökosystems stellt jedoch erhebliche Herausforderungen für gesamten Automobil-Bereich dar. Dieser Artikel untersucht das Sicherheitsframework von V2X und die Erkennung von Fehlverhalten. Damit bildet er die Grundlage, verschiedene Strategien zur Bestimmung der Vertrauenswürdigkeit empfangener Daten zu beleuchten.
V2X-Sicherheitsframework und Vertrauenshierarchie:
Das V2X-Sicherheitsframework etabliert die Mechanismen, um die Integrität, Authentizität und Vertraulichkeit der Kommunikation sowie die Anonymität der Teilnehmer im Ökosystem zu gewährleisten. Vertrauen (Trust) ist ein grundlegender Aspekt des V2X-Sicherheitsframeworks und wird hierarchisch unter den beteiligten Entitäten organisiert. Diese Vertrauenshierarchie bildet die Grundlage für eine sichere und zuverlässige Kommunikation innerhalb des V2X-Ökosystems.
- An der Spitze der Vertrauenshierarchie stehen eine oder mehrere vertrauenswürdige Autoritäten, die Listen von vertrauenswürdigen Root-Zertifizierungsstellen (RootCA) veröffentlichen. Diese Vertrauenslisten (trusted lists) signieren die Autoritäten mit ihren Credentials (Zertifikaten als „trust anchor“, Vertrauensanker). Die Autoritäten überprüfen die registrierten Mitglieder (RootCAs) und neue Kandidaten mit Hilfe von Richtlinien (Policies) und Audits in Bezug auf Regelkonformität.
- Die RootCAs wiederum haben die Befugnis, Zertifikate für End-Entitäten (z.B. Fahrzeuge, Ampeln) auszustellen und auch zu widerrufen, damit nur gesichert legitime End-Entitäten am V2X-Netzwerk teilnehmen können.
- Auf Kommunikationsebene legitimieren sich Fahrzeuge, Verkehrsinfrastruktur, Fußgänger/Radfahrer und Netzwerkdienste mit diesen Zertifikaten.
Abb. 1: V2X-Vertrauenshierarchie
Die Anforderungen an die Authentifizierung stellen eine Herausforderung für die Privatsphäre insbesondere für Fahrzeuge, Radfahrer und Fußgänger dar. Dadurch würde es beispielsweise für die Verkehrsinfrastruktur (z.B. Ampeln) möglich, Bewegungsprofile vorbeifahrender Fahrzeuge zu erstellen. Daher wird ein zweistufiger Ansatz für die Registrierung von End-Entitäten definiert, der zu deren Pseudonymisierung führt.
- Erster Schritt: Die Anmeldung einer End-Entität über eine RootCA stellt die grundsätzliche Teilnahmebefugnis am V2X-Ökosystem sicher. Die RootCA generiert ein „Enrollment-Zertifikat“, das der End-Entität eine eindeutige ID zuordnet.
- Zweiter Schritt: Mit dem ausgestellten „Enrollment-Zertifikat“ kann die End-Entität eine Anzahl von Berechtigungstickets/Zertifikaten (Authorization) anfordern. Diese Tickets haben eine Gültigkeit von etwa einer Woche. In diesem Zeitraum verwendet die End-Entität die Tickets zufällig, um V2X-Nachrichten zu signieren. Der Empfänger kann die Tickets weder miteinander noch mit einer spezifischen End-Entität verknüpfen.
- Die Implementierung dieses Mechanismus unterscheidet sich etwas zwischen EU und USA/CN.
- Für die Nutzung der Berechtigungstickets werden verschiedene Strategien diskutiert, zum Beispiel ein Ticket für eine Distanz von zwei Kilometern oder für fünf Minuten zu verwenden, bevor zu einem anderen Ticket gewechselt wird. Dieser Mechanismus ist wichtig für die spätere Diskussion über den Vertrauensaufbau zwischen End-Entitäten. Mit jedem Ticketwechsel präsentiert sich die übertragende Entität als neue Instanz. Deshalb sollte die Wechselfrequenz der Tickets nicht zu hoch gewählt werden.
Die erfolgreiche Anmeldung und Autorisierung einer End-Entität signalisiert den anderen Teilnehmern des V2X-Netzwerks, dass diese End-Entität den lokalen V2X-Standards entspricht und die erforderlichen Systemprofile implementiert hat. Daher gibt eine erfolgreich authentifizierte End-Entität einen Hinweis darauf, dass die empfangenen Daten die grundlegenden Qualitätsanforderungen von V2X erfüllen.
Lokale funktionale Sicherheitsanforderungen
Im Ego-Fahrzeug („ego vehicle“), also dem „eigenen“ Fahrzeug, das V2X-Daten empfängt, sind Maßnahmen implementiert, um die Qualität und Genauigkeit der von Sensoren generierten Daten zu gewährleisten. Für die verschiedenen Integritätslevel der funktionalen Sicherheit (ASIL-Level) wurden geeignete Komponenten und Methoden ausgewählt, um spezifische (Fahr-)Funktionen zu implementieren.
Wenn das Ego-Fahrzeug Daten von anderen End-Entitäten erhält, kennt es die Umstände nicht, unter welchen diese Daten generiert wurden. Es ist auch unbekannt, ob die Daten mit einem ASIL erstellt wurden. End-Entitäten, die keine Fahrzeuge sind, sind u.U. nicht unter den Gesichtspunkten der funktionalen Sicherheit entwickelt. Selbst wenn die übertragende End-Entität ein anderes Fahrzeug wäre, könnte das Ego-Fahrzeug nicht erkennen, ob die Daten für ein spezifisches ASIL-Niveau qualifizieren und lokal in kritischen Funktionen verwendet werden könnten.
Andererseits könnten die empfangenen Daten aufgrund eines fehlerhaften Geräts in der übertragenden End-Entität (z.B. GPS-Kalibrierung) oder durch einen Cyberangriff kompromittiert sein.
Um diese Unsicherheiten anzugehen, ist es notwendig, lokale und globale Maßnahmen zur Erkennung und Behebung von Fehlverhalten zu implementieren.
Framework zur Erkennung von Fehlverhalten (Misbehavior Detection)
Fehlverhalten kann sowohl durch fehlerhafte Geräte als auch durch böswillige Akteure verursacht werden. Fehlfunktionierende Geräte können falsche Daten liefern, zum Beispiel eine GPS-Position. Die Ursache der Fehlfunktion könnte ein defektes Gerät, eine falsche Implementierung oder ein Verhalten in spezifischen Randfällen sein.
Bei böswilligen Akteuren kann zwischen zwei Arten von Angreifern unterschieden werden:
- „Böswillige“ V2X-Geräte mit notwendiger Hardware, Software und gültigen V2X-Anmeldeinformationen, die es ihnen ermöglichen, gefälschte Informationen in das V2X-Netzwerk und in andere „ahnungslose“ Geräte einzuspeisen.
- Externe Angreifer, die die Umgebung manipulieren, um Sensoren zu Fehlfunktionen zu veranlassen oder Sensoren dazu zu bringen, Daten falsch zu lesen.
Die potenzielle Präsenz von Fehlverhalten macht es notwendig, dass das Ego-Fahrzeug die empfangenen Daten lokal überprüft. Verschiedene Methoden könnten verwendet werden, um eingehende Daten zu validieren:
- Überprüfung der Protokollparameter
- Überprüfung der Plausibilität von Werten gegenüber Schwellenwerten, zum Beispiel Geschwindigkeit < 400 km/h
- Überprüfung der Konsistenz von Daten mit vorherigen Nachrichten, zum Beispiel Richtungsänderung um 90° in Millisekunden
- Datenabgleich mit externen Daten, zum Beispiel Positionierung in HD-Karten
- Datenabgleich mit internen Sensordaten und dem Umgebungsmodell
Aus Sicht des Netzwerkbetriebs ist es wünschenswert, eine große Anzahl fehlerhafter oder kompromittierter Geräte aus dem V2X-Netzwerk zu eliminieren. Andernfalls würden diese bereits bekannten Probleme die Integrität des Netzwerks beeinträchtigen.
Um solche Umstände zu erkennen, werden in den verschiedenen Regionen Standards entwickelt, um die Meldung von Fehlverhalten in den Endgeräten und die Behandlung dieser Berichte durch zentrale Behörden (Misbehavior Authorities) zu definieren. Mechanismen zum Widerruf von Endgeräten sind bereits definiert. Die Erkennung und Behebung von Fehlverhalten sind jedoch mit Kosten verbunden. Für das Fahrzeug zeigt beispielsweise die frühe Implementierung in China, dass das Aktualisieren von Sperrlisten für End-Entitäten im Fahrzeug bis zu 25% der Nachrichten, die mit dem Security-Backend ausgetauscht werden, und 90% der Datenmenge ausmachen kann.
Auch mit dem Rahmenwerk zur Erkennung von Fehlverhalten bleibt die Frage für das Ego-Fahrzeug, inwieweit die empfangenen Daten vertrauenswürdig sind und in sicherheitskritischen Funktionen verwendet werden können.
Globaler vs. Lokaler Trust
Die hier vorgestellten Sicherheitsmechanismen versuchen, die Risiken für das System und seine Teilnehmer zu minimieren. Nur autorisierte Fahrzeuge nehmen an V2X teil und große Mengen von Fehlverhalten können aus dem System entfernt werden. Dadurch werden grobe Missstände im System verhindert.
Zukünftig werden Fahrzeuge mit Daten nahezu überhäuft und müssen über deren Glaubwürdigkeit entscheiden. Ein Fahrzeug besitzt eine Architektur, die auf vielen technischen Teilsystemen basiert. Einzelne Fehler können sich fatal auf die Sicherheit eines Fahrers auswirken. Mit V2X kommt ein System hinzu, bei dem gleich eine Vielzahl von Fahrzeugen von Fehlern betroffen sein können. Die in V2X gesendeten Daten müssen also im Sinne der funktionalen Sicherheit auf Datenqualität und Vertrauenswürdigkeitüberprüft werden. Das bleibt immer eine lokale Aufgabe des Ego-Fahrzeugs und kann nicht durch die globalen Systeme gewährleistet werden.
Davon werden in der Zukunft auch sehr viele andere Funktionen und Systeme abhängen, wie zum Beispiel autonomes Fahren oder Valet Parking. Wie dieses lokale Vertrauen in die Daten hergestellt werden kann, lesen Sie hier.
Ihre Expertinnen und Experten bei msg
Sind Sie in der dynamischen Welt der V2X-Kommunikation, Konnektivität und des autonomen Fahrens aktiv? Dann verstehen Sie sicherlich die Komplexität und die Herausforderungen, die diese Technologien mit sich bringen. Die Expertinnen und Experten von msg sind hier, um Sie auf Ihrem Weg zu begleiten und Ihre individuellen Bedürfnisse zu erfüllen.
Unser umfangreiches Fachwissen im Bereich Systems Engineering – einschließlich Architektur, Sicherheit und Security – sowie im Testing von modernen, hochgradig verteilten Fahrzeugarchitekturen, ermöglicht es uns, Sie bei der Entwicklung und Implementierung von Cloud-basierten Remote-ADAS-Lösungen umfassend zu unterstützen. Wir helfen Ihnen nicht nur bei der Konzeption, sondern auch bei der Absicherung dieser Funktionen, um die Vision des autonomen Fahrens Wirklichkeit werden zu lassen.
Darüber hinaus bringen wir unsere Kompetenzen in den Bereichen Machine Learning und Analytics ein, um die umfangreichen Datensätze, die bei der Entwicklung dieser fortschrittlichen Technologien anfallen, effektiv zu analysieren und zu nutzen. Diese Fähigkeiten sind entscheidend, um die Zuverlässigkeit und Sicherheit der Fahrfunktionen zu gewährleisten.
Wenn Sie also vor Herausforderungen im Bereich Konnektivität, V2X und ADAS stehen oder einfach nur mehr über unsere Dienstleistungen erfahren möchten, zögern Sie nicht, mit uns in Kontakt zu treten. Wir sind bereit, Ihre Projekte mit unserer Expertise zu bereichern und gemeinsam mit Ihnen die Zukunft der Mobilität zu gestalten.
