Tamper-Evident Incident Response and Digital Evidence Management for Connected Vehicles Using Permissioned Blockchain

Moderne auto's zijn niet langer alleen maar machines van metaal en rubber; het zijn rollende netwerken van computers die constant met elkaar praten, met verkeerslichten en met clouddiensten. Dit constante gesprek, bekend als het Internet of Vehicles, helpt bestuurders om ongelukken te vermijden en soepeler door het verkeer te navigeren. Deze connectiviteit creëert echter een nieuw soort kwetsbaarheid. Wanneer een hacker of een defect de systemen van een voertuig verstoort, is het bewijs van wat er is gebeurd verspreid over tientallen digitale logs. Als het systeem dat het evenement heeft vastgelegd hetzelfde systeem is dat de hacker heeft gecompromitteerd, kunnen de gegevens stilletjes worden gewijzigd of verwijderd, waardoor onderzoekers met een vals verhaal achterblijven. De uitdaging voor beveiligingsexperts is niet alleen om de misdaad te vangen, maar om te bewijzen dat het verhaal dat zij over de misdaad vertellen het ware verhaal is, en om te garanderen dat de auto niet weer gaat rijden totdat het absoluut veilig is.

Een recente studie door Md Shahanur Islam Shagor behandelt dit dubbele probleem door een systeem te creëren dat de veiligheid van de auto en de waarheid van de gegevens als één, vergrendeld pakket behandelt. Het onderzoek stelt een methode voor waarmee verbonden voertuigen een gedetailleerde, onveranderlijke geschiedenis van beveiligingsgebeurtenissen kunnen bijhouden zonder het netwerk te overspoelen met enorme hoeveelheden gegevens. In plaats van elk afzonderlijk stuk bewijs naar een centraal, gedeeld grootboek te sturen, houdt het voertuig een lokaal journaal van gebeurtenissen bij. Dit journaal is opgebouwd als een keten van verzegelde enveloppen, waarbij elke nieuwe invoer wiskundig verbonden is met de vorige. Als een aanvaller probeert een pagina te vervangen, een regel te verwijderen of een getal in het midden van de geschiedenis te wijzigen, wordt de verbinding verbroken en is de manipulatie onmiddellijk zichtbaar. Om te garanderen dat deze lokale geschiedenis niet achteraf vervalst kan worden, stuurt het voertuig periodiek een kleine, compacte samenvatting van zijn huidige staat naar een vertrouwde groep validators. Deze samenvatting fungeert als een tijdgestempelde verankering, die bewijst dat de lokale records op een specifiek moment in de tijd bestonden.

De kerninnovatie van dit werk is hoe het de handeling van het onderzoeken van een inbreuk verbindt met de handeling van het herstellen ervan. In veel huidige systemen kan een auto offline worden gehaald voor de veiligheid, en vervolgens automatisch weer online worden gezet zodien een timer afloopt, of op basis van een eenvoudig commando van een menselijke operator. Dit artikel betoogt dat dergelijke automatische herstelacties gevaarlijk zijn als het bewijs van de aanval is gemanipuleerd. Het voorgestelde systeem gebruikt een "latched" (vergrendelde) state machine, een digitale logische poort die weigert het voertuig terug te laten keren naar de normale werking, tenzij aan een strikte set voorwaarden is voldaan. De auto kan niet herstellen simpelweg omdat de tijd is verstreken. Het vereist dat een menselijke operator het incident expliciet erkent, gevolgd door een periode waarin de sensoren van het voertuig bevestigen dat alles gezond is. Cruciaal is dat als er tijdens dit herstelvenster nieuw bewijs van een aanval verschijnt, het systeem reset en de auto opnieuw blokkeert. Voor veiligheidskritische situaties is een aanvullende fysieke of digitale bevestiging vereist voordat de auto mag bewegen.

Om dit ontwerp te testen, bouwden de onderzoekers een software-simulatie die draait op een standaard computerprocessor. Ze maten hoe lang het duurde om deze beveiligde records aan te maken en te verifiëren. De resultaten toonden aan dat het systeem snel genoeg is voor echt gebruik. Het aanmaken van een enkel geauthenticeerd record duurde gemiddeld 19,15 microseconden, een fractie van de tijd die een mens nodig heeft om te knipperen. Het verifiëren van een enorme log van 50.000 records duurde minder dan 700 milliseconden. Misschien wel het belangrijkste is dat de studie aantoonde dat deze aanpak de hoeveelheid gegevens die op het gedeelde netwerk moet worden opgeslagen, drastisch vermindert. Door slechts één klein controlepunt te sturen in plaats van elk afzonderlijk record, verminderde het systeem het datavolume op het gedeelde grootboek met ongeveer 99,5 procent. Dit betekent dat het netwerk snel en efficiënt blijft terwijl het nog steeds een hoog niveau van beveiliging biedt.

De onderzoekers onderwierpen hun systeem ook aan een reeks gesimuleerde aanvallen om te zien of het stand zou houden. Ze testten scenario's waarbij een aanvaller probeerde een record te wijzigen, een log-invoer te verwijderen, de volgorde van gebeurtenissen te veranderen of een commando van een menselijke operator te vervalsen. In elk geval detecteerde het systeem de misstap en wees de actie af. Het identificeerde succesvol wanneer een oud commando werd afgespeeld (replay attack) om het systeem te misleiden te doen geloven dat er zojuist een nieuwe autorisatie was gegeven. Het voorkwam ook dat de auto herstelde als de veiligheidsinterlock ontbrak of als er na het starten van het herstelproces nieuw bewijs van een dreiging verscheen. De studie concludeert dat door de integriteit van het bewijs direct te koppelen aan de veiligheid van het herstel van het voertuig, beveiligingsteams kunnen garanderen dat een auto niet alleen wordt hersteld tot werking, maar wordt hersteld tot een staat die daadwerkelijk veilig en geverifieerd is.

Dit werk beweert geen afgewerkt product te zijn dat klaar is voor elk auto op de weg van vandaag. De tests werden uitgevoerd in een gecontroleerde software-omgeving, niet op echte voertuigen met gespecialiseerde hardware. De onderzoekers erkennen dat implementatie in de echte wereld verdere tests vereist op embedded automotive chips en met werkelijke netwerkvertragingen. Echter, de bevindingen bieden een duidelijk blauwdruk voor hoe een systeem te bouwen waarbij de waarheid van het verleden en de veiligheid van de toekomst onlosmakelijk met elkaar verbonden zijn. Door te garanderen dat een voertuig niet kan worden ingeschakeld totdat zijn eigen digitale geschiedenis is geverifieerd als niet-gemanipuleerd, biedt deze aanpak een robuuste manier om de complexe beveiligingsuitdagingen van het tijdperk van de verbonden auto aan te pakken.