SAE J3005-2-2020
Стационарно или полустационарно установленные диагностические коммуникационные устройства
- Стандартный №
- SAE J3005-2-2020
- Дата публикации
- 2020
- Разместил
- Society of Automotive Engineers (SAE)
- состояние
- быть заменен
- SAE J3005-2_202003
- Последняя версия
- SAE J3005-2_202003
- сфера применения
-
Обзор стандарта SAE J3005-2 и техническая база
SAE J3005-2, «Руководство по безопасности постоянно или полупостоянно установленного диагностического коммуникационного оборудования», — ключевой технический стандарт, опубликованный Обществом автомобильных инженеров (SAE) в марте 2020 года. Разработка этого стандарта обусловлена открытостью диагностического протокола OBD в современных архитектурах электрооборудования транспортных средств и тем фактом, что производители транспортных средств могут напрямую подключаться к шине управления транспортным средством через разъёмы. Хотя эти функции открывают множество новых возможностей применения, они также открывают возможности для взлома транспортных средств.
Разъём OBD изначально был разработан как стандартизированный интерфейс для доступа к бортовой диагностической информации легковых автомобилей, лёгких, средних и тяжёлых грузовиков через «универсальное» испытательное оборудование. Этот доступ был предназначен для кратковременного использования в контролируемых условиях для упрощения процедур технического обслуживания. Однако, по мере развития технологий, другие устройства начали использовать стандартизированный разъем и данные, собирая и используя стандартизированные данные в почти постоянной установке для целей, выходящих за рамки временных процедур обслуживания, что вызвало опасения по поводу информационной безопасности и конфиденциальности.
Подробное объяснение основных технических требований безопасности
Рекомендации по безопасности в автомобиле
Стандарт требует, чтобы интерфейсы не передавали информацию из интернета/мобильных устройств напрямую в автомобильную сеть. Уровень промежуточного программного обеспечения должен разделять различные каналы передачи данных (т. е. разделять B и A). Приложения должны взаимодействовать с транспортным средством через промежуточное программное обеспечение, которое изолирует автомобильную сеть от приложения и мобильного устройства. Например, используя предопределенные наборы запросов, приложение или проводная/беспроводная связь должны использоваться только для диагностической связи (исключая отправку кадров CAN).
Анализ уязвимостей безопасности диагностического протокола
В стандарте подробно анализируются четыре типа уязвимостей безопасности диагностического протокола:
Тип уязвимости Специфическое проявление Уровень риска Контрмеры Распространённые уязвимости, связанные с протоколом Уязвимости диагностического протокола, такие как переход к загрузчику Высокий Устройство проверяет, что скорость транспортного средства составляет не менее 0 км/ч Уязвимости, специфичные для производителя транспортного средства Уязвимости, связанные с продукцией конкретных производителей транспортных средств Средняя Производители обязаны предоставлять соответствующую информацию Уязвимости, специфичные для ЭБУ Уязвимости в конкретных реализациях программного обеспечения ЭБУ Средняя Использование информации, специфичной для ЭБУ, для обнаружения возможностей безопасности Уязвимости канала связи Чувствительность шины CAN к помехам Высокая Программное обеспечение промежуточного уровня автоматически проверяет скорость передачи данных и CAN-ID Принципы проектирования системы
Проектирование элементов безопасности системы должно предполагать полное раскрытие всех элементов системы субъектами угрозы. Элементы безопасности следует рассматривать на этапе проектирования, а не добавлять в течение жизненного цикла системы. Следует выполнить анализ модели угроз (ссылка SAE J3061).
Технические требования к защите конфиденциальности
Местные юрисдикции могут запрещать использование данных, которые могут быть связаны с конкретным лицом, водителем или владельцем транспортного средства, или требовать согласия владельца/оператора транспортного средства; это необходимо учитывать при разработке систем, которые записывают и загружают данные на сервер.
Рекомендации по обеспечению конфиденциальности в транспортном средстве
Нет никаких рекомендаций или опасений со стороны транспортного средства; транспортные средства разработаны в соответствии (например, с нормами выбросов), и нет никаких проблем с конфиденциальностью до того, как инструмент получит данные.
Рекомендации по обеспечению удаленной конфиденциальности
Рекомендуется либо запросить согласие у оператора или владельца транспортного средства, либо анонимизировать данные; Анонимизацию данных можно упростить, отказавшись от данных, позволяющих идентифицировать владельца транспортного средства (например, не используя VIN), или используя статистический шум в выборочных данных. Статистический шум покажет ошибочную информацию для одного транспортного средства, но для большого количества транспортных средств шум будет нейтрализован.
Рекомендации по внедрению и передовой опыт
Безопасность обновления прошивки
Если возможности устройства позволяют обновлять прошивку, поставщикам устройств рекомендуется разработать способ участия пользователей в процессе обновления прошивки устройства. Объявление пользователям о доступности обновлений прошивки устройства является ключевым средством развертывания улучшенных функций безопасности. Возможности удаленного обновления необходимы для устранения обнаруженных критических проблем безопасности.
Требования к шифрованию и аутентификации
Необходимо разработать процессы для обеспечения подлинности и целостности данных обновления прошивки. См. NIST 800-57 для получения приемлемых алгоритмов и уровней стойкости. Система должна иметь криптографически стойкий источник случайных чисел для алгоритмов шифрования, которым это необходимо.
Персонализация устройств и управление ролями
Компрометация криптографических параметров одного устройства не должна ставить под угрозу безопасность другого устройства. Разные роли должны иметь разные ключи. Один ключ не должен иметь доступ ко всем функциям.
Защита от считывания аппаратного кода
Должны быть предусмотрены разумные меры защиты, предотвращающие физическое извлечение злоумышленником полного или частичного исходного кода или двоичных файлов из аппаратного обеспечения устройства. Многие современные процессоры включают функции «защиты кода». Эту защиту часто могут обойти специализированные сторонние компании за определенную плату; однако это значительно увеличивает стоимость доступа для злоумышленников к исходному коду или двоичной информации.
Требования к тестированию безопасности и аудиту
В стандарте подчеркивается, что тестирование на проникновение или аудит должны проводиться третьей стороной, если код не основан на стандартных библиотеках. Функции отладки, связанные с безопасностью, должны быть отключены в производственных сборках программного обеспечения. Предположим, что хакер полностью осведомлен о вашей системе и её уязвимостях. Хакер либо знает всё уже сейчас, либо скоро узнает; поэтому элементы безопасности должны быть разработаны так, чтобы быть устойчивыми к любому, кто обладает этими знаниями.
Методология анализа угроз TARA
В приложении к стандарту представлен подробный пример методологии TARA (анализ угроз и оценка рисков), включая идентификацию активов, анализ угроз, оценку рисков и определение требований безопасности. Эта методология помогает производителям устройств систематически выявлять и устранять угрозы безопасности.
Параметры оценки Элементы оценки Методы оценки Результаты вывода Определение угроз Атаки с обманом, подделка данных, отказ в обслуживании, утечка информации, отказ в обслуживании Модель STRIDE Список и уровень угроз Оценка рисков Вероятность, воздействие, уровень риска Количественный и качественный анализ Матрица рисков Безопасность требования Аутентификация, шифрование, защита целостности Вывод требований Спецификации безопасности
Технические проблемы и решения для внедрения стандарта
Проблемы совместимости
Основные проблемы при внедрении стандарта SAE J3005-2 включают совместимость с существующими системами транспортных средств, взаимодействие оборудования разных производителей и контроль затрат. Решения включают принятие модульной конструкции, многоуровневой архитектуры безопасности и стандартизированных интерфейсов.
Оптимизация производительности
Меры безопасности могут влиять на производительность устройства, особенно процессы шифрования и аутентификации. Рекомендуется использовать такие технологии, как аппаратное ускорение, оптимизированные алгоритмы и асинхронная обработка, чтобы сбалансировать безопасность и производительность.
Долгосрочное обслуживание
Угрозы безопасности постоянно развиваются, и устройства должны поддерживать удаленное обновление и управление исправлениями безопасности. Создание комплексного механизма обновления прошивки и процесса управления жизненным циклом безопасности имеет решающее значение.
Тенденции будущего развития и эволюция стандартов
В связи с быстрым развитием технологий подключенных автомобилей постоянное или полупостоянно установленное диагностическое и коммуникационное оборудование будет сталкиваться с большим количеством проблем безопасности. Дальнейшее развитие стандартов может быть сосредоточено на следующих областях: применение квантово-безопасных алгоритмов шифрования, роль искусственного интеллекта в обнаружении угроз, применение технологии блокчейн для проверки целостности данных и более тонкие механизмы защиты конфиденциальности.
SAE J3005-2 обеспечивает важную основу безопасности для отрасли, но быстрое развитие технологий требует постоянного обновления и улучшения стандартов. Производители оборудования должны внимательно следить за развитием стандартов, активно участвовать в процессе разработки стандартов и создавать гибкие архитектуры безопасности для адаптации к будущим требованиям безопасности.
SAE J3005-2-2020 Ссылочный документ
- ISO 14229-1 Транспорт дорожный. Единые диагностические службы (UDS). Часть 1. Прикладной уровень. Поправка 1.*， 2022-10-25 Обновление
- ISO 15031-3 Транспорт дорожный. Связь между транспортным средством и внешним оборудованием для диагностики выбросов. Часть 3. Диагностический разъем и соответствующие электрические цепи. Спецификация и использование.*， 2023-02-06 Обновление
- ISO 15031-5 Дорожные транспортные средства. Связь между транспортным средством и внешним оборудованием для диагностики выбросов. Часть 5. Услуги диагностики, связанные с выбросами.
- ISO 15765-4 Транспорт дорожный. Диагностика в сетях контроллеров (CAN). Часть 4. Требования к системам, связанным с выбросами.*， 2021-07-30 Обновление
- SAE J1962 Диагностический разъем
- SAE J1979 Цифровое приложение с режимами диагностического тестирования E/E (см. также SAE J1979; включает доступ к дополнительному контенту)*， 2021-04-01 Обновление
- SAE J1979DA J1979-DA, Цифровое приложение режимов диагностических испытаний E/E*， 2025-04-29 Обновление
- SAE J3005-1 Стационарно или полустационарно установленные диагностические коммуникационные устройства
- SAE J3061 Руководство по кибербезопасности для киберфизических транспортных систем*， 2021-01-01 Обновление
- SAE J3138 Безопасность разъема диагностического канала*， 2022-10-04 Обновление
SAE J3005-2-2020 История
- 0000 SAE J3005-2_202003
- 2020 SAE J3005-2-2020 Стационарно или полустационарно установленные диагностические коммуникационные устройства
