ความปลอดภัยด้านยานยนต์หมายถึง สาขาหนึ่งของความปลอดภัยทางคอมพิวเตอร์ที่มุ่งเน้นความเสี่ยงทางไซเบอร์ที่เกี่ยวข้องกับบริบทของยานยนต์จำนวนECUในรถยนต์ที่เพิ่มมากขึ้นเรื่อยๆ ควบคู่ไปกับการใช้งานวิธีการสื่อสารที่หลากหลายจากและไปยังรถยนต์ในลักษณะระยะไกลและไร้สาย ทำให้เกิดความจำเป็นต้องมีสาขาหนึ่งของความปลอดภัยทางไซเบอร์ที่ทุ่มเทให้กับภัยคุกคามที่เกี่ยวข้องกับยานยนต์ ไม่ควรสับสนกับความปลอดภัยด้านยานยนต์โดยทั่วไป

การนำECU (หน่วยควบคุมอิเล็กทรอนิกส์) หลายตัวมาใช้ในรถยนต์เริ่มขึ้นในช่วงต้นทศวรรษ 1970 เนื่องจากการพัฒนาวงจรรวมและไมโครโปรเซสเซอร์ที่ทำให้การผลิต ECU ในปริมาณมากเป็นไปได้ในเชิงเศรษฐกิจ^{[ 1 ]}นับตั้งแต่นั้นมา จำนวน ECU ก็เพิ่มขึ้นเป็นมากถึง 100 ตัวต่อรถยนต์หนึ่งคัน ปัจจุบันหน่วยเหล่านี้ควบคุมเกือบทุกอย่างในรถยนต์ ตั้งแต่งานง่ายๆ เช่น การเปิดที่ปัดน้ำฝนไปจนถึงงานที่เกี่ยวข้องกับความปลอดภัยมากขึ้น เช่น ระบบ เบรกแบบอิเล็กทรอนิกส์หรือABS (ระบบเบรกป้องกันล้อล็อก) การขับขี่อัตโนมัติยังพึ่งพาการนำ ECU ที่ซับซ้อนใหม่ๆ มาใช้ เช่นADASควบคู่ไปกับเซ็นเซอร์ ( ไลดาร์และเรดาร์ ) และหน่วยควบคุมของเซ็นเซอร์เหล่านั้นด้วย

ภายในรถยนต์ หน่วยควบคุมอิเล็กทรอนิกส์ (ECU) จะเชื่อมต่อกันผ่านเครือข่ายการสื่อสารแบบมีสายหรือไร้สาย เช่นCAN bus (controller area network), MOST bus (Media Oriented System Transport), FlexRay (Automotive Network Communications Protocol) หรือRF (radio frequency) ดังเช่นในระบบTPMS (tire-pressure monitoring systems) หลายๆ ระบบ ECU เหล่านี้จำนวนมากต้องการข้อมูลที่ได้รับผ่านเครือข่ายเหล่านี้จากเซ็นเซอร์ต่างๆ เพื่อควบคุมการทำงาน และใช้ข้อมูลดังกล่าวในการปรับเปลี่ยนพฤติกรรมของรถยนต์ (เช่นระบบควบคุมความเร็วอัตโนมัติจะปรับความเร็วของรถยนต์ตามสัญญาณที่ได้รับจากปุ่มที่มักอยู่บนพวงมาลัย)

นับตั้งแต่มีการพัฒนาเทคโนโลยีการสื่อสารไร้สายราคาถูก เช่นBluetooth , LTE , Wi-Fi , RFIDและอื่นๆ ผู้ผลิตรถยนต์และOEMได้ออกแบบ ECU ที่ใช้เทคโนโลยีเหล่านี้โดยมีเป้าหมายเพื่อปรับปรุงประสบการณ์ของผู้ขับขี่และผู้โดยสาร ระบบที่เกี่ยวข้องกับความปลอดภัย เช่นOnStar ^{[ 2 ]}จากGeneral Motorsหน่วยเทเลเมติกการสื่อสารระหว่างสมาร์ทโฟนและลำโพงของรถยนต์ผ่าน Bluetooth, Android Auto ^{[ 3 ]}และApple CarPlay ^{[ 4 ]}

แบบจำลองภัยคุกคามในโลกยานยนต์นั้นอิงจากการโจมตีทั้งในโลกแห่งความเป็นจริงและที่อาจเกิดขึ้นได้ตามทฤษฎี การโจมตีในโลกแห่งความเป็นจริงส่วนใหญ่มุ่งเป้าไปที่ความปลอดภัยของผู้คนในและรอบๆ รถ โดยการปรับเปลี่ยน ความสามารถ ทางไซเบอร์-กายภาพของยานพาหนะ (เช่น การบังคับเลี้ยว การเบรก การเร่งความเร็วโดยไม่ต้องอาศัยการกระทำจากคนขับ^{[ 5 ] [ 6 ]} ) ในขณะที่การโจมตีตามทฤษฎีนั้นคาดว่าจะมุ่งเน้นไปที่เป้าหมายที่เกี่ยวข้องกับความเป็นส่วนตัว เช่น การได้มาซึ่ง ข้อมูล GPSของยานพาหนะ หรือการดักจับสัญญาณไมโครโฟนและอื่นๆ ที่คล้ายกัน^{[ 7 ] [ 8 ]}

ในส่วนของช่องทางการโจมตีของยานพาหนะ โดยทั่วไปจะแบ่งออกเป็นช่องทางการโจมตีระยะไกล ระยะใกล้ และระยะใกล้: ^{[ 9 ]} LTEและDSRCถือเป็นช่องทางระยะไกล ในขณะที่ Bluetooth และ Wi-Fi มักถือเป็นช่องทางระยะใกล้ แม้ว่าจะยังคงเป็นแบบไร้สายก็ตาม สุดท้ายนี้USB , OBD-IIและช่องทางการโจมตีทั้งหมดที่ต้องเข้าถึงตัวรถโดยตรงจะถูกกำหนดให้เป็นช่องทางระยะใกล้ ผู้โจมตีที่สามารถดำเนินการโจมตีผ่านช่องทางระยะไกลนั้นถือว่ามีความแข็งแกร่งและอันตรายมากกว่าผู้ที่ต้องเข้าถึงตัวรถโดยตรง ในปี 2558 ความเป็นไปได้ของการโจมตีรถยนต์ที่วางจำหน่ายในตลาดแล้วได้รับการพิสูจน์โดย Miller และ Valasek ซึ่งสามารถขัดขวางการขับขี่ของJeep Cherokeeได้ในขณะที่เชื่อมต่อจากระยะไกลผ่านการสื่อสารไร้สายระยะไกล^{[ 10 ] [ 11 ]}

เครือข่ายที่ใช้กันทั่วไปในยานพาหนะและเครือข่ายที่ใช้เป็นหลักสำหรับการสื่อสารที่เกี่ยวข้องกับความปลอดภัยคือCANเนื่องจากคุณสมบัติแบบเรียลไทม์ ความเรียบง่าย และราคาถูก ด้วยเหตุนี้ การโจมตีในโลกแห่งความเป็นจริงส่วนใหญ่จึงมุ่งเป้าไปที่ ECU ที่เชื่อมต่อผ่านเครือข่ายประเภทนี้^{[ 5 ] [ 6 ] [ 10 ] [ 11 ]}

การโจมตีส่วนใหญ่ที่แสดงให้เห็นทั้งต่อยานพาหนะจริงหรือในระบบทดสอบนั้น มักอยู่ในประเภทใดประเภทหนึ่งหรือมากกว่านั้นดังต่อไปนี้:

การดักฟังในสาขาความปลอดภัยของคอมพิวเตอร์โดยทั่วไปหมายถึงความเป็นไปได้ในการดักจับและบันทึกแพ็กเก็ตหรือโดยทั่วไปคือข้อมูลจากเครือข่าย ในกรณีของ CAN เนื่องจากเป็นเครือข่ายบัสโหนดทุกโหนดจึงรับฟังการสื่อสารทั้งหมดบนเครือข่าย เป็นประโยชน์สำหรับผู้โจมตีในการอ่านข้อมูลเพื่อเรียนรู้พฤติกรรมของโหนดอื่น ๆ ในเครือข่ายก่อนที่จะดำเนินการโจมตีจริง โดยปกติแล้วเป้าหมายสุดท้ายของผู้โจมตีไม่ใช่การดักฟังข้อมูลบน CAN เพียงอย่างเดียว เนื่องจากแพ็กเก็ตที่ส่งผ่านเครือข่ายประเภทนี้มักไม่มีค่าพอที่จะอ่านได้^{[ 9 ]}

การโจมตีแบบปฏิเสธการให้บริการ ( DoS ) ในความปลอดภัยของข้อมูลมักถูกอธิบายว่าเป็นการโจมตีที่มีจุดประสงค์เพื่อทำให้เครื่องหรือเครือข่ายไม่สามารถใช้งานได้ การโจมตี DoSต่อ ECU ที่เชื่อมต่อกับบัส CAN สามารถทำได้ทั้งกับเครือข่าย โดยการใช้ประโยชน์จากโปรโตคอลการตัดสินที่ใช้โดย CAN เพื่อให้ชนะการตัดสินเสมอ และกำหนดเป้าหมายไปที่ ECU เดียว โดยการใช้ประโยชน์จากโปรโตคอลการจัดการข้อผิดพลาดของ CAN ^{[ 12 ]}ในกรณีที่สองนี้ ผู้โจมตีจะทำเครื่องหมายข้อความของเหยื่อว่าเป็นข้อผิดพลาดเพื่อให้เหยื่อเชื่อว่าเครื่องเสียและจึงปิดตัวเองออกจากเครือข่าย^{[ 12 ]}

การโจมตีแบบปลอมแปลงข้อมูลประกอบด้วยกรณีทั้งหมดที่ผู้โจมตีส่งข้อความโดยปลอมแปลงข้อมูลโดยแสร้งทำเป็นโหนดอื่นของเครือข่าย ในด้านความปลอดภัยของยานยนต์โดยทั่วไปการโจมตีแบบปลอมแปลงข้อมูลจะแบ่งออกเป็นการโจมตีแบบปลอมตัวและการโจมตีแบบเล่นซ้ำการโจมตีแบบเล่นซ้ำหมายถึงการโจมตีทั้งหมดที่ผู้โจมตีแสร้งทำเป็นเหยื่อและส่งข้อมูลที่ดักฟังได้ซึ่งเหยื่อส่งมาในการตรวจสอบสิทธิ์ครั้งก่อน ในทางตรงกันข้าม การโจมตีแบบปลอมตัวคือการโจมตีแบบปลอมแปลงข้อมูลที่เพย์โหลดข้อมูลถูกสร้างขึ้นโดยผู้โจมตี^{[ 13 ]}

นักวิจัยด้านความปลอดภัยCharlie MillerและChris Valasekได้สาธิตการเข้าถึงระยะไกลไปยังระบบควบคุมรถยนต์หลากหลายประเภทโดยใช้Jeep Cherokeeเป็นเป้าหมาย พวกเขาสามารถควบคุมวิทยุ ระบบควบคุมสภาพแวดล้อม ที่ปัดน้ำฝน และฟังก์ชันเครื่องยนต์และเบรกบางอย่างได้^{[ 11 ]}

วิธีการที่ใช้ในการแฮ็กระบบคือการนำชิปที่ตั้งโปรแกรมไว้ล่วงหน้าไปติดตั้งในบัสเครือข่ายควบคุมพื้นที่ (CAN)โดยการเสียบชิปนี้เข้าไปในบัส CAN เขาสามารถส่งข้อความใดๆ ก็ได้ไปยังบัส CAN อีกสิ่งหนึ่งที่มิลเลอร์ชี้ให้เห็นคืออันตรายของบัส CAN เนื่องจากมันกระจายสัญญาณซึ่งข้อความนั้นสามารถถูกแฮ็กเกอร์ดักจับได้ทั่วทั้งเครือข่าย

การควบคุมยานพาหนะทั้งหมดทำจากระยะไกล โดยควบคุมระบบโดยไม่ต้องมีปฏิสัมพันธ์ทางกายภาพใดๆ มิลเลอร์กล่าวว่าเขาสามารถควบคุมยานพาหนะประมาณ 1.4 ล้านคันในสหรัฐอเมริกาได้โดยไม่คำนึงถึงสถานที่หรือระยะทาง สิ่งเดียวที่จำเป็นคือให้ใครสักคนเปิดยานพาหนะเพื่อเข้าถึง^{[ 14 ]}

งานของ Miller และ Valasek ได้จำลองงานก่อนหน้านี้ที่นักวิชาการได้ทำและตีพิมพ์ในปี 2010 และ 2011 เกี่ยวกับยานพาหนะที่แตกต่างกัน^{[ 15 ]}งานก่อนหน้านี้แสดงให้เห็นถึงความสามารถในการบุกรุกยานพาหนะจากระยะไกล ผ่านช่องสัญญาณไร้สายหลายช่อง (รวมถึงเซลลูลาร์) และความสามารถในการควบคุมส่วนประกอบที่สำคัญของยานพาหนะจากระยะไกลหลังจากการบุกรุก รวมถึงหน่วยเทเลเมติกส์และเบรกของรถยนต์ ในขณะที่งานวิชาการก่อนหน้านี้สามารถมองเห็นได้ในที่สาธารณะ ทั้งในสิ่งพิมพ์ทางวิชาการที่ได้รับการตรวจสอบโดยผู้ทรงคุณวุฒิ^{[ 16 ] [ 17 ]}และในสื่อ^{[ 18 ]}งานของ Miller และ Valesek ได้รับความสนใจจากสาธารณชนมากยิ่งขึ้น

ความซับซ้อนที่เพิ่มขึ้นของอุปกรณ์และเครือข่ายในบริบทของยานยนต์ทำให้จำเป็นต้องใช้มาตรการรักษาความปลอดภัยเพื่อจำกัดความสามารถของผู้โจมตีที่อาจเกิดขึ้น ตั้งแต่ต้นทศวรรษ 2000 มีการเสนอและนำมาตรการป้องกันต่างๆ มาใช้ในบางกรณี ต่อไปนี้คือรายการมาตรการรักษาความปลอดภัยที่พบบ่อยที่สุด: ^{[ 9 ]}

• เครือข่ายย่อย : เพื่อจำกัดความสามารถของผู้โจมตี แม้ว่าเขา/เธอจะสามารถเข้าถึงยานพาหนะจากระยะไกลผ่าน ECU ที่เชื่อมต่อจากระยะไกลได้ เครือข่ายของยานพาหนะจะถูกแบ่งออกเป็นเครือข่ายย่อยหลายเครือข่าย และ ECU ที่สำคัญที่สุดจะไม่ถูกวางไว้ในเครือข่ายย่อยเดียวกันกับ ECU ที่สามารถเข้าถึงได้จากระยะไกล ^{[ 9 ]}
• เกตเวย์ : เครือข่ายย่อยจะถูกแบ่งออกโดยเกตเวย์ที่ปลอดภัยหรือไฟร์วอลล์ที่บล็อกข้อความไม่ให้ข้ามจากเครือข่ายย่อยหนึ่งไปยังอีกเครือข่ายย่อยหนึ่งหากไม่ได้ตั้งใจ ^{[ 9 ]}
• ระบบตรวจจับการบุกรุก (IDS) : ในแต่ละเครือข่ายย่อยที่สำคัญ โหนดหนึ่ง (ECU) ที่เชื่อมต่ออยู่มีเป้าหมายในการอ่านข้อมูลทั้งหมดที่ส่งผ่านในเครือข่ายย่อยและตรวจจับข้อความที่ถือว่าเป็นอันตราย (สร้างโดยผู้โจมตี) ตามกฎบางประการ ^{[ 19 ]}ผู้โดยสารสามารถตรวจจับข้อความโดยพลการได้โดยใช้ IDS ซึ่งจะแจ้งเตือนเจ้าของเกี่ยวกับข้อความที่ไม่คาดคิด ^{[ 20 ]}
• โปรโตคอลการตรวจสอบสิทธิ์ : เพื่อนำการตรวจสอบสิทธิ์ไปใช้ในเครือข่ายที่ยังไม่ได้นำไปใช้ (เช่น CAN) สามารถออกแบบโปรโตคอลการตรวจสอบสิทธิ์ที่ทำงานบนเลเยอร์ที่สูงกว่าของโมเดล ISO OSIได้ โดยใช้ส่วนหนึ่งของเพย์โหลดข้อมูลของข้อความเพื่อตรวจสอบสิทธิ์ข้อความนั้นเอง ^{[ 13 ]}
• โมดูลรักษาความปลอดภัยฮาร์ดแวร์ : เนื่องจาก ECU หลายตัวไม่มีประสิทธิภาพเพียงพอที่จะรักษาการหน่วงเวลาแบบเรียลไทม์ในขณะที่ดำเนินการรูทีนการเข้ารหัสหรือถอดรหัส จึงเป็นไปได้ที่จะวางโมดูลรักษาความปลอดภัยฮาร์ดแวร์ไว้ระหว่าง ECU และเครือข่ายเพื่อจัดการความปลอดภัย ^{[ 7 ]}
• การตรวจจับการบุกรุกและมาตรการทางนิติวิทยาศาสตร์ไอที: มาตรการเชิงรับที่จัดการกับจุดอ่อนพื้นฐาน^{[ 21 ]}

ในเดือนมิถุนายน พ.ศ. 2563 คณะกรรมาธิการเศรษฐกิจแห่งสหประชาชาติสำหรับยุโรป (UNECE) ได้ออกกฎระเบียบใหม่ 2 ข้อ คือ R155 และ R156 ซึ่งกำหนด "ข้อกำหนดด้านประสิทธิภาพและการตรวจสอบที่ชัดเจนสำหรับผู้ผลิตรถยนต์" ในแง่ของความปลอดภัยทางไซเบอร์ของยานยนต์และการอัปเดตซอฟต์แวร์^{[ 22 ]}