コントローラエリアネットワーク（CAN）バスは、自動車および産業用システムにおいて、シームレスな制御ユニット接続を実現する基盤となる通信プロトコルです。その信頼性とコスト効率の高さから高く評価されており、現代の車両や機械の動作に不可欠な存在となっています。

しかし、従来のCANプロトコルには固有のセキュリティ機能が欠如しており、システムを重大なサイバーリスクにさらしています。CAN経由で送信されるメッセージは、傍受、改ざん、または偽装される可能性があり、潜在的に危険な運用中断につながる可能性があります。メッセージ認証、データの整合性、機密性のネイティブサポートがないため、CANネットワークはメッセージインジェクション、リプレイ攻撃、データ改ざんなどの攻撃に対して脆弱です。

CANセキュリティの課題

• 送信者認証なし: 送信者の身元を確認するメカニズムがありません。攻撃者が任意のメッセージを挿入する可能性があります。
• データ整合性検証なし: 改ざんされたメッセージは検出されず、システムの信頼性が損なわれます。
• リプレイ攻撃に対する脆弱性: 攻撃者は正当なメッセージをキャプチャして再生し、不正なアクションをトリガーできます。
• 機密性の欠如: データは平文で送信されるため、機密情報が簡単に傍受される可能性がある。

セキュアCAN向け車載ソリューション

CAN通信を保護するために、iWaveは自動車および産業用アプリケーションを保護するために設計された最先端のセキュリティメカニズムを統合しています。

• メッセージ認証コード (MAC)
  • 各 CAN メッセージには、秘密キーを使用して生成された認証コード/タグが追加されます。
  • これにより、メッセージが正規のノード/ECU (秘密鍵を所有するもの) によって生成されたことが認証されます。
• CANデータの暗号化
  • 暗号化は、許可された当事者のみがメッセージの内容を読み取れるようにすることで機密性を確保します。許可された当事者とは、共有秘密鍵を持つデバイス／ノードを指します。
• なりすましと改ざん防止
  • デバイスは、送信パスリスト (または CAN ID のホワイトリスト) と受信ブロックリスト (または CAN ID のブラックリスト) を使用して構成できます。
  • これにより、受け入れられた ID (ソース/内部で決定) を持つメッセージのみがノード/デバイスによって受信および送信されるようになります。
• 洪水対策
  • このメカニズムは、接続されている他のノードが過剰なメッセージでバスをフラッディングし、実際の重要なメッセージの転送を妨げようとしているかどうかを検出するために使用されます。
• リプレイ攻撃保護
  • この保護は、転送される CAN データごとに増加されるフレッシュネス値カウンタを利用してメッセージの鮮度を追跡することで実現できます。

セキュアCANモジュールのアーキテクチャ