Verbundprojekt: Fahrzeug-Intrusions-Detektion und -Prävention in einheitlicher Struktur für Straße und Schiene - FINESSE

Abstract

Das Teilvorhaben der Universität Passau im Verbundprojekt FINESSE hatte zum Ziel, einen hardwarebasiert abgesicherten Smart Sensor für den Einsatz in Straßen- und insbesondere Schienenfahrzeugen zu konzipieren, zu implementieren und zu evaluieren. Ausgangspunkt war eine Bedrohungs- und Risikoanalyse nach einschlägigen Normen (u. a. IEC 62443, CENELEC prTS 50701), aus der Sicherheitsanforderungen an Intrusion Detection und Prävention sowie geeignete Datenquellen im Fahrzeug (Sensordaten, Steuergerätezustände) abgeleitet wurden. Darauf aufbauend wurde eine Sicherheits- und Kommunikationsarchitektur ausgearbeitet, welche die Schnittstelle zwischen Fahrzeug und Security Operations Center (SOC) sowie die kryptographisch abgesicherte Kommunikation zwischen Smart Sensor und SOC spezifiziert. Der technische Schwerpunkt lag auf der Hardware-Sicherheit des Smart Sensors. Es wurden Soft- und Hardware-Spezifikation, Angriffs- und Schutzmodelle sowie mehrere Sicherheitsarchitekturen untersucht, darunter eine Container-basierte Kapselung, Separation-Kernel-Ansätze und Secure-/Measured-Boot-Konzepte mit TPM-Unterstützung. Im Prototyp kommen containerisierte Komponenten in Verbindung mit TPM-basierten Vertrauensankern zum Einsatz, um die Integrität von Software, Konfiguration und Regeln sowie die manipulationssichere Ausleitung und Pufferung von Daten sicherzustellen. Ergänzend wurden Mechanismen zur sicheren, regelbasierten Vorverarbeitung auf dem Smart Sensor entwickelt, bei denen Regel- und Modellupdates kryptographisch geschützt vom SOC verteilt und in einer gesicherten Ausführungsumgebung ausgeführt werden. Zur Evaluation wurden Labor- und Simulationsumgebungen aufgebaut, in denen realitätsnahe Datenströme und Angriffsszenarien nachgestellt werden konnten. Ein zentrales Ergebnis ist die Integration der FINESSE-Box als Smart-Sensor-Demonstrator in das Advanced Train Lab (aTL) der Deutschen Bahn sowie der Aufbau eines Laborklons an der Universität Passau. Beide Plattformen ermöglichen die kontinuierliche Weiterentwicklung und Erprobung der entwickelten Sicherheitsmechanismen sowie ihre Nutzung in Forschung und Lehre. Insgesamt leistet das Teilvorhaben einen substantiellen Beitrag zur hardwarebasierten Absicherung von IDS-Lösungen im Schienenverkehr und schafft eine belastbare Grundlage für weiterführende Arbeiten und eine spätere industrielle Nutzung.