Beveiligingstests voor connected voertuigen in de automotive-sector

Kort samengevat: Moderne voertuigen bevatten meer dan 100 miljoen regels code, verdeeld over tientallen elektronische regeleenheden (ECU's) die via telematica-eenheden, mobiele apps en V2X-communicatie met internet zijn verbonden. VN-Reglement 155 (UN R155), verplicht in de EU, Japan en Korea, vereist dat OEM's gedurende de gehele levenscyclus van het voertuig een Cyber Security Management System (CSMS) implementeren. ISO/SAE 21434 vormt de technische norm voor automotive cybersecurity. KENSAI helpt automotive-OEM's en Tier 1-toeleveranciers om via systematische beveiligingsassessments aan deze eisen te voldoen.

Waarom dit belangrijk is

Moderne voertuigen bevatten meer dan 100 miljoen regels code, verdeeld over tientallen elektronische regeleenheden (ECU's) die via telematica-eenheden, mobiele apps en V2X-communicatie met internet zijn verbonden. VN-Reglement 155 (UN R155), verplicht in de EU, Japan en Korea, vereist dat OEM's gedurende de gehele levenscyclus van het voertuig een Cyber Security Management System (CSMS) implementeren. ISO/SAE 21434 vormt de technische norm voor automotive cybersecurity. KENSAI helpt automotive-OEM's en Tier 1-toeleveranciers om via systematische beveiligingsassessments aan deze eisen te voldoen.

Belangrijkste controls

• UN R155 Cyber Security Management System (CSMS)
• ISO/SAE 21434-cybersecurity-engineering
• Beveiliging van telematica en OTA-updates
• Beveiliging van mobiele app en backend-API
• Beveiligingsassessment van V2X-communicatie
• Beoordeling van de software bill of materials (SBOM) van toeleveranciers

Compliancerisico: Afwijzing van UN R155-typegoedkeuring, waardoor voertuigverkoop in de EU, Japan en Korea wordt geblokkeerd, terugroepkosten, aansprakelijkheid door veiligheidskritieke kwetsbaarheden en sancties van toezichthouders. Regelmatige kwetsbaarheidsanalyse is niet optioneel — het is een kernvereiste van UN R155 en ISO/SAE 21434.

Belangrijkste dreigingen

• Overname van voertuigbediening op afstand via compromittering van de telematica-eenheid — een kritieke dreiging die directe detectie en herstel vereist.
• Misbruik van het OTA-updatemechanisme — een kritieke dreiging die directe detectie en herstel vereist.
• Kwetsbaarheden in de mobiele-app-API die accountovername mogelijk maken — een kritieke dreiging die directe detectie en herstel vereist.
• CAN-bus-injectie via gecompromitteerde ECU's — een kritieke dreiging die directe detectie en herstel vereist.
• GPS-spoofing die navigatie en locatiediensten treft — een kritieke dreiging die directe detectie en herstel vereist.

Hoe KENSAI helpt

• Automotive API-beveiligingstests — Beoordeel backend-API's en telematicaplatforms van voertuigen op OWASP API Top 10-kwetsbaarheden en automotive-specifieke dreigingen.
• Beveiligingsassessment mobiele app — Beveiligingstests van companion-apps die voertuigfuncties aansturen en toegang hebben tot gevoelige eigenaarsgegevens.
• Validatie van OTA-beveiliging — Beoordeel over-the-air-updatemechanismen op kwetsbaarheden die installatie van kwaadaardige firmware mogelijk zouden maken.
• UN R155-bewijspakket — Genereer UN R155 CSMS-bewijsdocumentatie voor typegoedkeuringsaanvragen bij voertuigautoriteiten.

Stap-voor-stap aanpak

• Breng het aanvalsoppervlak van het connected voertuig in kaart: telematica, mobiele apps, backend-API's, OTA, V2X-interfaces
• Identificeer kritieke, veiligheidsgerelateerde systemen en datastromen die prioriteit vereisen
• Draai KENSAI's web-/API-kwetsbaarheidsscanner over de automotive-backendinfrastructuur
• Voer een beveiligingsassessment uit van de companion-apps voor iOS en Android
• Genereer UN R155- en ISO/SAE 21434-compliancedocumentatie voor typegoedkeuring
• Implementeer continue monitoring van de automotive-cloud- en API-infrastructuur

Veelgestelde vragen

Wat is UN R155 en wie moet hieraan voldoen?

VN-Reglement 155 vereist dat automotive-OEM's Cyber Security Management Systems (CSMS) implementeren en onderhouden voor voertuigen die in de EU, Japan, Korea en andere markten worden verkocht. Het bestrijkt de volledige levenscyclus van het voertuig, van ontwerp tot buitengebruikstelling.

Wat is ISO/SAE 21434?

ISO/SAE 21434 is de internationale norm voor automotive-cybersecurity-engineering. De norm definieert processen voor dreigingsanalyse en risicobeoordeling (TARA), ontwikkeling van het cybersecurityconcept en cybersecurityvalidatie gedurende de gehele ontwikkelcyclus van het voertuig.

Wat zijn de meest voorkomende aanvalsvectoren voor connected voertuigen?

Kwetsbaarheden in backend-API's en telematica-eenheden worden het vaakst misbruikt. Mobiele companion-apps hebben vaak zwakkere beveiliging dan het voertuig zelf. OTA-updatemechanismen vormen aanvalsvectoren met grote impact.

Moeten automotive-toeleveranciers voldoen aan UN R155?

Hoewel UN R155 rechtstreeks van toepassing is op OEM's, geven OEM's de vereisten via toeleveringsovereenkomsten door aan Tier 1-toeleveranciers. Toeleveranciers van software of connected componenten moeten doorgaans cybersecuritycompliance aantonen.

Kan KENSAI in-voertuigsystemen (ECU's, CAN-bus) beoordelen?

KENSAI is gespecialiseerd in de beoordeling van de backend van connected voertuigen — API's, telematicaplatforms, mobiele apps en cloudinfrastructuur. Hardwaretests van ECU's en de CAN-bus vereisen gespecialiseerde automotive-beveiligingshardware.