Penetrationstests

Allgemeine Übersicht

Wir bieten Pentests von eingebetteten Systemen, Automobilsystemen und Hardwarekomponenten an. Ein Penetrationstest oder Pentest simuliert Cyberangriffe, um die Sicherheit eines Systems, Netzwerks oder einer Anwendung zu bewerten. Es zeigt Schwächen und Stärken auf und hilft bei der Risikobewertung. Der Prozess zielt auf bestimmte Systeme und Ziele ab und verwendet verschiedene Methoden, um die Sicherheit zu umgehen. Die Ergebnisse informieren den Kunden über Schwachstellen und empfehlen Strategien zur Schadensbegrenzung. Penetrationstests sind ein wesentlicher Bestandteil von Sicherheitsaudits, die durch Standards wie UNECE R155 vorgeschrieben sind und Risikobewertungen unterstützen. Penetrationstests können auf Ihre individuellen Anforderungen zugeschnitten werden.

fact sheet
Kontakt
Alt_Penetrationstests

Umfang

  • Umfassende Systemtests: Wir führen gründliche Sicherheitstests für komplette Fahrzeuge durch, einschließlich Steuergeräten und eingebetteten Systemen, um einen idealen Schutz vor potenziellen Schwachstellen zu gewährleisten.
  • Spezialisierte Netzwerk- und Schnittstellentests: Unser Paket bietet tiefgreifende Tests für Fahrzeugsteuergeräte, die Reverse Engineering, Hardware-Checks und Protokoll-Fuzzing einsetzen, um Schwachstellen zu identifizieren und die Fahrzeugsicherheit zu erhöhen.
  • Hardware-Sicherheitsanalyse: Wir untersuchen Hardware-Komponenten wie Mikrocontroller sorgfältig, um potenzielle Sicherheitslücken aufzudecken und empfehlen Maßnahmen, um Steuergeräte und Mikrocontroller vor Angriffen zu schützen.
  • Prozessorsicherheitsanalyse: Wir befassen uns mit der Prozessorsicherheit und führen detaillierte Analysen durch, um Schwachstellen zu identifizieren
  • Proof of Concept-Angriffe und Showcases: Wir entwickeln praktische Angriffsszenarien (Proof of Concepts), um potenzielle Schwachstellen auf greifbare Weise zu demonstrieren. Diese Vorführungen veranschaulichen nicht nur die spezifischen Schwachstellen, sondern liefern auch wertvolle Erkenntnisse darüber, wie Angreifer sie ausnutzen könnten
  • Maßgeschneiderter Umfang der Tests: Unsere Testpakete umfassen Reverse Engineering, Hardware-Sicherheitsbewertungen und Robustheitstests durch Fuzzing, um eine umfassende Abdeckung potenzieller Angriffsvektoren zu gewährleisten. Der konkrete Umfang wird jedoch immer in Zusammenarbeit mit dem Kunden im Vorfeld abgestimmt Der genaue Umfang wird jedoch immer im Voraus mit dem Kunden vereinbart.
  • Detaillierte Reports: Unsere Kunden erhalten detaillierte Berichte mit den Ergebnissen der Tests, Risikobewertungen und Vorschlägen für Gegenmaßnahmen sowie technische Skripte zur Reproduktion der Ergebnisse.
  • Kontinuierliche Sicherheitstests: Außerdem bieten wir, mit unserem vollautomatischem Testsystem dissecto HydraVision, eine kontinuierliche Sicherheitsüberwachung und detaillierte Schwachstellenberichte für integrierte Steuergeräte an.

Arbeitsergebnisse

Ergebnis 1: Zu Beginn des Projekts wird ein Testplan erstellt, der die einzelnen Schritte und Prozesse aufzeigt.

Ergebnis 2: Die dissecto GmbH liefert einen Ergebnisbericht mit folgendem Inhalt:

  • Management Summary, Zusammenfassung der Top-Risiken mit Angriffswegen und Anforderungen an zu ergreifende Maßnahmen.
  • Beschreibung des Geltungsbereichs und des Out-of-Scope-Bereichs
  • Eine Beschreibung des Testverfahrens
  • Eine Beschreibung des Testaufbaus (einschließlich Software- und Hardwareversionen aller beteiligten Komponenten)
  • Alle Feststellungen einschließlich konkreter Spuren, die das genannte Sicherheitsproblem darstellen, Klassifizierung der Feststellungen gemäß den angegebenen Risikometriken und vorgeschlagene Gegenmaßnahmen

Ergebnis 3: Mit Hilfe unseres vollautomatischen “Platform as a Service” (PaaS) Testsystems dissecto HydraVision erhält der Kunde fortlaufend detaillierte Berichte über Schwachstellen der integrierten Steuergeräte (kontinuierliches Re-Testing)

Ergebnis 4: Wenn technisch möglich, werden Skripte bereitgestellt, um die Ergebnisse zu reproduzieren.

Untersuchungsobjekt

Das Testobjekt ist ein Steuergerät mit den folgenden Voraussetzungen:

  • Die Komponente arbeitet in einem Systemnetzwerk mit anderen Komponenten. Falls ein Testaufbau erforderlich ist, wird dieser vom Kunden zur Verfügung gestellt.
  • Die Komponente verfügt über 1+ Bussystem (z.B. CAN, CAN-FD, 10/100/1000BASE-T1/100BASE-TX Ethernet)
  • Die Komponente verfügt über 1+ Mikrocontroller, die Debugging-Schnittstellen auf der Platine bieten (z.B. UART, JTAG)
  • Die Mikrocontroller können über hardwarebasierte Schutzmechanismen verfügen (z.B. JTAG-Lock, HSM)
  • Die Komponente verfügt über einen Diagnosestack, der zur Verarbeitung von Diagnosemeldungen und zur Programmierung des Steuergeräts (Flashen) verwendet werden kann. Ebenso werden Varianten über das UDS-Diagnoseprotokoll (Codierung) konfiguriert

Anforderungen

  • Der Kunde stellt alle erforderlichen Dokumente rechtzeitig zur Verfügung
  • Der Kunde stellt mindestens zwei Testaufbauten oder Steuergeräte zur Verfügung
  • Der Kunde benennt eine feste Kontaktperson, die während des Penetrationstests für Rückfragen zur Verfügung steht

Vorgehensweise

Penetration Test Package – Automotive Systems

fact sheet

Unser Penetrationstestpaket “Automotive Systems (Networks & Interfaces)” bietet umfassende Testdienstleistungen für Fahrzeugsteuergeräte. Durch Reverse Engineering, Hardware-Checks, Protokoll-Fuzzing und mehr identifizieren wir Schwachstellen und helfen bei der Verbesserung der Fahrzeugsicherheit.

Penetration Test Package – Hardware Security

fact sheet

Unser Penetrationstest-Paket “Hardware-Security” bietet umfassende Testdienste für Ihre Steuergeräte und Mikrocontroller. Wir erstellen detaillierte Testpläne, liefern umfassende Ergebnisberichte und verwenden spezielle Angriffsszenarien, um Sicherheitsschwachstellen aufzudecken und Schutzmaßnahmen zu empfehlen.

*Produktspezifikationen und -merkmale können ohne vorherige Ankündigung geändert werden, da wir uns ständig um die Verbesserung unserer Produkte bemühen.