Sichere Bilder

Viele der neuen Anwendungsfällen für Embedded Vision Systeme müssen vor Sicherheitsbedrohungen geschützt werden. In sicherheitskritischen Automobilsystemen z.B. müssen die Bildsysteme im Zusammenhang mit Fahrassistenzsystemen und autonomem Fahren vor Risiken wie dem Einbau minderwertiger oder nicht zugelassener Bildsystemkomponenten, der böswilligen Manipulation von Bilddaten und der Verletzung der Privatsphäre der Insassen geschützt werden. Ähnlich verhält es sich in Fertigungsstraßen, in denen Industrieroboter Vision-systeme für die Qualitätskontrolle und die automatisierte Logistik einsetzen.

Designanforderungen für sichere Embedded Vision Systeme

Um die aufgezeigten Risiken zu verringern und praktische sowie kostengünstige Systementwürfe zu ermöglichen, sollten bei der Entwicklung von sicheren Embedded Imaging Systemen die folgenden Designanforderungen berücksichtigt werden:

• Ende-zu-Ende-Datenschutz: Bilddaten müssen von der Datenquelle in jedem Bildsensor bis zur Datensenke in der entsprechenden ECU des Sensors integritätsgeschützt sein. Dies begünstigt die Sicherung auf der Anwendungsschicht (im Gegensatz zur Sicherheit auf der Multi-Hop-Verbindungsschicht), die eine durchgängige Datenintegrität unabhängig vom zugrunde liegenden Kommunikationsnetz ermöglicht.
• Komponentenauthentifizierung: Komponenten innerhalb des Bildverarbeitungssystems müssen vertrauenswürdig sein, was die Fähigkeit (durch das Steuergerät) erfordert, Bildsensoren und die wichtigsten Kommunikationsnetzwerkkomponenten, die zur Verbindung der Sensoren verwendet werden (z.B. SerDes-Brücken), zu authentifizieren.
• Datenverschlüsselung: Besteht die Gefahr der Datenexfiltration bzw. des Datendiebstahls aus dem Bildverarbeitungssystem, sollte eine Ende-zu-Ende-Datenverschlüsselung angewendet werden, auch hier wieder zwischen der Datenquelle innerhalb jedes Bildsensors und der Datensenke innerhalb der entsprechenden ECU des Sensors.
• Sichere Befehls- & Steuerungsschnittstellen: Die Befehls- und Steuerungsschnittstellen von Sensoren müssen gesichert werden, um Risiken durch falsch konfigurierte Sensoren zu minimieren.
• Standardisierte Systeme: Bewährte, von der Industrie geprüfte Sicherheitsprotokolle und -standards müssen in automobilen Bildgebungssystemen zum Einsatz kommen.
• Minimaler Daten- und Energieaufwand: Bildsensoren erzeugen große Datenmengen und sind hitzeempfindlich. Es ist von entscheidender Bedeutung, dass die Sicherheit mit einem minimalen Daten-Overhead arbeitet, um die Bandbreite des Bordnetzes nicht zu überschreiten, und dass strenge Vorgaben für den Stromverbrauch und die Wärmeabgabe des Bildsensors eingehalten werden. Zur Optimierung des Systemdesigns sollten quellenselektive Sicherheitstechniken eingesetzt werden, wie z.B. die Verwendung eines partiellen Datenintegritätsschutzes, bei dem das Schutzniveau je nach Kritikalität der in jedem Bild gesendeten Daten variiert wird.
• Netzwerkunabhängige Sicherheit: Um die Komplexität des Designs von Bildsensor-Kommunikationsnetzwerken zu minimieren, ist es notwendig, Kameras in verschiedenen Netzwerktopologien zu verbinden, z.B. in einer Daisy-Chain- oder Baumstruktur. Dies erfordert von der Netzwerktechnologie unabhängige Sicherheitsmaßnahmen, die auf der Anwendungsebene implementiert werden und unabhängig von der Technologie und den Komponenten des Kommunikationsnetzes (SerDes-Brücken, Weiterleitungselemente usw.) sind.

Camera Security Framework

MIPI Camera Serial Interface 2 (MIPI CSI-2) ist die gängige Kamera-Schnittstelle für Embedded-Imaging-Anwendungen. Um den Sicherheitsanforderungen und Designüberlegungen innerhalb von Embedded Vision Systemen mit CSI-2 gerecht zu werden, hat die MIPI Alliance ein neues Camera Security Framework entwickelt. Das Framework, das auf anerkannten und branchenüblichen Sicherheitsprotokollen basiert, ermöglicht die Authentifizierung von Bildsensoren und Netzwerkkomponenten, den Integritätsschutz und die optionale Verschlüsselung von Bilddaten sowie den Schutz der Befehls- und Steuerungsschnittstellen von Sensoren. Das Framework sorgt für quellenselektive, anwendungsbasierte End-to-End-Sicherheit innerhalb von Bildsensoranwendungen und umfasst vier Spezifikationen:

• MIPI Camera Service Extensions (MIPI CSE) v2.0 enthält Sicherheitsfunktionen, die den Schutz der Datenintegrität und die optionale Verschlüsselung von CSI-2-Daten ermöglichen. Dies ist eine Ergänzung zu den funktionalen Sicherheitsdiensten, die in CSE v1.0 bereitgestellt werden.
• MIPI Camera Security v1.0 definiert das System-Sicherheitsmanagement von MIPI CSE und MIPI CCISE unter Verwendung der SPDM (Security Protocol and Data Model)-Architektur der DMTF (Distributed Management Task Force) zur Authentifizierung und zum Aufbau sicherer Übertragungen zwischen Bildverarbeitungssystem-Komponenten.
• MIPI Camera Security Profiles v1.0 definiert eine Reihe von gemeinsamen Sicherheitsprofilen, mit denen Interoperabilität ermöglicht wird, einschließlich der Festlegung von SPDM-Authentifizierungsmechanismen.
• MIPI Command and Control Interface Service Extensions (MIPI CCISE) v1.0 definiert Sicherheitsdienste, die den Schutz der Datenintegrität und die optionale Verschlüsselung der MIPI Command and Control (CCI) Schnittstelle auf der Basis von I2C ermöglichen. Diese Spezifikation befindet sich derzeit in der Entwicklung und soll Anfang 2025 fertiggestellt werden.

Das Framework kann überall dort eingesetzt werden, wo das CSI-2-Imaging-Protokoll verwendet wird, und ist unabhängig von der zugrunde liegenden Übertragungsschicht. Es bietet ein hohes Maß an Flexibilität, um das erforderliche Sicherheitsniveau mit der Verarbeitungseffizienz, der Wärmeregulierung und dem Stromverbrauch in Einklang zu bringen. Folgende Framework-Funktionen ermöglichen dies:

• Wahl der Cyphersuites: Die Optionen umfassen eine Effizienz-Chiffre, die nur AES-CMAC-Datenintegrität (keine Verschlüsselung) bietet und für Sensoren mit begrenzten Hardwareressourcen gedacht ist, sowie eine Leistungs-Chiffre, die AES-GMAC-Datenintegrität und optional AES-CTR-Verschlüsselung bietet und für Sensoren mit spezieller Hardwareunterstützung gedacht ist.
• Unterschiedliche Tag-Modi: Mehrere Optionen für Sicherheits-Tag-Modi ermöglichen es dem Implementierer zu wählen, wie oft das Sicherheits-Tag berechnet und übertragen wird.
• Granulare Sicherheitsfunktionen: Diese Kontrollelemente bieten eine hochgranulare, quellenselektive Kontrolle über die verschiedenen Segmente des CSI-2-Bildrahmens, um eine gleitende Skalierung von Sicherheitsstufen zu ermöglichen.
• Funktionale Sicherheit & Security: Wenn sowohl Sicherheits- als auch funktionale Sicherheitsdienst-Erweiterungen aktiviert sind, wird die Sicherheit sozusagen über die funktionale Sicherheit geschichtet – aus Sicht der Quelle (oder des Senders) wird die Sicherheit zuerst auf die Bilddaten angewendet, gefolgt von der Anwendung der funktionalen Sicherheit.