Pasarela de seguridad para vehículos autónomos

Según investigaciones globales, la cuota de mercado de los vehículos sin conductor altamente automatizados está creciendo rápidamente. Los analistas estiman que los próximos 10 a 15 años marcarán un cambio importante de los proyectos piloto hacia la adopción masiva del transporte autónomo. El impulso está creciendo en todo el mundo: Europa ya ha desplegado más de 35 proyectos piloto de vehículos autónomos, mientras que EE. UU. y China registran más de 450 000 y 250 000 viajes comerciales por semana, respectivamente. Sin embargo, el informe señala varios obstáculos que ralentizan este progreso. Uno de esos obstáculos es la incertidumbre que rodea a la responsabilidad legal y la regulación, incluso en los ámbitos de la seguridad y la protección. La asignación de responsabilidades entre proveedores, fabricantes, clientes empresariales y usuarios finales sigue siendo un punto importante de debate.

Cada actor del mercado ve de manera diferente el problema de garantizar la seguridad de los vehículos autónomos. Para los fabricantes de automóviles, significa asumir la responsabilidad de cómo se comporta un vehículo en la carretera y de examinar a sus proveedores. Para los propios proveedores, significa diseñar los mecanismos de seguridad directamente en la arquitectura de su solución desde el primer día y garantizar su adecuación. Para las compañías de seguros, significa una revisión completa de sus modelos de riesgo para tener en cuenta no solo los accidentes, sino también los posibles fallos de software y los ciberataques. En última instancia, todo el mundo está de acuerdo en un punto fundamental: la seguridad debe ser una característica fundamental del vehículo, no un complemento opcional.

Garantizar la seguridad de los vehículos en la era moderna

Durante años, los debates sobre la seguridad del automóvil se centraron estrictamente en la seguridad funcional. En otras palabras, el objetivo era garantizar que los sistemas del vehículo funcionaran correctamente y que los riesgos asociados con posibles fallos se mitigaran por completo o se redujeran a un nivel aceptable. La norma ISO 26262 “Vehículos de carretera – Seguridad funcional” ayuda a abordar este mismo desafío y sirve como base para el sector de la automoción.

Sin embargo, el vehículo conectado moderno es un sistema ciberfísico complejo que almacena y procesa cantidades masivas de datos, incluida información confidencial. Y esto conlleva la aparición de nuevas necesidades básicas. Para establecer una analogía con dos niveles de la jerarquía de necesidades de Maslow, un vehículo moderno debe:

• Satisfacer la necesidad de “estima”, lo que significa que debe almacenar de forma segura y fiable los datos del perfil del usuario, como las credenciales de la cuenta, los datos biométricos, los detalles de pago y más.
• Satisfacer las necesidades cognitivas del usuario, lo que significa que debe proporcionar una conectividad segura a Internet, transmitir la telemetría del vehículo y enviar recordatorios para el mantenimiento programado o de emergencia.

Todo esto significa equipar los vehículos con una amplia variedad de interfaces (telemática, Bluetooth, Wi-Fi, conectividad móvil, actualizaciones OTA y V2X), lo que abre la puerta a ataques remotos. Por lo tanto, se vuelve necesario garantizar no solo la seguridad funcional, sino también la seguridad de la información del vehículo. Como resultado, en la mayoría de los países han surgido estándares del sector especializados que ayudan a abordar los desafíos de la ciberseguridad en la automoción. Las normas internacionales clave son la ISO/SAE 21434 “Vehículos de carretera – Ingeniería de la ciberseguridad”, la UNECE R155 y la UNECE R156.

Las regulaciones de China también están evolucionando. En 2024, el país publicó la norma nacional GB 44495-2024 “Requisitos técnicos para la ciberseguridad de los vehículos”, que entró en vigor el 1 de enero de 2026. El documento introduce requisitos de ciberseguridad obligatorios para los vehículos, incluida la protección de las comunicaciones, la gestión de eventos de seguridad, la supervisión de amenazas y la interacción segura del vehículo con la infraestructura externa.

Comprender y aplicar estos estándares se está volviendo absolutamente crítico. Las investigaciones muestran que los riesgos de ciberseguridad aumentan a diario y su impacto en la seguridad funcional a veces puede provocar incidentes mucho más peligrosos que un fallo interno del sistema. ¿Qué pasa si un atacante obtiene acceso al sistema de control remoto de un camión autónomo o logra reprogramar una unidad de control electrónico crítica durante una sesión de diagnóstico no autorizada?

Uno de los componentes clave para mitigar estos escenarios es una pasarela de seguridad, que aísla la arquitectura del vehículo en diferentes dominios según su nivel de riesgo, al tiempo que proporciona un enrutamiento, filtrado y control de tráfico seguros. El desarrollo de este tipo de solución de software es precisamente en lo que se centra nuestro equipo mientras creamos Kaspersky Automotive Secure Gateway basándonos en KasperskyOS.

¿Por qué Kaspersky Automotive Secure Gateway?

El objetivo principal de Kaspersky Automotive Secure Gateway (KASG) es proteger el dominio CAN del vehículo, ya que el bus CAN se utiliza para transmitir una gran cantidad de comandos de control críticos. Esto afecta a casi el 80 % de las unidades de control electrónico dentro del automóvil, que se encargan de la gestión del motor, el frenado, la electrónica de la carrocería y más. Debido a esto, utilizamos el enfoque de ciberseguridad consciente de la seguridad, una arquitectura unificada que tiene en cuenta tanto la seguridad funcional como los requisitos de ciberseguridad.

Por ejemplo, los mecanismos estándar de extremo a extremo (E2E) se utilizan normalmente para mitigar los riesgos asociados con mensajes CAN perdidos, fuera de orden o dañados. Sin embargo, estos mecanismos no se diseñaron originalmente para contrarrestar ciberataques dirigidos. Si un atacante logra construir un marco malicioso que se ajuste al formato E2E requerido, el sistema puede aceptarlo como válido.

Esto introduce un nuevo factor: es fundamental no solo verificar que un mensaje se entregó sin errores, sino también asegurarse de que realmente fue generado por una unidad de control electrónico (ECU) fiable y que no se modificó en tránsito. Esto es especialmente vital para transmitir comandos de control, como los que se envían al sistema de frenado del vehículo, o para implementar sistemas de acceso sin llave (NFC).

Para hacer frente a ese desafío, los mecanismos de comunicación a bordo segura (SecOC) se integran en la arquitectura del vehículo. Utilizan métodos criptográficos para verificar la autenticidad e integridad de los mensajes, protegiendo el sistema contra la suplantación de mensajes y los ataques de reproducción. KASG implementa con éxito estos mecanismos que, además de la verificación de mensajes, realizan la función crucial de gestión centralizada de claves. Esto permite que las claves de cifrado se distribuyan y actualicen desde un único punto dentro del vehículo, reduciendo tanto el coste como la carga de procesamiento en las ECU implicadas en el intercambio de datos respaldado por SecOC.

IDS de automoción

Sin embargo, en sistemas complejos, ya no es suficiente aplicar mecanismos de seguridad solo a mensajes individuales o a segmentos de red separados. Es esencial proporcionar supervisión y control a nivel de todo el vehículo, seguimiento de anomalías de comportamiento, interacciones inusuales entre dominios e intentos de manipulación no autorizados. En el ámbito de las tecnologías de la información, esto se conoce como sistema de detección de intrusiones (IDS). Estos sistemas también han sido adoptados con éxito por el sector del automóvil.

Al mismo tiempo, es importante darse cuenta de que, para un vehículo moderno, un IDS no es un único punto mágico de recopilación y análisis de datos; el vehículo requiere un sistema de supervisión distribuido. La supervisión se lleva a cabo a varios niveles de arquitectura: dentro de los dominios, a nivel de controlador individual y en los límites de la red.

La pasarela de seguridad se convierte en un punto de supervisión crítico porque toda la interacción entre dominios pasa a través de ella. Además, la pasarela proporciona visibilidad sobre el intercambio de datos en diferentes segmentos de la red del vehículo. Su trabajo es detectar desviaciones del comportamiento normal y generar eventos de seguridad.

Cuando se trata de la supervisión del dominio CAN implementada en KASG, el IDS tiene en cuenta los siguientes criterios para el análisis del tráfico:

• Alineación de los parámetros de los mensajes CAN (CAN ID, DLC) con sus descripciones en la especificación DBC.
• Frecuencia y periodicidad de los mensajes CAN.
• Rangos permitidos para las señales CAN.

Sin embargo, en la práctica, queda clara una limitación importante: incluso con un IDS integrado, es necesario más contexto para determinar las características exactas de un ataque. Además, cuando se operan vehículos altamente automatizados, donde la supervisión de toda la flota es esencial, este análisis aislado se vuelve intrínsecamente insuficiente.

Conectar un vehículo a un SIEM

La supervisión de varios objetos, la correlación de datos y el análisis de datos se pueden gestionar de forma externa de manera eficiente, específicamente en los sistemas SIEM (gestión de eventos e información de seguridad), que se utilizan tradicionalmente en los centros de operaciones de ciberseguridad corporativos e industriales. Por lo tanto, utilizar un sistema SIEM en toda la flota es un paso lógico que permite hacer lo siguiente:

• Recopilar eventos de seguridad de varios vehículos.
• Correlacionar eventos a lo largo del tiempo y en distintos contextos.
• Detecta ataques avanzados y distribuidos.
• Proporcionar auditoría e investigación de incidentes.
• Responder a incidentes individuales y gestionar los ciberriesgos en toda la flota.

Al integrarse con sistemas SIEM externos, se deben abordar varias tareas críticas: garantizar una conexión segura, ajustar el proceso de transmisión de eventos de seguridad y establecer reglas de referencia para el procesamiento y la correlación de eventos. Estamos trabajando activamente para superar todos estos desafíos utilizando nuestro propio sistema SIEM — Kaspersky SIEM — como modelo.

Aún quedan muchos problemas que resolver. Este artículo ha cubierto solo una fracción de los enfoques utilizados actualmente en KASG para garantizar la protección y la seguridad de los vehículos. Aun así, incluso esta pequeña parte demuestra que la seguridad del automóvil no se puede lograr resolviendo un solo problema o aplicando un único mecanismo. Lograrlo requiere un enfoque que permita el desarrollo metódico de la arquitectura, que equilibre los diversos requisitos de funcionalidad, seguridad y fiabilidad del vehículo.