Az OSI nem egy szabvány, az csak egy elméleti modell... nyilván csak úgy lehet fejlődni ha ezt mankóként használjuk, mint egy iránymutatást. Amúgy pedig azért elég jó dolgok valósultak meg TCP/IP-n, pont azért mert az OSI modellt elég rugalmasan lehetett kezelni.
És így van ahogy írod, mivel a CAN és hasonló buszok csak az alsó két layer-t fedik, nincs hová fejlődni tovább, magasabb szintű adatvédelmi megoldásokat beiktatva, a meglévő hardverek ennyit tudnak, nincs feljebb. És ez a baj, hogy igen A kulcs szenzortól kapott jelről az ECU dönti el, hogy az éppen nyitja-e az autót. Csak hogy azt az ECU nem tudja sose megkülönböztetni, hogy a beérkező jel az eredeti kulcstól érkezett vagy a kulcsot klónozó/imitáló ketyerétől, mert a kábelre "rábeszélt" jel pontosan ugyanúgy néz ki, tehát nem különböztető meg. Akármilyen förmver van az ECU-ban, ha a kulcs szenzora ugyanolyan jelet küld frissítés után is, akkor az új förmver is az ECU-ban ugyanúgy el fogja hinni hogy az érkező jel az valódi, mert a kulcsban, illetve a kulcs szenzorában nem változott semmi, az ugyanolyan jelet küld továbbra is, tehát a kamu jelet is ugyanúgy lehet tovább is használni a beindításhoz.
Hogy ez ne történhessen meg nem csak az ECU-t, hanem a kulcsot illetve a kulcs-olvasó szenzor förmverét is frissíteni kellene (valamiféle autentikációs algoritmussal), már ha egyáltalán van benne ilyesmi, és nem fix áramkörök csinálják az egészet (mert úgy olcsóbb és egyszerűbb a fejlesztés). És nem csak kulcsra, minden szenzorra ki kellene terjeszteni mindezt, mert be lehet csapni az ECU-t egyéb kamu adatokkal is, amik közvetetten vezethetnek egyéb problémákhoz.
Az a baj hogy ez egy róka fogta csuka mindig, mert akármeddig lehet tekeredni az ide-oda ugró kódokkal stb. míg csak két fél dönti el egymásról (kulcs vs. ECU) hogy megbízhatók egymással szemben, addig mindig lesz feltörés amivel vissza lehet élni, és el lehet érni azt, hogy bármi más klónketyere hiteles kulcsnak adja ki magát az ECU-nak. Erre mindig meglesz a "piaci" igény...
Egy harmadik fél beiktatása nélkül ez sose lesz 100%-osan biztonságos, kvázi olyasmire volna szükséges elvi szinten mint a 2 faktoros autentikáció.