Protejarea mașinii electrice și definite de software

„Putin este cap de nădejde. Glorie Ucrainei."

Acesta este ceea ce au citit recent încărcătoarele de vehicule electrice piratate, printre altele, la stațiile de încărcare pentru persoane cu handicap din apropierea Moscovei. Și, pe cât de mult aduce un zâmbet pe fețele multora din întreaga lume, evidențiază un punct susținut de mai mulți cercetători și dezvoltatori care s-au reunit săptămâna trecută la escar 2022 (o conferință care se concentrează pe dezvoltările tehnice profunde în domeniul securității cibernetice auto în fiecare an): hackurile auto sunt în creștere. De fapt, per Raportul Upstream Automotive, frecvența atacurilor cibernetice a crescut cu 225% din 2018 până în 2021, 85% fiind efectuate de la distanță și 54.1% din hack-urile din 2021 fiind atacatori „Black Hat” (alias rău-intenționat).

În mijlocul ascultării diverselor rapoarte din lumea reală la această conferință, câteva lucruri au devenit evidente: există atât vești bune, cât și vești proaste bazate pe concentrarea mereu solicitată în acest domeniu critic.

Bad News

În termenii săi cei mai simpli, vestea proastă este că progresele tehnologice nu fac decât să crească probabilitatea evenimentelor din prima zi. „Vehiculele electrice creează mai multă tehnologie, ceea ce înseamnă că există mai multe amenințări și suprafețe de amenințare”, a declarat Jay Johnson, principal de cercetare de la Sandia National Laboratories. „Există deja 46,500 de încărcătoare disponibile începând cu 2021, iar până în 2030 cererea de pe piață sugerează că vor fi aproximativ 600,000.” Johnson a continuat să delimiteze cele patru interfețe principale de interes și un subset preliminar de vulnerabilități identificate, împreună cu recomandări, dar mesajul a fost clar: trebuie să existe un „chemare la arme” în curs de desfășurare. Acesta, sugerează el, este singura modalitate de a evita lucruri precum atacurile Denial of Service (DoS) de la Moscova. „Cercetătorii continuă să identifice noi vulnerabilități”, afirmă Johnson, „și avem într-adevăr nevoie de o abordare cuprinzătoare de schimb de informații despre anomalii, vulnerabilități și strategii de răspuns pentru a evita atacurile coordonate și răspândite asupra infrastructurii”.

Mașinile electrice și stațiile de încărcare asociate acestora nu sunt singurele tehnologii și amenințări noi. „Vehiculul definit de software” este o platformă arhitecturală seminouă (*folosită acum peste 15 ani de General MotorsGM
și OnStar) că unii producători se îndreaptă să combată miliarde de dolari fiind irosite la reamenajarea continuă a fiecărui vehicul. Structura de bază presupune găzduirea unei mari părți a creierului vehiculului în afara bordului, ceea ce permite reutilizarea și flexibilitatea în cadrul software-ului, dar prezintă și noi amenințări. Conform aceluiași raport Upstream, 40% dintre atacurile din ultimii ani au vizat servere back-end. „Să nu ne păcălim”, avertizează Juan Webb, un director general de la Kugler Maag Cie, „există multe locuri de-a lungul lanțului de automobile unde pot avea loc atacuri, de la producție la dealeri până la servere offboard. Oriunde există cea mai slabă verigă care este cel mai ieftin de pătruns cu cele mai mari implicații financiare, acolo vor ataca hackerii.”

Acolo, o parte din ceea ce s-a discutat la escar a fost veștile proaste-vești bune (în funcție de perspectiva dvs.) ale regulamentul UNECE intră în vigoare săptămâna aceasta pentru toate tipurile de vehicule noi: producătorii trebuie să prezinte un sistem robust de management al securității cibernetice (CSMS) și un sistem de gestionare a actualizărilor software (SUMS) pentru ca vehiculele să fie certificate pentru vânzare în Europa, Japonia și, eventual, Coreea. „Pregătirea pentru aceste certificări nu este un efort mic”, afirmă Thomas Liedtke, specialist în securitate cibernetică și de la Kugler Maag Cie.

Veștile bune

În primul rând, cea mai bună veste este că companiile au auzit strigătul de raliu și au început minim să insufle rigoarea necesară pentru a combate dușmanii Black Hat menționați mai sus. „În 2020-2022, am observat o creștere a corporațiilor care doresc să efectueze o analiză a amenințărilor și o evaluare a riscurilor sau TARAR
A”, afirmă Liedtke. „Ca parte a acestor analize, recomandarea a fost să se concentreze asupra tipurilor de atac controlate de la distanță, deoarece acestea conduc la valori mai mari de risc.”

Și toată această analiză și rigoare pare inițial să aibă un efect. Conform unui raport furnizat de Samantha ("Sam") Isabelle Beaumont de la IOActive, doar 12% dintre vulnerabilitățile găsite în testarea lor de penetrare din 2022 au fost considerate „impact critic” față de 25% în 2016 și doar 1% au fost „probabilitate critică” față de 7% în 2016. „Vedem că strategiile actuale de remediere a riscurilor încep să dea roade”, afirmă Beaumont. „Industria devine din ce în ce mai bună pentru a construi mai bine.”

Asta înseamnă că industria este terminată? Cu siguranta nu. „Toate acestea sunt un proces continuu de întărire a design-urilor împotriva atacurilor cibernetice în evoluție”, sugerează Johnson.

Între timp, voi sărbători ultima veste bună pe care am primit-o: hackerii ruși sunt ocupați să pirateze activele rusești, mai degrabă decât feedul meu de socializare.