Zaščita električnega in programsko določenega avtomobila

»Putin je ad *** glava. Slava Ukrajini."

To so nedavno med drugim brali vdrti polnilci za električna vozila na polnilnicah za invalide v bližini Moskve. In čeprav privabi nasmeh na obraze mnogih po svetu, poudarja točko več raziskovalcev in razvijalcev, ki so se prejšnji teden zbrali na eskar 2022 (konferenca, ki se vsako leto osredotoča na globok tehnični razvoj avtomobilske kibernetske varnosti): avtomobilski vdori so v porastu. Pravzaprav per Poročilo podjetja Upstream Automotive, se je pogostost kibernetskih napadov od leta 225 do 2018 povečala za neverjetnih 2021 %, pri čemer je bilo 85 % izvedenih na daljavo, 54.1 % vdorov v letu 2021 pa so bili napadalci »Black Hat« (aka zlonamerni).

Sredi poslušanja različnih poročil iz resničnega sveta na tej konferenci se je pokazalo nekaj stvari: obstajajo tako dobre kot slabe novice, ki temeljijo na vedno potrebni osredotočenosti na to kritično področje.

Slabe novice

Najpreprosteje rečeno, slaba novica je, da tehnološki napredek le povečuje verjetnost dogodkov prvega dne. "Električna vozila ustvarjajo več tehnologije, kar pomeni, da je več groženj in površin," je dejal Jay Johnson, glavni raziskovalec iz Sandia National Laboratories. "Od leta 46,500 je na voljo že 2021 polnilnikov, do leta 2030 pa povpraševanje na trgu kaže, da jih bo približno 600,000." Johnson je v nadaljevanju začrtal štiri primarne vmesnike, ki jih zanimajo, in predhodno podskupino ugotovljenih ranljivosti skupaj s priporočili, vendar je bilo sporočilo jasno: mora obstajati stalen »klic k orožju«. Po njegovem mnenju je to edini način, da se izognemo takim stvarem, kot so napadi za zavrnitev storitve (DoS) v Moskvi. "Raziskovalci še naprej odkrivajo nove ranljivosti," pravi Johnson, "in res potrebujemo celovit pristop k izmenjavi informacij o anomalijah, ranljivostih in odzivnih strategijah, da se izognemo usklajenim, razširjenim napadom na infrastrukturo."

Električni avtomobili in z njimi povezane polnilne postaje niso edine nove tehnologije in grožnje. "Programsko definirano vozilo" je napol nova arhitekturna platforma (*verjetno jo je pred 15+ leti uporabljal General MotorsGM
in OnStar), da so nekateri proizvajalci usmerjeni v boj proti zapravljajo milijarde dolarjev o nenehnem obnavljanju vsakega vozila. Osnovna struktura vključuje gostovanje velikega dela možganov vozila zunaj krova, kar omogoča ponovno uporabo in prilagodljivost v programski opremi, hkrati pa predstavlja tudi nove grožnje. Po istem poročilu Upstream je 40 % napadov v zadnjih nekaj letih ciljalo na zaledne strežnike. »Ne zavajajmo se,« opozarja Juan Webb, generalni direktor podjetja Kugler Maag Cie, »po vsej avtomobilski verigi je veliko krajev, kjer se lahko zgodijo napadi, od proizvodnje do prodajnih mest do strežnikov zunaj krova. Kjerkoli obstaja najšibkejši člen, ki je najcenejši za prodor z največjimi finančnimi posledicami, bodo hekerji napadli tam."

Del tega, o čemer so razpravljali na escarju, je bila slaba novica-dobra novica (odvisno od vaše perspektive) Uredba UNECE začne veljati ta teden za vse nove tipe vozil: proizvajalci morajo pokazati robusten sistem za upravljanje kibernetske varnosti (CSMS) in sistem za upravljanje posodobitev programske opreme (SUMS), da bodo vozila certificirana za prodajo v Evropi, na Japonskem in sčasoma v Koreji. "Priprava na te certifikate ni majhen napor," pravi Thomas Liedtke, specialist za kibernetsko varnost tudi iz Kugler Maag Cie.

Dobre novice

V prvi vrsti je najboljša novica, da so podjetja slišala krik zbiranja in so minimalno začela vnašati potrebno strogost za boj proti prej omenjenim sovražnikom Black Hat. »V letih 2020–2022 smo opazili porast podjetij, ki želijo izvesti analizo nevarnosti in oceno tveganja ali TARAR
A,« pravi Liedtke. "V okviru teh analiz je bilo priporočilo, da se osredotočimo na daljinsko nadzorovane vrste napadov, saj ti vodijo do višjih vrednosti tveganja."

Na začetku se zdi, da imata vsa ta analiza in strogost učinek. Po poročilu, ki ga je predložila Samantha (»Sam«) Isabelle Beaumont iz IOActive, je bilo le 12 % ranljivosti, ugotovljenih v njihovem penetracijskem testiranju leta 2022, ocenjenih kot »kritični vpliv« v primerjavi s 25 % v letu 2016, in le 1 % je bilo »kritična verjetnost« v primerjavi z 7 % v letu 2016. »Vidimo, da se sedanje strategije za odpravo tveganja začenjajo izplačevati,« pravi Beaumont. "Industrija postaja vse boljša pri boljši gradnji."

Ali to pomeni, da je industrija končana? Zagotovo ne. "Vse to je stalen proces utrjevanja načrtov pred razvijajočimi se kibernetskimi napadi," predlaga Johnson.

Medtem bom proslavil zadnjo dobro novico, ki sem jo zbral: ruski hekerji so zaposleni z vdiranjem ruskih sredstev in ne v moj vir družbenih medijev.