Elektri- ja tarkvarapõhise auto kaitsmine

"Putin on ad***pea. Au Ukrainale."

Nii lugesid hiljuti Moskva lähistel puuetega laadimisjaamades muu hulgas häkitud elektrisõidukite laadijad. Ja nii palju kui see toob naeratuse paljude inimeste näole üle kogu maailma, tõstab see esile mitme teadlase ja arendaja mõtte, kes kogunesid eelmisel nädalal escar 2022 (konverents, mis keskendub igal aastal autode küberturvalisuse sügavatele tehnilistele arengutele): autotööstuse häkkimised on tõusuteel. Tegelikult per Upstream Automotive'i aruanne, on küberrünnakute sagedus aastatel 225–2018 suurenenud 2021% võrra, kusjuures 85% juhtudest viidi läbi kaugjuhtimisega ja 54.1% 2021. aasta häkkimistest on "Black Hat" (teise nimega pahatahtlikud) ründajad.

Sellel konverentsil erinevate reaalmaailma aruannete kuulamise ajal ilmnesid mõned asjad: on nii häid kui ka halbu uudiseid, mis põhinevad selles kriitilises valdkonnas alati nõutavale keskendumisele.

Bad News

Kõige lihtsamalt öeldes on halb uudis see, et tehnoloogiline areng muudab esimese päeva sündmuste tõenäosuse ainult tõenäolisemaks. "Elektrisõidukid loovad rohkem tehnoloogiat, mis tähendab, et ohte ja ohupindu on rohkem," ütles Sandia National Laboratories'i põhiuuring Jay Johnson. "46,500. aasta seisuga on saadaval juba 2021 2030 laadijat ja 600,000. aastaks eeldab turunõudlus umbes XNUMX XNUMX laadijat." Johnson kirjeldas nelja peamist huvipakkuvat liidest ja esialgset tuvastatud haavatavuste alamhulka koos soovitustega, kuid sõnum oli selge: peab toimuma pidev "relvakutse". Tema arvates on see ainus viis vältida selliseid asju nagu teenuse keelamise (DoS) rünnakud Moskvas. "Teadlased jätkavad uute haavatavuste tuvastamist," nendib Johnson, "ja meil on tõesti vaja kõikehõlmavat lähenemisviisi anomaaliate, haavatavuste ja reageerimisstrateegiate kohta teabe jagamiseks, et vältida kooskõlastatud ja laialt levinud rünnakuid infrastruktuuri vastu."

Elektriautod ja nendega seotud laadimisjaamad pole ainsad uued tehnoloogiad ja ohud. Tarkvaraga määratletud sõiduk on pooleldi uus arhitektuuriplatvorm (*General Motors kasutas seda väidetavalt 15+ aastat tagasiGM
ja OnStar), mida mõned tootjad kavatsevad võidelda miljardeid dollareid raisatud iga sõiduki pideval ümberehitamisel. Põhistruktuur hõlmab suure osa sõiduki ajude majutamist väljaspool parda, mis võimaldab tarkvara korduskasutamist ja paindlikkust, kuid kujutab endast ka uusi ohte. Sama ülesvoolu aruande kohaselt oli 40% viimaste aastate rünnakutest suunatud taustaserveritele. „Ärme lollita end,” hoiatab Kugler Maag Cie tegevdirektor Juan Webb, „autotööstuse ketis on palju kohti, kus võivad aset leida rünnakud alates tootmisest kuni edasimüüjateni ja lõpetades pardaväliste serveritega. Seal, kus on kõige nõrgem lüli, kuhu on kõige odavam tungida ja millel on suurimad rahalised tagajärjed, ründavad häkkerid.

Selles escaris arutati osa halvad uudised-head uudised (olenevalt teie vaatenurgast). UNECE määrus jõustub sel nädalal kõikidele uutele sõidukitüüpidele: tootjad peavad näitama tugevat küberturvalisuse haldussüsteemi (CSMS) ja tarkvaravärskenduste haldussüsteemi (SUMS), et sõidukid saaksid Euroopas, Jaapanis ja lõpuks Koreas müügiks sertifitseeritud. "Nende sertifikaatide saamiseks valmistumine ei ole väike pingutus," nendib Thomas Liedtke, samuti Kugler Maag Cie küberturvalisuse spetsialist.

Hea uudis

Eelkõige on parim uudis see, et ettevõtted on kuulnud rallihüüet ja on hakanud minimaalselt sisendama vajalikku rangust, et võidelda eelmainitud Black Hati vaenlastega. „Aastatel 2020-2022 oleme näinud ettevõtete arvu kasvu, kes soovivad läbi viia ohuanalüüsi ja riskianalüüsi ehk TAR-i.AR
A,” nendib Liedtke. "Nende analüüside osana on soovitatud keskenduda kaugjuhitavatele rünnakutüüpidele, kuna need toovad kaasa kõrgemad riskiväärtused."

Ja kogu sellel analüüsil ja rangusel näib esialgu olevat mõju. Samantha ("Sam") Isabelle Beaumont'i IOActive'i aruande kohaselt peeti ainult 12% 2022. aasta läbitungimistestide käigus leitud turvaaukudest "kriitiliseks mõjuks" võrreldes 25% 2016. aastal ja ainult 1% oli "kriitilise tõenäosusega" versus. 7. aastal 2016%. "Näeme, et praegused riskide maandamise strateegiad hakkavad vilja kandma," nendib Beaumont. "Tööstus läheb paremaks ehitamisel."

Kas see tähendab, et tööstus on valmis? Kindlasti mitte. "Kõik see on pidev protsess, mis tugevdab disainilahendusi arenevate küberrünnakute vastu," soovitab Johnson.

Vahepeal tähistan viimast head uudist, mille kogusin: Vene häkkerid häkkivad pigem Venemaa varadesse kui minu sotsiaalmeedia voogu.