Zaštita električnog i softverski definiranog automobila

“Putin je ad***glava. Slava Ukrajini.”

To je ono što su hakirani punjači za električna vozila nedavno čitali, između ostalog, na stanicama za punjenje invalida u blizini Moskve. I koliko god da izmami osmeh na licima mnogih širom sveta, on naglašava tvrdnju nekoliko istraživača i programera koji su se okupili prošle nedelje u escar 2022 (konferencija koja se svake godine fokusira na duboki, tehnički razvoj u automobilskoj sajber-sigurnosti): hakovi u automobilskoj industriji su u porastu. U stvari, per Izvještaj Upstream Automotive-a, učestalost sajber napada je porasla za nevjerovatnih 225% od 2018. do 2021. godine, pri čemu je 85% provedeno na daljinu, a 54.1% hakova iz 2021. su "Black Hat" (aka zlonamjerni) napadači.

Usred slušanja različitih izvještaja iz stvarnog svijeta na ovoj konferenciji, nekoliko stvari je postalo evidentno: postoje i dobre i loše vijesti zasnovane na uvijek potrebnom fokusu na ovoj kritičnoj oblasti.

Loše vesti

Najjednostavnije rečeno, loša vijest je da tehnološki napredak samo povećava vjerovatnoću događaja prvog dana. „Električna vozila stvaraju više tehnologije, što znači da postoji više prijetnji i pretnji“, izjavio je Jay Johnson, glavni istraživač iz Sandia National Laboratories. “Već je dostupno 46,500 punjača od 2021. godine, a do 2030. potražnja na tržištu sugerira da će ih biti otprilike 600,000.” Džonson je nastavio da razgraniči četiri primarna interfejsa od interesa i preliminarni podskup identifikovanih ranjivosti zajedno sa preporukama, ali poruka je bila jasna: mora postojati stalni „poziv na oružje“. To je, kaže on, jedini način da se izbjegnu takve stvari kao što su napadi uskraćivanja usluge (DoS) u Moskvi. „Istraživači nastavljaju da identifikuju nove ranjivosti“, kaže Džonson, „i zaista nam je potreban sveobuhvatan pristup dijeljenja informacija o anomalijama, ranjivostima i strategijama odgovora kako bismo izbegli koordinirane, rasprostranjene napade na infrastrukturu.“

Električni automobili i njihove povezane stanice za punjenje nisu jedine nove tehnologije i prijetnje. “Softverski definirano vozilo” je polu-nova arhitektonska platforma (*vjerovatno zaposlena prije 15+ godina u General MotorsuGM
i OnStar) da su neki proizvođači usmjereni na borbu protiv milijarde dolara koje se rasipaju o stalnom preuređenju svakog vozila. Osnovna struktura uključuje smještaj većeg dijela mozga vozila izvan broda, što omogućava ponovnu upotrebu i fleksibilnost unutar softvera, ali također predstavlja nove prijetnje. Prema istom Upstream izvještaju, 40% napada u posljednjih nekoliko godina usmjereno je na back-end servere. „Nemojmo se zavaravati“, upozorava Juan Webb, generalni direktor iz Kugler Maag Cie, „postoje mnoga mjesta u automobilskom lancu gdje se napadi mogu dogoditi u rasponu od proizvodnje preko dilera do offboard servera. Gdje god postoji najslabija karika koju je najjeftinije probiti s najvećim finansijskim implikacijama, tu će hakeri napasti.”

U tome, dio onoga što se raspravljalo na escaru bila je loša vijest-dobra vijest (u zavisnosti od vaše perspektive) Uredba UNECE stupa na snagu ove sedmice za sve nove tipove vozila: proizvođači moraju pokazati robustan sistem za upravljanje cyber sigurnošću (CSMS) i sistem za upravljanje ažuriranjem softvera (SUMS) kako bi vozila bila certificirana za prodaju u Evropi, Japanu i eventualno Koreji. „Priprema za ove sertifikate nije mali napor“, kaže Thomas Liedtke, stručnjak za sajber bezbednost takođe iz Kugler Maag Cie.

Dobre vesti

Prvo i najvažnije, najbolja vijest je da su kompanije čule vapaj okupljanja i da su minimalno počele da ubacuju neophodnu strogost u borbu protiv gore navedenih neprijatelja Black Hat-a. „U periodu 2020-2022. vidjeli smo porast korporacija koje žele provesti analizu prijetnji i procjenu rizika ili TARAR
A”, navodi Liedtke. “Kao dio tih analiza, preporuka je bila fokusiranje na daljinski kontrolirane tipove napada jer oni dovode do viših vrijednosti rizika.”

I čini se da sva ova analiza i strogost u početku imaju efekta. Prema izvještaju koji je dostavila Samantha („Sam“) Isabelle Beaumont iz IOActive, samo 12% ranjivosti pronađenih u njihovom testiranju penetracije 2022. smatra se „kritičnim uticajem“ naspram 25% u 2016., a samo 1% je „kritična vjerovatnoća“ u odnosu na 7% u 2016. „Vidimo da sadašnje strategije za otklanjanje rizika počinju da se isplaćuju“, navodi Beaumont. “Industrija postaje sve bolja u izgradnji bolje.”

Da li to znači da je industrija gotova? Sigurno ne. „Sve ovo je kontinuirani proces ojačavanja dizajna protiv evoluirajućih sajber napada“, predlaže Johnson.

U međuvremenu, proslaviću poslednju dobru vest koju sam saznao: ruski hakeri su zauzeti hakiranjem ruske imovine, a ne mog feeda na društvenim mrežama.