Ochrana elektrického a softwarově definovaného vozu

"Putin je hlava reklamy." Sláva Ukrajině."

To je to, co nedávno četly hacknuté nabíječky elektrických vozidel mimo jiné na deaktivovaných nabíjecích stanicích poblíž Moskvy. A jakkoli to vyvolává úsměv na tvářích mnoha lidí na celém světě, zdůrazňuje to myšlenku několika výzkumníků a vývojářů, kteří se minulý týden shromáždili escar 2022 (konference, která se každý rok zaměřuje na hluboký technický vývoj v automobilové kybernetické bezpečnosti): automobilové hacky jsou na vzestupu. Ve skutečnosti per Zpráva Upstream AutomotiveČetnost kybernetických útoků se od roku 225 do roku 2018 zvýšila o neuvěřitelných 2021 %, přičemž 85 % bylo prováděno vzdáleně a 54.1 % hacků v roce 2021 byli útočníci typu „Black Hat“ (neboli zákeřní).

Uprostřed poslouchání různých zpráv z reálného světa na této konferenci se ukázalo několik věcí: existují dobré i špatné zprávy založené na neustále požadovaném zaměření na tuto kritickou oblast.

Špatné zprávy

Zjednodušeně řečeno, špatná zpráva je, že technologický pokrok jen zvyšuje pravděpodobnost událostí prvního dne. „Elektrická vozidla vytvářejí více technologií, což znamená, že existuje více hrozeb a hrozeb,“ uvedl Jay Johnson, hlavní výzkumný pracovník ze Sandia National Laboratories. "Od roku 46,500 je již k dispozici 2021 2030 nabíječek a do roku 600,000 poptávka na trhu naznačuje, že jich bude přibližně XNUMX XNUMX." Johnson dále vymezil čtyři primární zájmová rozhraní a předběžnou podmnožinu identifikovaných zranitelností spolu s doporučeními, ale poselství bylo jasné: musí existovat pokračující „volání do zbraně“. To je podle něj jediný způsob, jak se vyhnout takovým věcem, jako jsou útoky Denial of Service (DoS) v Moskvě. „Výzkumníci pokračují v odhalování nových zranitelností,“ říká Johnson, „a my skutečně potřebujeme komplexní přístup ke sdílení informací o anomáliích, zranitelnostech a strategiích reakce, abychom se vyhnuli koordinovaným, rozsáhlým útokům na infrastrukturu.“

Elektromobily a s nimi spojené dobíjecí stanice nejsou jedinými novými technologiemi a hrozbami. „Softwarově definované vozidlo“ je zčásti nová architektonická platforma (*pravděpodobně používaná před 15+ lety u General MotorsGM
a OnStar), že někteří výrobci směřují k boji proti vyhazují se miliardy dolarů na neustálém přestavbě každého vozidla. Základní struktura zahrnuje hostování velké části mozků vozidla mimo palubu, což umožňuje opětovné použití a flexibilitu v rámci softwaru, ale také představuje nové hrozby. Podle stejné zprávy Upstream se 40 % útoků za posledních několik let zaměřovalo na back-end servery. „Nenechme se zmást,“ varuje Juan Webb, výkonný ředitel z Kugler Maag Cie, „v celém automobilovém řetězci je mnoho míst, kde může dojít k útokům, od výroby přes dealerství až po offboard servery. Všude tam, kde existuje nejslabší článek, který je nejlevnější proniknout s největšími finančními dopady, tam hackeři zaútočí.“

Část toho, o čem se diskutovalo na escaru, byly špatné-dobré-zprávy (v závislosti na vašem úhlu pohledu) předpis EHK OSN tento týden vstoupí v platnost pro všechny nové typy vozidel: výrobci musí pro vozidla, která mají být certifikována pro prodej v Evropě, Japonsku a případně v Koreji, předvést robustní systém řízení kybernetické bezpečnosti (CSMS) a systém řízení aktualizací softwaru (SUMS). „Příprava na tyto certifikace není malá námaha,“ říká Thomas Liedtke, specialista na kybernetickou bezpečnost rovněž z Kugler Maag Cie.

Dobré zprávy

V první řadě je nejlepší zprávou, že společnosti vyslyšely protestní křik a minimálně začaly vštěpovat nezbytnou přísnost k boji s výše zmíněnými nepřáteli Black Hat. „V letech 2020–2022 jsme zaznamenali nárůst korporací, které chtějí provádět analýzu hrozeb a hodnocení rizik neboli TARAR
A,“ uvádí Liedtke. "V rámci těchto analýz bylo doporučeno zaměřit se na dálkově ovládané typy útoků, protože ty vedou k vyšším rizikovým hodnotám."

A zdá se, že všechny tyto analýzy a přísnost mají zpočátku účinek. Podle zprávy poskytnuté Samanthou (“Sam”) Isabelle Beaumont z IOActive bylo pouze 12 % zranitelností zjištěných v jejich penetračních testech v roce 2022 považováno za „kritický dopad“ oproti 25 % v roce 2016 a pouze 1 % bylo „kritická pravděpodobnost“ oproti 7 % v roce 2016. „Vidíme, jak se současné strategie nápravy rizik začínají vyplácet,“ říká Beaumont. "Průmysl se zlepšuje v lepším budování."

Znamená to, že průmysl je hotový? Rozhodně ne. „To vše je nepřetržitý proces posilování návrhů proti vyvíjejícím se kybernetickým útokům,“ navrhuje Johnson.

Mezitím oslavím poslední dobrou zprávu, kterou jsem posbíral: ruští hackeři jsou zaneprázdněni hackováním ruských aktiv spíše než mé sociální sítě.