Beskyttelse af den elektriske og softwaredefinerede bil

"Putin er reklamehoved. Ære til Ukraine."

Det er, hvad hackede elbilopladere blandt andet læste på handicapladede ladestationer nær Moskva for nylig. Og lige så meget som det bringer et smil frem hos mange rundt om i verden, fremhæver det en pointe fra flere forskere og udviklere, der samledes i sidste uge kl. Escar 2022 (en konference, der fokuserer på dyb, teknisk udvikling inden for cybersikkerhed i biler hvert år): hacks til bilindustrien er stigende. Faktisk pr Upstream Automotives rapport, er hyppigheden af ​​cyberangreb steget med hele 225 % fra 2018 til 2021, hvor 85 % er udført eksternt, og 54.1 % af 2021-hackene er "Black Hat" (også kaldet ondsindede) angribere.

Midt i at lytte til forskellige rapporter fra den virkelige verden på denne konference, blev et par ting tydelige: Der er både gode nyheder og dårlige nyheder baseret på det altid krævede fokus på dette kritiske område.

De dårlige nyheder

I sine meget enkle vendinger er den dårlige nyhed, at teknologiske fremskridt kun gør sandsynligheden for Day One-begivenheder mere sandsynlig. "Elektriske køretøjer skaber mere teknologi, hvilket betyder, at der er flere trusler og trusselsoverflader," sagde Jay Johnson, en Principal Research fra Sandia National Laboratories. "Der er allerede 46,500 opladere tilgængelige fra 2021, og i 2030 antyder markedsefterspørgslen, at der vil være cirka 600,000." Johnson fortsatte med at afgrænse de fire primære grænseflader af interesse og en foreløbig undergruppe af identificerede sårbarheder sammen med anbefalinger, men budskabet var klart: der skal være et løbende "kald til våben." Det, foreslår han, er den eneste måde at undgå sådanne ting som Denial of Service (DoS)-angrebene i Moskva. "Forskere fortsætter med at identificere nye sårbarheder," siger Johnson, "og vi har virkelig brug for en omfattende tilgang til at dele information om uregelmæssigheder, sårbarheder og reaktionsstrategier for at undgå koordinerede, udbredte angreb på infrastruktur."

Elbiler og deres tilhørende ladestandere er ikke de eneste nye teknologier og trusler. Det "softwaredefinerede køretøj" er en semi-ny arkitektonisk platform (*formentlig ansat for 15+ år siden af ​​General MotorsGM
og OnStar), at nogle producenter er på vej til at bekæmpe milliarder af dollars bliver spildt på løbende at ombygge hvert køretøj. Den grundlæggende struktur involverer hosting af meget af køretøjets hjerner udenfor, hvilket giver mulighed for genbrug og fleksibilitet i softwaren, men også præsenterer nye trusler. Ifølge den samme Upstream-rapport var 40 % af angrebene i de sidste par år rettet mod back-end-servere. "Lad os ikke narre os selv," advarer Juan Webb, en administrerende direktør fra Kugler Maag Cie, "der er mange steder i bilkæden, hvor der kan ske angreb lige fra fremstilling til forhandlere til offboard-servere. Uanset hvor det svageste led findes, der er det billigste at trænge igennem med de største økonomiske konsekvenser, det er der, hackerne vil angribe.”

Heri var en del af det, der blev diskuteret på escar, de dårlige-nyheder-gode-nyheder (afhængigt af dit perspektiv) af UNECE-regulativ træder i kraft i denne uge for alle nye køretøjstyper: fabrikanter skal vise et robust Cybersecurity Management System (CSMS) og Software Update Management System (SUMS) for køretøjer, der skal certificeres til salg i Europa, Japan og i sidste ende Korea. "At forberede sig til disse certificeringer er ingen lille indsats," siger Thomas Liedtke, en cybersikkerhedsspecialist også fra Kugler Maag Cie.

De gode nyheder

Først og fremmest er den bedste nyhed, at virksomhederne har hørt opråbet og minimalt er begyndt at indgyde den nødvendige stringens for at bekæmpe de førnævnte Black Hat-fjender. "I 2020-2022 har vi set en stigning i virksomheder, der ønsker at udføre en trusselsanalyse og risikovurdering eller TARAR
A,” fastslår Liedtke. "Som en del af disse analyser har anbefalingen været at fokusere på fjernstyrede angrebstyper, da disse fører til højere risikoværdier."

Og al denne analyse og stringens ser i første omgang ud til at have en effekt. Ifølge en rapport leveret af Samantha ("Sam") Isabelle Beaumont fra IOActive blev kun 12 % af sårbarhederne fundet i deres 2022-penetrationstest anset for "Kritical Impact" mod 25% i 2016, og kun 1% var "Critical Likelihood" versus 7 % i 2016. "Vi ser de nuværende risikoafhjælpningsstrategier begynde at betale sig," siger Beaumont. "Branchen bliver bedre til at bygge bedre."

Betyder det, at industrien er færdig? Bestemt ikke. "Alt dette er en kontinuerlig proces med at hærde designene mod udviklende cyberangreb," foreslår Johnson.

I mellemtiden vil jeg fejre den sidste gode nyhed, jeg fik: de russiske hackere har travlt med at hacke russiske aktiver frem for mit feed på sociale medier.