Hackerii auto ceos: construiți mașini sigure!

Un grup de cercetători de securitate hotărâți să facă din lumea fizică un loc mai sigur, au cerut producătorilor de automobile să construiască mașini concepute să reziste atacurilor cibernetice.

Grupul, cu monikerul „Eu sunt cavaleria”, a lansat o scrisoare deschisă către „CEO-urile automobilistice” prin Reuters, a postat o copie pe site-ul său web și a lansat o petiție change.org, pentru a solicita directorilor din industria automobilelor să își pună în aplicare cele cinci Programul Star Cyber ​​Safety. Pilonii programului includ siguranța prin proiectare, colaborarea cu terți, captarea probelor, actualizări de securitate și segmentarea și izolarea.

„Lumea odată distinctă a automobilelor și a securității cibernetice s-au ciocnit”, citește scrisoarea. "Acum este momentul ca industria auto și comunitatea de securitate să se conecteze și să colaboreze."

Calculatoarele gestionează motoarele, frânele, navigația, aerul condiționat, ștergătoarele de parbriz, sistemele de divertisment și alte componente critice și necritice din mașinile moderne. Nu există nicio dispută cu privire la faptul că acestea trebuie blocate pentru a preveni alterarea sau interzicerea neautorizată. Oricine a văzut videoclipul anul trecut al cercetătorilor Charlie Miller și Chris Valasek, trântindu-se maniacal pe fundal, în timp ce preiau controlul mașinii condusă de scriitorul Forbes, Andy Greenberg, va fi de acord că, dacă un adversar ar fi motivat suficient, persoana respectivă ar putea provoca grave, fizice, dăunătoare șoferilor și potențial pasagerilor. Miller și Valasek au fost la Black Hat în acest an, demonstrând mai multe hacks-uri auto, iar DEF CON a organizat în acest an mai multe sesiuni de hacking electronice de consum, dispozitive medicale, sisteme de control al traficului și Internet of Things.

Vehiculele sunt „calculatoare pe roți”, Josh Corman, CTO al Sonatype și co-fondator al grupului. Scrisoarea deschisă a grupului este concepută pentru a face aceste computere mai sigure.

Programul Cinci Stele

Siguranța prin proiectare înseamnă că producătorii auto ar trebui să proiecteze și să construiască funcții de automatizare, având în vedere securitatea. Producătorii auto ar trebui, de asemenea, să impulsioneze un program de dezvoltare software sigur în cadrul companiilor lor pentru a încuraja mai bune practici de codare și design.

Colaborarea terților solicită producătorilor de automobile să stabilească un program formal de dezvăluire a vulnerabilității, să declare clar care sunt politicile sale și cu cine să contacteze. Producătorii auto trebuie să fie dispuși să lucreze cu cercetătorii pentru a identifica defectele. Nu există nicio modalitate în care producătorii de automobile să poată găsi și să remedieze erori singuri - motiv pentru care este esențială o colaborare sănătoasă cu cercetătorii. Există mai puține șanse ca lucrurile să nu fie ratate.

"Tesla devine deja o stea", a spus Corman, menționând că producătorul de mașini elecotrnic a instituit recent o astfel de politică.

Captarea dovezilor dorește să adauge o „cutie neagră” la mașini, la fel ca ceea ce există deja în avioane. Când avioanele se prăbușesc, anchetatorii pot analiza cutia neagră și pot înțelege ce se întâmplă în avion, inclusiv conversațiile, viteza avionului, starea diferitelor sisteme și o mulțime de alte informații tehnice. Atunci când ceva nu merge bine într-o mașină, în majoritatea cazurilor, nu există informații disponibile. Corman este dificil să înveți din accidente și să lucrezi la îmbunătățirea produsului.

Actualizările de securitate înseamnă că problemele găsite sunt rezolvate în timp util la mașinile individuale. Nu mi-aș dori să mi se spună la șase luni după cumpărarea unei mașini de care aveam nevoie pentru a cumpăra versiunile mai noi pentru a profita de corecții. Un mecanism de actualizare a securității asigură remedierea eficientă a vulnerabilităților.

Segmentarea și izolarea solicită producătorilor de automobile să mențină sisteme critice - cum ar fi frânele și direcția - separate de restul rețelelor auto, cum ar fi sistemul de divertisment. „Cu segmentarea și izolarea, vrem să ne asigurăm că conțineți defecțiuni, astfel încât un hack la sistemul de divertisment nu dezactivează niciodată frânele”, a spus Corman. El a menționat că există deja diferențe semnificative între diferiți producători de mașini. Unii sunt mai buni la segmentare decât alții, dar mai rămân multe de făcut.

Nu ne putem permite să așteptăm

Grupul își propune să aducă cercetătorii de securitate împreună cu reprezentanți din domenii care nu sunt de securitate, cum ar fi automatizarea caselor și electronice de consum, dispozitive medicale, transport și infrastructură critică, pentru a îmbunătăți securitatea. Scopul este să începem să lucrăm împreună pentru a implementa garanții de securitate, deoarece „nu așteptăm să se întâmple lucruri rele”, a spus Corman. Timpul de a începe este acum, astfel încât în ​​câțiva ani, aceste eforturi ar arăta de fapt rezultate, a spus el. „Știm că asta va dura ceva”, a spus el.

"Nu facem asta pentru cercetătorii în domeniul securității", a spus Corman. „Facem asta pentru vecinii noștri, pentru oricine conduce o mașină”.