Nonostante i grandi progressi normativi (UN ECE 155 e ISO 21434), gli standard di sicurezza devono ancora essere completamente resi obbligatori per industria dell’auto connessa. C’è un urgente bisogno di più robusti controlli di sicurezza che prevengono le violazioni dei dati in tutto l’intero ecosistema di auto connesse, in tempo reale, per identificare e contrastare le minacce. Le normative specifiche del settore obbligheranno gli OEM a dimostrare la responsabilità che i loro consumatori già si aspettano da loro.
Nei nostri business, nelle nostre case e nelle nostre mani (dispositivi mobili), conserviamo e trasportiamo informazioni che migliorano la nostra vita, e allo stesso modo attirano anche l’attenzione indesiderata di hacker. Raramente passa una settimana senza che i nostri mezzi di informazione richiamino l’attenzione sull’ultima violazione delle informazioni.
I dati delle auto connesse fanno gola ai criminali informatici
Man mano che i veicoli diventano più connessi, replicano le reti e i dati dei computer che utilizziamo giornalmente. Le auto connesse ora immagazzinano, consumano e comunicano molte quantità di dati. Quindi, gli stessi fattori che attraggono gli aggressori informatici sui nostri laptop e le reti aziendali diventano calamite per le nostre auto. Ecco alcuni esempi:
• Le flotte di auto connesse richiedono un cloud OEM per monitoraggio e gestione su collegamenti di comunicazione wireless/cellulari.
• Nuovi e potenti sensori, ad esempio videocamere anteriori e posteriori, RADAR e LIDAR, generano un notevole traffico dati.
• Le auto connesse interagiscono con altri veicoli (comunicazione V2V), con infrastrutture stradali e reti intelligenti (V2I/V2X, ITS), Mobile Internet Service Provider e, nel caso di flotte organizzate, con sistemi telematici. Queste reti di comunicazione supportano carichi di comunicazione molto grandi stimati a decine di petabyte all’anno
• Man mano che gli OEM aggiornano il firmware e il software, devono eseguire aggiornamenti delle immaginivia etere (FOTA/SOTA) per raggiungere le proprie auto sulle strade.
Tutti questi esempi (e ce ne sono molti altri), rendono i computer dell’auto interessanti per gli hacker.
Si potrebbe concludere che soluzioni informatiche da adottare per veicoli connessi siano le stesse dei sistemi informatici. Questa conclusione sarebbe gravemente errata. Il pericolo dalle violazioni della sicurezza automobilistica va ben oltre il “semplice” furto di oggetti personali o dati aziendali; si riflette nella stessa sicurezza dei passeggeri e dei veicoli circostanti. Motivo per cui ogni vulnerabilità rilevata in un’app mobile, un backend server telematico o computer di bordo di un’auto potrebbe avere conseguenze disastrose.
Le vulnerabilità delle flotte di veicoli risiedono nella sua architettura, che include backend OTA e server telematici nel datacenter, app mobili, connettività di bordo ed elettronica di bordo (unità di controllo (ECU).
Come avviene un cyber attacco a un’auto connessa
Se gli hacker ottengono l’accesso alla rete telematica privata e impersonificano il server di “comando e controllo” tramite uno delle superfici di attacco del veicolo (ad es. Wi-Fi, Bluetooth o SIM, ecc.), potrebbero potenzialmente raggiungere più veicoli, iniettare comandi remoti contro i veicoli e tagliare la loro comunicazione server di backend.
Attualmente, i sistemi informatici per autoveicoli di solito non utilizzano le ultime funzionalità di sicurezza presenti in architetture altamente sicure utilizzate in altri settori. Esempi includono, hardening contro le intrusioni fisiche, secure boot, l’archiviazione di immagini software, chiavi di crittografia e altri strumenti crittografici, firma elettronica e verifica del pacchetti software operativi e altro ancora.
Gli standard di sicurezza devono ancora essere completamente resi obbligatori per industria dell’auto connessa
A quanto già menzionato si può aggiungere che nonostante i grandi progressi normativi (UN ECE 155 e ISO 21434), gli standard di sicurezza devono ancora essere completamente resi obbligatori per industria dell’auto connessa. C’è un urgente bisogno di più robusti controlli di sicurezza che prevengono le violazioni dei dati in tutto l’intero ecosistema di auto connesse, in tempo reale, per identificare e contrastare le minacce. Le normative specifiche del settore obbligheranno gli OEM a dimostrare la responsabilità che i loro consumatori già si aspettano da loro.
Conclusione
Il cambiamento del panorama tecnologico ha dato origine a piattaforme innovative per auto connesse e nuovi servizi che consentono agli utenti delle auto connesse (sia aziendale e sia private) di sperimentare le ultime novità in ambito di mobilità smart. Tuttavia, nessuna di queste tecnologie può essere adeguatamente utilizzata senza una soluzione di sicurezza completa, che fornisca visibilità in tutti i possibili punti di ingresso, consentendo misure proattive
in tempo reale.
L’evento a Milano il 29 settembre
Gli scenari di minaccia e le conformità regolamentari saranno argomenti affrontati alla prima edizione di Automotive Security promossa da ASRG e Politecnico di Milano il prossimo 29 settembre dalle ore 14 alle ore 17.30 presso aula Rogers del Politecnico di Milano.
L’autore dell’articolo è Andrea Tomassi, President & Founder ASRG Italy Chapter
