- Implementácia medzinárodných noriem, ako sú ISO/SAE 21434 a nariadenie OSN 155, na štandardizáciu ochrany vozidiel.
- Zmiernenie zraniteľností v elektronických riadiacich jednotkách (ECU) a sieti CAN prostredníctvom segmentácie a šifrovania.
- Potreba prístupu „bezpečnosť už od návrhu“, ktorý pokrýva celý životný cyklus vozidla.
Pri pohľade späť boli autá v podstate mechanické stroje so štyrmi kolesami a motorom. Dnes sa však veci radikálne zmenili a máme skutočné počítače na kolesách . Tento vývoj smerom k úplnej konektivite s inteligentnou navigáciou, cloudovými službami a asistentmi riadenia nám výrazne uľahčuje život, ale zároveň otvára nebezpečné zadné vrátka pre hackerov.
Realita je taká, že napadnúť môže každé zariadenie pripojené k internetu a autá nie sú výnimkou. Nehovoríme len o tom, že niekto zo žartu zmení rozhlasovú stanicu, ale o kritických bezpečnostných rizikách , ktoré by mohli ovplyvniť ovládanie riadenia alebo brzdenie. Preto sa priemysel usilovne snaží, aby sa digitálna bezpečnosť stala rovnakou prioritou, akou boli kedysi bezpečnostné pásy alebo airbagy.
Mapa zraniteľností: Odkiaľ pochádzajú útoky?
Aby sme pochopili, ako môže byť vozidlo ohrozené, musíme sa pozrieť pod digitálnu kapotu. Väčšina moderných áut používa sieť nazývanú CAN zbernica , čo je kanál, cez ktorý komunikujú rôzne komponenty. Problém je v tom, že tento protokol, hoci je veľmi efektívny, často postráda robustné bezpečnostné opatrenia, čo umožňuje útočníkovi, ktorý získa fyzický alebo vzdialený prístup, odosielať falošné správy, aby oklamal auto.
Ďalším slabým bodom sú elektronické riadiace jednotky (ECU) . Tieto malé procesory riadia všetko od klimatizácie až po autonómne núdzové brzdenie. Ak ECU infotainmentu nie je správne chránená pred rušením, hacker by sa mohol dostať z obrazovky auta do systému riadenia. Už sme videli príklady z reálneho sveta, ako napríklad neslávne známy hackerský útok na Jeep Cherokee, kde sa diaľkové ovládanie životne dôležitých funkcií úspešne prevzalo počas jazdy vozidla.
Nemôžeme zabudnúť ani na externé vektory útokov. Mobilné aplikácie, ktoré umožňujú odomknúť auto, bezdrôtové aktualizácie (OTA) a backendové servery výrobcov, sú všetko atraktívnymi cieľmi. Chyba v autentifikačnom rozhraní API by mohla umožniť tretej strane prístup k polohe vozidla alebo dokonca deaktivovať alarmy bez zanechania stopy, podobne ako riziká a útoky na zariadenia internetu vecí.
Kľúčové normy: ISO/SAE 21434 a nariadenie 155
Aby sa v tomto chaose nastolil poriadok, vznikli medzinárodné normy. Norma ISO/SAE 21434 je referenčnou normou, ktorá stanovuje, ako by mali byť vozidlá navrhnuté tak, aby boli kyberneticky bezpečné. Jej cieľom je integrovať bezpečnosť do celého životného cyklu produktu, od počiatočnej skice na papieri až po konečnú likvidáciu vozidla. Túto normu dopĺňa norma ISO 26262, ktorá zabezpečuje, že funkčná bezpečnosť a kybernetická bezpečnosť idú ruka v ruke.
Na druhej strane máme nariadenie OSN č. 155 , ktoré sa z odporúčania stalo právnou povinnosťou. Toto nariadenie vyžaduje od výrobcov, aby zaviedli systém riadenia kybernetickej bezpečnosti (CSMS). V podstate musia značky preukázať svoju schopnosť neustále identifikovať a zmierňovať hrozby , vykonávať pravidelné audity a zabezpečiť, aby ich vozidlá mohli na diaľku prijímať bezpečnostné záplaty na opravu zraniteľností bez toho, aby majiteľ musel navštíviť servis.
Obranné stratégie a koncept „poistenia už od návrhu“
Priemysel si uvedomil, že opravovanie problému je zbytočné; riešením je zabezpečenie už v štádiu návrhu . To zahŕňa vykonávanie analýzy hrozieb a hodnotenia rizík (TARA) s cieľom predpovedať potenciálne problémy a navrhnúť architektúru vozidla tak, aby sa im predišlo. Jedným z najúčinnejších opatrení je segmentácia siete , ktorá spočíva vo vytvorení digitálnych bariér, takže audiosystém nemá priame spojenie s riadiacou jednotkou motora (ECU).
- Šifrovanie údajov: Všetky informácie prenášané medzi autom a cloudom musia byť šifrované, aby sa zabránilo ich zachyteniu.
- Systémy detekcie narušenia (IDS): Softvér schopný detekovať nezvyčajné správanie vo vnútornej sieti vozidla a okamžite ho zablokovať.
- Kryptografické podpisovanie firmvéru: Zabezpečte aktualizácie z firmvér auta byť autentické a neboli manipulované treťou stranou.
- Statická analýza kódu: Pred inštaláciou softvéru do auta skontrolujte každý riadok kódu, či neobsahuje chyby.
Okrem toho je úloha používateľa kľúčová. Bez ohľadu na to, ako veľmi výrobca chráni auto, ak vodič nainštaluje neoficiálne aplikácie alebo pripojí USB kľúče pochybného pôvodu, otvára dvere nebezpečenstvu. Udržiavanie aktualizovaného softvéru a používanie silných hesiel pre účty prepojené s vozidlom sú jednoduché kroky, ktoré majú veľký význam.
Priemyselná výzva a nedostatok špecializovaných talentov
Implementácia všetkých týchto krokov nie je jednoduchá. Vyžaduje si to masívne finančné investície a predovšetkým kvalifikovaný personál. Existuje znepokojujúci nedostatok inžinierov, ktorí ovládajú automobilovú mechaniku aj pokročilú kybernetickú bezpečnosť. Spoločnosti musia teraz vytvárať bezpečnostné operačné centrá (SOC) určené výhradne na monitorovanie vozových parkov v reálnom čase a reakciu na incidenty.
Dodávateľský reťazec je tiež kritickým bodom. Auto má komponenty od desiatok rôznych dodávateľov; ak výrobca inteligentných svetlometov zanechá vo svojom kóde zraniteľnosť , táto slabina môže slúžiť ako mostík k útoku na zvyšok vozidla. Preto sú teraz všetci dodávatelia povinní dodržiavať rovnaké prísne bezpečnostné štandardy.
Prechod na softvérovo definované vozidlá (SDV) a autonómne riadenie exponenciálne zvýši plochu pre útoky. Bezpečnosť už nemôže byť doplnkom, ale skôr základom, na ktorom je postavená digitálna a udržateľná mobilita , kde sú integrita údajov a súkromie používateľov absolútnou prioritou, aby sa predišlo katastrofickým nehodám alebo rozsiahlym únikom údajov.
