Mbrojtja e makinës elektrike dhe e përcaktuar me softuer

“Putini është ad***kreu. Lavdi Ukrainës.”

Kjo është ajo që karikuesit e hakuar të automjeteve elektrike lexojnë ndër të tjera në stacionet e karikimit me aftësi të kufizuara afër Moskës kohët e fundit. Dhe po aq sa sjell një buzëqeshje në fytyrat e shumë njerëzve anembanë botës, ajo nxjerr në pah një pikë të bërë nga disa studiues dhe zhvillues që u mblodhën javën e kaluar në escar 2022 (një konferencë që fokusohet në zhvillimet e thella teknike në sigurinë kibernetike të automobilave çdo vit): hakimet e automobilave janë në rritje. Në fakt, per Raporti i Upstream Automotive, frekuenca e sulmeve kibernetike është rritur me 225% nga viti 2018 në 2021 me 85% të kryera nga distanca dhe 54.1% e hakimeve të vitit 2021 janë sulmues "Black Hat" (aka keqdashës).

Në mes të dëgjimit të raporteve të ndryshme të botës reale në këtë konferencë, disa gjëra u bënë të dukshme: ka lajme të mira dhe të këqija bazuar në fokusin e kërkuar gjithnjë në këtë fushë kritike.

Bad News

Në termat më të thjeshtë, lajmi i keq është se përparimet teknologjike vetëm sa po i bëjnë më të mundshme gjasat e ngjarjeve të Ditës së Parë. "Mjetet elektrike po krijojnë më shumë teknologji, që do të thotë se ka më shumë kërcënime dhe sipërfaqe kërcënuese," tha Jay Johnson, një Hulumtues Kryesor nga Sandia National Laboratories. "Ka tashmë 46,500 karikues në dispozicion që nga viti 2021, dhe deri në vitin 2030 kërkesa e tregut sugjeron se do të jenë afërsisht 600,000." Johnson vazhdoi të përvijojë katër ndërfaqet kryesore të interesit dhe një nëngrup paraprak të dobësive të identifikuara së bashku me rekomandimet, por mesazhi ishte i qartë: duhet të ketë një "thirrje për armë" të vazhdueshme. Kjo, sugjeron ai, është mënyra e vetme për të shmangur gjëra të tilla si sulmet e Mohimit të Shërbimit (DoS) në Moskë. "Studiuesit vazhdojnë të identifikojnë dobësitë e reja," thotë Johnson, "dhe ne me të vërtetë kemi nevojë për një qasje gjithëpërfshirëse të shkëmbimit të informacionit në lidhje me anomalitë, dobësitë dhe strategjitë e reagimit për të shmangur sulmet e koordinuara dhe të përhapura në infrastrukturë."

Makinat elektrike dhe stacionet e tyre të karikimit nuk janë të vetmet teknologji dhe kërcënime të reja. "Automjeti i përcaktuar nga softueri" është një platformë gjysmë e re arkitekturore (* e përdorur ndoshta 15+ vjet më parë nga General MotorsGM
dhe OnStar) që disa prodhues janë drejtuar për të luftuar miliarda dollarë po shpërdorohen në rizhvillimin e vazhdueshëm të çdo automjeti. Struktura bazë përfshin pritjen e pjesës më të madhe të trurit të automjetit jashtë bordit, gjë që lejon ripërdorimin dhe fleksibilitetin brenda softuerit, por gjithashtu paraqet kërcënime të reja. Sipas të njëjtit raport Upstream, 40% e sulmeve gjatë viteve të fundit synonin serverët e fundit. "Le të mos e mashtrojmë veten," paralajmëron Juan Webb, një Drejtor Menaxhues nga Kugler Maag Cie, "ka shumë vende në të gjithë zinxhirin e automobilave ku mund të ndodhin sulme duke filluar nga prodhimi te shitësit e deri te serverët jashtë bordit. Kudo që ekziston lidhja më e dobët, ajo është më e lira për të depërtuar me implikimet më të mëdha financiare, këtu do të sulmojnë hakerët.”

Aty, një pjesë e asaj që u diskutua në Escar ishte lajmi i keq-lajm i mirë (në varësi të këndvështrimit tuaj) të Rregullorja e UNECE duke hyrë në fuqi këtë javë për të gjitha llojet e reja të automjeteve: prodhuesit duhet të tregojnë një Sistem të fuqishëm të Menaxhimit të Sigurisë Kibernetike (CSMS) dhe Sistemin e Menaxhimit të Përditësimit të Softuerit (SUMS) për automjetet që do të certifikohen për shitje në Evropë, Japoni dhe përfundimisht Kore. "Përgatitja për këto certifikime nuk është një përpjekje e vogël," thotë Thomas Liedtke, një specialist i sigurisë kibernetike gjithashtu nga Kugler Maag Cie.

Lajmi i mirë

Së pari dhe më e rëndësishmja, lajmi më i mirë është se kompanitë kanë dëgjuar thirrjen e tubimit dhe kanë filluar minimalisht të rrënjosin ashpërsinë e nevojshme për të luftuar armiqtë e sipërpërmendur Black Hat. “Në 2020-2022, ne kemi parë një rritje të korporatave që duan të kryejnë një analizë kërcënimi dhe vlerësim të rrezikut ose TARAR
A”, thotë Liedtke. "Si pjesë e këtyre analizave, rekomandimi ka qenë që të fokusohet në llojet e sulmeve të kontrolluara nga distanca pasi këto çojnë në vlera më të larta rreziku."

Dhe e gjithë kjo analizë dhe ashpërsi fillimisht duket se ka një efekt. Sipas një raporti të siguruar nga Samantha ("Sam") Isabelle Beaumont e IOActive, vetëm 12% e dobësive të gjetura në testimin e tyre të penetrimit të vitit 2022 u konsideruan "Ndikim kritik" kundrejt 25% në 2016, dhe vetëm 1% ishin "Gjasa kritike" kundrejt 7% në 2016. "Ne po shohim që strategjitë aktuale të korrigjimit të rrezikut kanë filluar të japin rezultat," thotë Beaumont. "Industria po bëhet më e mirë në ndërtimin më të mirë."

A do të thotë kjo se industria ka përfunduar? Sigurisht qe jo. “E gjithë kjo është një proces i vazhdueshëm i forcimit të modeleve kundër sulmeve kibernetike në zhvillim,” sugjeron Johnson.

Ndërkohë, unë do të festoj lajmin e fundit të mirë që kam mbledhur: hakerat rusë janë të zënë me hakerimin e aseteve ruse dhe jo me burimet e mia të mediave sociale.