Rsac: de verbonden auto, verbonden met problemen?

Telkens wanneer ik een firewall of beveiligingssuite test, vertrouw ik op het CORE Impact-penetratietool om te controleren hoe goed het bestand is tegen exploits. CORE Security is gespecialiseerd in kwetsbaarheidsbeheer en penetratietests, maar de belangen van het bedrijf zijn breder dan dat. Tijdens de RSA-conferentie informeerde Eric W. Cowperthwaite, vice-president, Advanced Security and Strategy mij over wat hun onderzoekers hebben geleerd over beveiliging in moderne 'connected cars'.

Evolutie van de Connected Car

"In de hele eerste generatie geautomatiseerde auto's stonden de computers op zichzelf", zegt Cowperthwaite. "Ook de tweede generatie. In de toekomst zal de moderne auto in wezen een mobiele WFi-hotspot, een mobiel apparaat, een datacenter zijn. Elk computer-gekoppeld systeem zal zijn als een app, verbinding maken met het netwerk, met elkaar praten. En de systeem zal via satelliet met de database van de maker praten."

"Als je denkt aan moderne militaire uitrusting, " vervolgde hij, "zeg maar een F16 of de nieuwe M1-tanks, zijn ze volledig geautomatiseerd. De bestuurder en zijn bedieningselementen zijn verbonden met de computer. Er is een computerkoppeling tussen elk onderdeel. De moderne auto gaat er zo uitzien."

Niet helemaal Rosy

"Natuurlijk zijn er problemen", zei Cowperthwaite. "Kijk wat er met Toyota is gebeurd. We weten niet dat het de computer was die spontane versnelling veroorzaakte, maar we kunnen het niet uitsluiten. Dat is wat er gebeurt als je niet alle mogelijke use-cases kunt testen."

Hij wees erop dat een bug of slechte software in een auto ernstige gevolgen kan hebben. Wat als het remt terwijl het niet zou moeten? Erger nog, wat als de slechteriken manieren vinden om geld te verdienen door auto's te hacken?

"Alle verbonden auto's hebben een soort satelliet-uplink nodig om Wi-Fi in de auto te leveren, " zei Cowperthwaite. "Het is misschien niet lucratief voor de slechteriken om een ​​individuele auto aan te vallen, maar wat als ze de auto gebruiken om stroomopwaarts te hacken, naar de maker? Of een parkeerplaats rondrijden om gegevens op te zuigen? De satelliet uplink geeft een aanval het potentieel om breek in de achterkant van de autofabrikant."

Fysieke aanval is ook mogelijk. "Stel dat het 2017 is", zei Cowperthwaite, "en Obama is niet langer president. Hij zal zelf rondrijden. Als een cybermisdadiger met wrok weet waar zijn auto zal zijn, kan hij in de problemen komen. Zoals hacks voor medische apparatuur, auto-hacks kunnen dodelijk zijn."

White Hat Hacking

Cowperthwaite kon niet alle details vrijgeven, maar hij verklaarde wel dat CORE Security penetratietests uitvoert voor ten minste een van de grote autotechnologiebedrijven. "Het is onze taak om hen te helpen vooraf te testen, " legde hij uit, "zodat ze geen zwakke systemen uitzetten. We maken ze zo resistent mogelijk. Voordat ze een systeem voor het publiek vrijgeven, laten ze het zien, denk als een aanvaller."

Zullen mensen echt proberen de volgende generatie auto's te hacken? Cowperthwaite is er vrij zeker van dat ze dat zullen doen. 'Waarom zouden ze? Veel redenen, ' zei hij. "Tien jaar geleden konden we ons niet voorstellen dat iemand zou inbreken in computersystemen, inloggegevens zou stelen en ze gewoon in het openbaar zou posten om te pronken. Maar dat doen ze."

"We hebben allemaal auto's, " concludeerde hij, "en het vervangingspercentage is ongeveer om de zeven en een half jaar. Tegen 2020 zullen vrijwel alle auto's verbonden zijn, behalve collector's items. Op het internet der dingen, de verbonden wereld, auto's zijn echt interessant. " Ik weet zeker dat hij gelijk heeft; Ik hoop absoluut dat testen door CORE Security en vergelijkbare outfits ervoor zorgt dat het besturen van een verbonden auto een veilige en positieve ervaring is.