Διαχρονικά, η μεγαλύτερη ανησυχία ενός οδηγού ήταν μήπως κάποιος παραβιάσει το αυτοκίνητό του και καταφέρει να το κλέψει. Σήμερα, το σημείο εισόδου ενός «διαρρήκτη» δεν είναι κάποια πόρτα, αλλά ο κώδικας του λογισμικού.
Με δεδομένο ότι, το σύγχρονο αυτοκίνητο έχει εξελιχθεί σε έναν υπολογιστή με ρόδες, συνδεδεμένο μόνιμα στο διαδίκτυο, στο cloud του κατασκευαστή, στο smartphone του οδηγού και σε δεκάδες ψηφιακές υπηρεσίες, αποτελεί πλέον πιθανό στόχο κυβερνοεπιθέσεων.
Για πρώτη φορά στην ιστορία της αυτοκίνησης, εταιρείες όπως η Mercedes-Benz, η BMW, η Volvo, η Volkswagen, η Hyundai και η Tesla, επενδύουν τεράστια ποσά και σε ειδικούς κυβερνοασφάλειας.
Για την ακρίβεια, η αυτοκινητοβιομηχανία βρίσκεται μπροστά σε μια νέα πρόκληση, καθώς δεν αρκεί πλέον να προστατεύει τους επιβάτες σε θέματα ενεργητικής ή παθητικής ασφάλειας, αλλά να παρέχει προστασία και στα δεδομένα τους, άρα και στα ίδια τα συστήματα που ελέγχουν το όχημα.
Η ψηφιακή εποχή των αυτοκινήτων είναι εδώ
Ένα σύγχρονο αυτοκίνητο διαθέτει περισσότερες από 100 ηλεκτρονικές μονάδες ελέγχου (ECUs), εκατοντάδες εκατομμύρια γραμμές κώδικα και διαρκή σύνδεση με εξωτερικά δίκτυα. Οι ενημερώσεις λογισμικού πραγματοποιούνται εξ αποστάσεως (Over-the-Air), οι εφαρμογές επικοινωνούν με το αυτοκίνητο μέσω smartphone, ενώ πολλές λειτουργίες βασίζονται σε cloud υπηρεσίες.
Αυτό σημαίνει ότι κάθε νέα ψηφιακή δυνατότητα δημιουργεί και ένα πιθανό «σημείο εισόδου» για έναν χάκερ.
Ωστόσο, η κυβερνοασφάλεια στην αυτοκίνηση δεν αφορά μόνο την προστασία προσωπικών δεδομένων, αφορά και την ίδια την ασφάλεια του οχήματος.
Τι ζημιά μπορεί να κάνει ένας χάκερ;
Η εικόνα ενός χάκερ που παίρνει τον έλεγχο ενός αυτοκινήτου από χιλιόμετρα μακριά, ίσως θυμίζει κινηματογραφικό σενάριο, ωστόσο αρκετές ερευνητικές ομάδες έχουν αποδείξει ότι, υπό συγκεκριμένες προϋποθέσεις, κάτι τέτοιο είναι τεχνικά εφικτό.
Οι πιθανές επιθέσεις περιλαμβάνουν:
- υποκλοπή προσωπικών δεδομένων και στοιχείων τοποθεσίας
- πρόσβαση σε λογαριασμούς χρηστών μέσω εφαρμογών
- απενεργοποίηση ή κλείδωμα του οχήματος
- παρεμβολή σε συστήματα infotainment
- εγκατάσταση κακόβουλου λογισμικού μέσω μη ασφαλών ενημερώσεων
Στις περισσότερες περιπτώσεις, οι κατασκευαστές εντοπίζουν και διορθώνουν έγκαιρα τα κενά ασφαλείας πριν αξιοποιηθούν σε πραγματικές επιθέσεις. Ωστόσο, η πολυπλοκότητα των οχημάτων αυξάνει συνεχώς και μαζί της μεγαλώνει και το ενδεχόμενο πιθανής επίθεσης.
Το αυτοκίνητο ως μέρος ενός οικοσυστήματος
Ένα όχημα πλέον συνδέεται με έξυπνα σπίτια, εφαρμογές πληρωμών, σταθμούς φόρτισης, ψηφιακά πορτοφόλια, εταιρικούς στόλους και υπηρεσίες πλοήγησης.
Αυτό σημαίνει ότι μια αδυναμία σε μία εφαρμογή τρίτου κατασκευαστή ή σε μια υπηρεσία cloud, μπορεί να δημιουργήσει κινδύνους που δεν σχετίζονται άμεσα με το ίδιο το αυτοκίνητο.
Εν ολίγοις, η κυβερνοασφάλεια αφορά πλέον ολόκληρη την αλυσίδα των ψηφιακών υπηρεσιών και όχι μόνο τον κατασκευαστή του οχήματος.
Οι κατασκευαστές αλλάζουν φιλοσοφία
Για πρώτη φορά στην ιστορία της αυτοκίνησης, εταιρείες όπως η Mercedes-Benz, η BMW, η Volvo, η Volkswagen, η Hyundai και η Tesla, επενδύουν τεράστια ποσά και σε ειδικούς κυβερνοασφάλειας.
Παράλληλα, δημιουργούνται ειδικά κέντρα ασφάλειας, τα οποία παρακολουθούν συνεχώς τους στόλους συνδεδεμένων οχημάτων για ύποπτη δραστηριότητα, ενώ εφαρμόζονται συστήματα ανίχνευσης εισβολών, κρυπτογράφηση επικοινωνιών και ασφαλείς διαδικασίες πιστοποίησης λογισμικού.
Οι τακτικές ενημερώσεις λογισμικού μέσω OTA (Over-the-Air) αποτελούν πλέον βασικό εργαλείο άμυνας, οπότε ένα αυτοκίνητο μπορεί να λαμβάνει συνεχώς διορθώσεις ασφαλείας, όπως συμβαίνει σε ένα smartphone, ακόμη και μετά την αγορά του.
Οι νέοι διεθνείς κανονισμοί
Η κυβερνοασφάλεια έχει ήδη μετατραπεί σε υποχρεωτική απαίτηση για τα νέα αυτοκίνητα.
Ο κανονισμός UNECE R155 απαιτεί από τους κατασκευαστές να διαθέτουν ολοκληρωμένο Σύστημα Διαχείρισης Κυβερνοασφάλειας (Cyber Security Management System), ενώ ο συμπληρωματικός UNECE R156 θεσπίζει διαδικασίες ασφαλούς διαχείρισης των ενημερώσεων λογισμικού.
Χωρίς συμμόρφωση με αυτά τα πρότυπα, ένα νέο μοντέλο δεν μπορεί να λάβει έγκριση τύπου σε πολλές αγορές, μεταξύ των οποίων και η Ευρωπαϊκή Ένωση.
Ο ρόλος του οδηγού
Παρά το γεγονός ότι, μεγάλο μέρος της ευθύνης ανήκει στους κατασκευαστές, και ο ίδιος ο οδηγός μπορεί να μειώσει σημαντικά τον κίνδυνο.
Η εγκατάσταση όλων των διαθέσιμων ενημερώσεων, η χρήση ισχυρών κωδικών στις εφαρμογές του οχήματος, η ενεργοποίηση του ελέγχου ταυτότητας δύο παραγόντων όπου είναι εφικτό, καθώς και η αποφυγή εγκατάστασης ανεπίσημων εφαρμογών, αποτελούν βασικές πρακτικές ψηφιακής προστασίας.
Το επόμενο μεγάλο στοίχημα
Η έλευση της αυτόνομης οδήγησης και της επικοινωνίας Vehicle-to-Everything (V2X), όπου τα αυτοκίνητα θα ανταλλάσσουν δεδομένα μεταξύ τους, καθώς και με τις υποδομές των πόλεων, θα αυξήσει ακόμη περισσότερο τη σημασία της κυβερνοασφάλειας.
Στο μέλλον, η προστασία ενός αυτοκινήτου θα εξαρτάται και από την ποιότητα του λογισμικού του, την ασφάλεια των δικτύων και την ικανότητα των κατασκευαστών να αντιμετωπίζουν απειλές που εξελίσσονται καθημερινά.
Στη νέα εποχή της συνδεδεμένης κινητικότητας, η ασφάλεια είναι και ψηφιακή υπόθεση.
