Riepilogo
La minaccia degli attacchi informatici ai veicoli riguarderà tutti coloro che si trovano sulla strada, indipendentemente da cosa guidano. E proteggere il "backend" di un'auto—dove sono archiviati tutti gli asset IT che controllano velocità, direzione, geolocalizzazione e altro—sarà la priorità numero 1. Ma come facciamo a convincere le persone ad aggiornare il sistema operativo della loro auto in modo tempestivo, quando sappiamo quanto siano lente ad aggiornare i loro computer e telefoni?
HOST: Shawn Surber, direttore senior della gestione degli account tecnici, Tanium
GUEST: Jennifer Tisdale, CEO, Grimm
Note dello show
Consulta questi articoli su Focal Point, il nuovo magazine online di notizie informatiche di Tanium.
- In che modo i dirigenti aziendali possono evitare gli attacchi informatici nel settore automobilistico
- L’hacking automobilistico: la prossima frontiera della sicurezza informatica
Trascrizione
La seguente intervista è stata modificata per maggiore chiarezza.
Jennifer Tisdale: Sta accadendo così tanto in relazione all'automotive e alle nuove tecnologie che è quasi impossibile pensare a ogni scenario che potrebbe andare storto. Ma il cloud sembra essere l'ambiente sul back end che ospiterà una grande quantità di dati, e penso che sia ricco di curiosità per gli hacker.
Shawn Surber: Ciao, sono Shawn Surber, e oggi su Let's Converge, parliamo di veicoli autonomi e cybersecurity. Il giorno delle auto senza conducente si avvicina, e con esso gli inevitabili attacchi informatici e i problemi di sicurezza. La minaccia degli attacchi informatici ai veicoli riguarderà tutti coloro che si trovano sulla strada, indipendentemente da cosa guidano. I ricercatori sono particolarmente interessati a proteggere il back end di questi veicoli, e con questo non intendo i fanali posteriori. Il back end si riferisce a tutte le risorse IT che un criminale informatico potrebbe voler manomettere—il percorso scelto da un veicolo, come traccia la velocità delle altre auto e chi ha la precedenza.
Il nostro ospite di oggi è Jennifer Tisdale, CEO di Grimm Cyber, un'azienda che aiuta i fornitori del settore automobilistico a identificare e mitigare le vulnerabilità di sicurezza. Ha anche ricoperto il ruolo di consulente strategica per la cybersecurity per Mazda North America ed è responsabile del programma di cyber mobility per la Michigan Economic Development Corporation. Benvenuta al programma, Jennifer.
Tisdale: Grazie per avermi invitata, Shawn. Sono davvero entusiasta di parlare con te.
Surber: Meraviglioso. Entriamo subito nel vivo. C'è una domanda fondamentale a cui dobbiamo rispondere: hai mai viaggiato su un veicolo senza conducente?
Tisdale: Sì, l'ho fatto. Era una dimostrazione. Era a una conferenza, e si svolgeva in un ambiente molto controllato. Quindi forse non è un buon parametro per capire come sarà quando saranno in circolazione e su strada. Per una persona con il pallino del controllo come me, ci vuole un po' per abituarsi—a trovarsi su un veicolo senza conducente, che utilizza la tecnologia dei sensori per navigare lungo un percorso. È un po' sconcertante.
Surber: Sì, sarebbe lo stesso per me. Non sono nemmeno un grande fan di viaggiare sul sedile posteriore di un taxi.
Tisdale: Esatto. Devi lasciarti andare un po'.
Surber: Quindi, in passato, quando le persone sfondavano un'auto, cercavano di rubare l'auto, i componenti, il contenuto, o volevano semplicemente portarla a fare un giro. Per quanto riguarda questi veicoli autonomi, chi pensi che sarà il principale attore della minaccia e cosa li motiverà ad hackerare i veicoli autonomi?
Tisdale: Beh, penso che la motivazione principale per violare virtualmente o hackerare uno di questi veicoli sarà la stessa: il denaro è il motore. Sono finiti i giorni dei piedi di porco e dei ponticelli, e ora verrà fatto attraverso altre opportunità per manipolare il codice e far fare al veicolo ciò che vogliono, con il denaro come motivazione principale. In relazione al furto di veicoli, c'è qualche discussione all'interno del governo su come potrebbe apparire se il controllo remoto di un veicolo potesse avvenire su larga scala, e da quanto lontano. Cosa succede se si verifica un evento più ampio e diffuso per un gestore di flotte o per una particolare marca, modello e allestimento di un veicolo—come apparirebbe e cosa potrebbe essere? Sai, queste sono domande che al momento rimangono in gran parte senza risposta. Ma penso che ogni giorno si avvicinino sempre di più a capire cosa potrebbe essere, al di là di quello che chiamerei piccola criminalità, e forse persino muovendosi nello spazio di ciò che potrebbe essere una questione di sicurezza nazionale o qualcosa di ancora più grande.
Surber: Esatto. Come professionista della cybersecurity da lungo tempo, fa piacere sentire che le persone stanno analizzando le varie possibilità. Tipo, ok, e se, e se, e se? E poi, seguendo ognuna di queste lungo la catena, perché ci sono molti gruppi diversi coinvolti nella protezione di questi veicoli. Ci sono i produttori di veicoli, i fornitori di software e servizi, i proprietari dei veicoli, ovviamente, e poi il ruolo che i governi svolgeranno nel garantire che questi dispositivi siano sicuri. Quindi parliamo un po' di questo. Cominciamo dai produttori di automobili. Quanto pensi che saranno reattivi al potenziale degli attacchi informatici e agli attacchi informatici man mano che si verificano?
Tisdale: Non avranno altra scelta che essere reattivi. Questa è un'industria relativamente nuova, giusto? Non è stato fino a 2015 quando abbiamo avuto il primo impatto mediatico con l'hacking della Jeep che è avvenuto.
Surber: Per chi non lo sapesse, è stato quando due ricercatori di sicurezza hanno dimostrato di poter prendere il controllo remoto dei freni e dello sterzo di una Jeep Cherokee. Sono riusciti a sfruttare una falla nella connessione cellulare dell'auto. Chrysler ha dovuto emettere un richiamo per correggerla.
Tisdale: È stato un punto di svolta nel settore perché ha forzato la conversazione. Ma i produttori di automobili da 2015 a 2022 hanno fatto un grande lavoro non solo nel capire come reagire, ma anche come essere proattivi. Quindi, come qualcuno nel campo della cybersecurity, questo mi dà un certo livello di fiducia nel fatto che stiano affrontando la cybersecurity dei veicoli nel miglior modo possibile durante la fase di R&D.
Il settore automobilistico ha un ciclo di produzione di cinque anni, quindi i veicoli che non saranno su strada per cinque anni sono già esaminati in termini di sicurezza, il che è molto rassicurante. Dove penso che si entri in una zona un po' grigia è con i sistemi legacy e nel cercare di capire come mantenere la sicurezza nel corso del ciclo di vita. E questo, credo, sarà in gran parte guidato da tutti gli stakeholder coinvolti.
Surber: Penso che un elemento chiave qui sia la manutenzione, giusto? Sai, tradizionalmente quando c'è un problema con qualcosa, viene emesso un richiamo, porti il veicolo in officina e lo riparano. Con la nuova era degli aggiornamenti over-the-air, vedremo un aspetto completamente diverso: aggiornamenti forzati, aggiornamenti che i consumatori possono accettare o rifiutare. Che dire di quel canale over-the-air come vettore di attacco? Sei preoccupato per questo?
Tisdale: Sì, è certamente un'area di preoccupazione. Lo vedo continuamente, specialmente con i miei suoceri e i miei figli: se non accettano l'aggiornamento di sicurezza sui loro dispositivi personali, cosa succede se non lo accettano nel loro veicolo? È una cosa se stiamo parlando di proteggere i nostri dati e le nostre informazioni personali, ma è tutt'altra cosa se si tratta di un aggiornamento che potrebbe mettere a rischio la nostra vita e la nostra incolumità, giusto?
Surber: Assolutamente. Lo vediamo tutti, anche negli ambienti aziendali tradizionali, solo nel distribuire le patch e nel far riavviare i sistemi alle persone—oh, sai, non possiamo riavviare questi dispositivi perché sono mission critical in certi momenti. Ma è tutta un'altra cosa quando stai guidando sulla strada. Voglio dire, ovviamente non puoi avere un riavvio del sistema mentre stai guidando, ma i proprietari di questi veicoli saranno costretti ad aspettare, quando accendono la loro auto, sai, ci si aspetterà che aspettino qualche minuto per questi aggiornamenti?
Tisdale: Sì. E non penso che sia sbagliato considerare [l'auto] un dispositivo. Penso che sia abbastanza accurato. Potrebbe esserci un ritardo, ma quello che stiamo tipicamente vedendo nel settore ora, così tanti veicoli utilizzano app, sai, app per telefono che ti fanno sapere quando la tua auto è in scadenza per il servizio o la manutenzione. E quindi riceverai l'avviso per quando l'aggiornamento deve avvenire nel tuo software. Se è qualcosa che potrebbe influire su quella che chiamerei la funzione critica del veicolo, il funzionamento del veicolo, potrebbe anche essere qualcosa che devono fare recandosi presso la concessionaria. Penso che la pratica standard venga definita proprio in questo momento.
Credo che volessimo anche parlare del ruolo del governo in questo. E penso che vedremo in futuro alcune normative che aiutino ad affrontare la sicurezza informatica quasi da una prospettiva di sicurezza informatica. Spesso devo ricordare alle persone che potremmo non avere airbag o cinture di sicurezza nelle nostre auto se un ente governativo non avesse regolamentato la sicurezza nel veicolo. E penso che in futuro vedremo la sicurezza informatica gestita più o meno allo stesso modo.
Surber: Pensa che la regolamentazione governativa sia il modo migliore per procedere? O preferirebbe vedere una coalizione di produttori elaborare proprie normative interne che potrebbero effettivamente applicarsi a vicenda, anche in modo più rigoroso di quanto potrebbe fare il governo?
Tisdale: Non credo che qualcuno nel settore voglia che il governo detti come gestire la propria attività. Le persone che possiedono i veicoli, nella maggior parte degli stati di questo paese, dovrebbero avere il diritto di riparare i beni che acquistano. Abbiamo molti appassionati del fai-da-te. Sono a Detroit, dove tutti amano armeggiare con i propri veicoli, potenziarli, vedere come funzionano. E vedremo che questo continuerà man mano che ci avvicineremo sempre di più al sistema dei veicoli autonomi. Quindi permettiamo alle persone di armeggiare con le proprie auto? Sa, questa è una questione aperta. Al momento sì, ma prevedo come ciò potrebbe non essere una grande idea quando si tratta di funzionalità di sicurezza critiche di un veicolo gestite da software. Quindi, dove potrebbe voler intervenire il governo? Penso che ogni volta che c'è la possibilità che qualcuno venga fisicamente danneggiato o che le cose vadano storte rapidamente manomettendo il codice intenzionalmente o involontariamente, causando danni ad altri, probabilmente interverranno in quello spazio.
Tisdale: Oderei vedere 50 stati con 50 leggi diverse. Non funzionerà per nessuno, ma è la conversazione che stiamo sentendo in questo momento. Alcuni stati stanno valutando di modificare o ritoccare le leggi sul diritto alla riparazione specificamente in relazione a questa conversazione su chi può accedere al back end e cosa si può fare con il codice, cosa rientra nei diritti del consumatore e cosa no. Alcuni stati che ho monitorato stanno valutando di rendere un atto criminale l'hacking di un veicolo se non si fa parte del settore, non si è un ricercatore o non si fa parte del mondo accademico. E penso che sia anche un piano molto scivoloso. Quindi gli stati devono unirsi insieme al governo federale per capire come vogliono gestire queste cose. Ma è così nuovo, Shawn — tutti cercano di essere proattivi, ma non sono ancora abbastanza informati su ciò con cui hanno a che fare, specialmente a livello governativo.
Surber: Il diritto alla riparazione è un punto interessante. Voglio dire, conosco tutti i tipi di modi in cui le persone potenziano e modificano i veicoli semplicemente introducendo una programmazione diversa nel set di chip. Penso che inizieremo a vedere sempre più un approccio a giardino recintato in cui potresti essere in grado di modificare quest'area, ma richiede un livello significativo di sicurezza aggiuntiva, forse anche dispositivi di sicurezza fisici disponibili solo presso concessionarie e centri di riparazione autorizzati e cose del genere. Perché hai assolutamente ragione: se entri e aumenti la potenza del motore, ma allo stesso tempo disabiliti i sensori di movimento, potresti avere un vero problema.
Tisdale: È sicuramente un'area da tenere d'occhio; ha ricevuto maggiore attenzione nell'ultimo anno circa. E prevederei che questo non farà che aumentare.
Surber: Esatto. Quindi abbiamo parlato molto della sicurezza dei veicoli stessi, ma che dire del back end, di tutti i server, i sistemi, il codice? Cosa pensi che i proprietari di aziende debbano preoccuparsi particolarmente nel proteggere il back end del sistema?
Tisdale: Sì, dobbiamo tenere ben presente che il motivo per cui tutto questo sta accadendo è arrivare a zero morti. Ok? Un settore con zero vittime da incidenti stradali. Certamente. Sia l'industria che il governo possono concordare su questo punto, che questo è il fine ultimo, giusto? Il veicolo, man mano che si avvicina ai sistemi completamente autonomi, dipenderà dalla comunicazione con il suo ambiente operativo, che si basa su quelli che chiamano sistemi ITS, sistemi di trasporto intelligenti, ovvero i sensori e la tecnologia incorporati nella carreggiata. Questo è ciò che ci porterà alle città intelligenti che vanno di pari passo con le nostre auto intelligenti. Mi piace chiamarle auto cloud perché mi fa ridere, ma avremo queste auto cloud sulla strada che comunicano con altri veicoli accanto a loro, davanti a loro, dietro di loro.
Tisdale: Comunicheranno con quei cartelloni digitali dove ti danno gli aggiornamenti, giusto? Tipo, sei a 15 miglia da qualsiasi uscita e c'è un incidente, spostati a destra o altro, giusto? Quindi tutto questo interfaccerà con il veicolo stesso. Questo rende il cloud maturo per essere sfruttato, poiché il cloud utilizzerà l'IA e l'apprendimento automatico. Raccoglieranno tutti quei dati per prendere decisioni rapidissime per il funzionamento del veicolo e per inviare tali informazioni al sistema ITS. Tutto ciò alimenterà funzionalità di sicurezza come i sistemi di assistenza alla guida e la cooperazione con la strada stessa, con il sistema ITS stesso per prevenire incidenti e aumentare la sicurezza stradale e, in definitiva, migliorare il flusso del traffico? Quindi questo è il backend cloud, e cosa succede se riesci a penetrarvi, se riesci a manipolare i dati, se riesci a far credere al veicolo che dovrebbe girare a sinistra invece che a destra?
Tisdale: Queste sono le cose che ritengo siano davvero di interesse. Quello che odio vedere è troppe aziende che si precipitano sul mercato con questo, giusto? Tutti vogliono essere i primi, ma essere i primi comporta molti rischi. Penso che in questa conversazione il settore stia osservando Tesla molto da vicino, sai, per vedere cosa succede. Non abbiamo ancora esplorato la prossima evoluzione dai motori a combustione ai veicoli elettrici e quella interconnettività con la rete e come caricheranno le strade e trasferiranno energia. Voglio dire, sta accadendo così tanto in relazione all'automotive e alle nuove tecnologie che è quasi impossibile pensare a ogni scenario che potrebbe andare storto. Ma il cloud sembra essere l'ambiente sul back end che ospiterà una grande quantità di dati. E penso che sia davvero allettante per la curiosità degli hacker, ad essere onesti.
Surber: I concetti di ciò che è disponibile per i consumatori in un mondo di guida autonoma sono così invitanti. Ricordo di aver visto un video molti, molti anni fa che parlava di qualcosa come i treni di auto, giusto? Dove sei in autostrada e puoi effettivamente collegare un'intera serie di auto e questo ti dà la possibilità di muoverti molto, molto più velocemente di quanto potremmo potenzialmente guidare da soli, ma in modo molto più sicuro. E penso che sia davvero fantastico. È davvero interessante, ma richiederà enormi quantità di elaborazione sul back end. Richiederà milioni se non miliardi di righe di codice. E con ogni riga di codice arriva l'opportunità per un bug, un errore o una vulnerabilità.
Tisdale: Inizia a sembrare che stiamo solo facendo uno scambio, uno scambio di responsabilità per dove le cose possono andare storte.
Surber: Gli attacchi informatici ai veicoli risalgono addirittura a 2010, quando, credo, fu una Chevy Impala ad avere il suo sistema OnStar violato. Hai parlato dell'attacco alla Jeep nel 2015, e in precedenza avevamo 25 Tesla compromesse tramite un'app di terze parti. Quindi parliamo del 2021 Global Automotive Security Report, che affermava che il 57% degli attacchi informatici automobilistici noti nel 2021 erano stati eseguiti da attori malintenzionati. Quindi sappiamo che non si tratta solo di un problema teorico, giusto? Sappiamo che, mentre abbiamo un gran numero di ricercatori e white hat che cercano di individuare le vulnerabilità in anticipo, sappiamo già che i malintenzionati le stanno prendendo di mira, e il 40% di quelle violazioni erano violazioni di server—quel back end di cui stavamo parlando che comunica con questi veicoli connessi. Quindi cosa facciamo oggi al riguardo?
Tisdale: Dobbiamo avere più persone che esaminano questi sistemi, onestamente. E più frequentemente, uno dei problemi più grandi non è esclusivo del settore automobilistico, so con certezza che non stanno dando priorità al budget necessario per svolgere questo tipo di lavoro. E se lo fanno, hanno team interni di red team che lo fanno e, sai, si inizia a ballare sul confine di ciò che è abbastanza buono e fino a dove si va troppo oltre. Quindi ottenere una certa coerenza su cosa devono osservare, con quale frequenza devono farlo e quanto in profondità devono spingersi. Sono una persona contraria alla conformità nel senso che non credo che dobbiamo semplicemente spuntare una casella; penso che dobbiamo fare un po' meglio come settore, come collettivo. E penso di essere probabilmente in minoranza su questo. Forse non in teoria—in teoria tutti concorderebbero che vogliamo fare più che spuntare una casella—ma in pratica, la quantità di tempo e denaro che ciò richiede è un po' proibitiva.
Surber: Sì, sono d'accordo. La conformità non equivale alla sicurezza. Ma penso che tutti riconosciamo che la conformità ottiene il budget. Esatto. E quindi diventa un problema continuo. E ci sono alcuni passi fondamentali che tutte le parti interessate possono adottare per proteggere le cose, specialmente il backend, ma anche sul frontend come la vostra igiene informatica di base, la gestione delle patch, la gestione della catena di approvvigionamento, cose come il software, le distinte dei materiali, sapere cosa è incorporato nel software che si utilizza per creare il proprio software, giusto? Queste cose riguardano tutte la limitazione dei rischi di prima, seconda e terza parte. Come settore IT, sappiamo come fare queste cose. Pensi che vengano applicate efficacemente in questo nuovo mondo?
Tisdale: Le basi per la sicurezza a bordo dei veicoli vengono gestite abbastanza bene oggi. Lo dico con cautela. Possono fare di più? Sì, assolutamente. Possono fare di più. Possono destinare più budget a questo? Certo che sì. Possono interagire maggiormente con la comunità di ricerca? Certamente. Ma penso che, nella maggior parte dei casi, abbiano fatto passi da gigante rispetto a dove si trovavano solo un paio di anni fa.
Surber: Beh, Jen, grazie mille per il tuo tempo oggi. Ci sono pensieri conclusivi che vorresti lasciarci mentre ci avventuriamo con coraggio in questo futuro?
Tisdale: Sì. Amo la tecnologia. Amo i vantaggi che i trasporti del futuro porteranno alle nostre comunità, alle sacche di popolazione sottorappresentate in tutto il mondo che non hanno facile accesso ai trasporti. Penso che il bene superi ciò che fa paura. Sì, c'è qualcosa che fa paura. Ci sono persone che se ne occupano, e penso che stiamo vedendo molte parti nuove e interessate che si coinvolgono e si impegnano, proprio come te, e non potremo mai avere troppe persone che guardano al problema e ci aiutano a risolverlo. Quindi non lascerei che questa conversazione spaventi le persone riguardo a come sarà il futuro in termini di sistemi connessi, automatizzati e alla fine autonomi. Sono davvero entusiasta di ciò. Dobbiamo solo essere intelligenti. Dobbiamo essere più intelligenti della nostra auto intelligente.
Surber: Esatto. Sarà un compito difficile, molto difficile, ma penso che possiamo farcela. .
Surber: Oggi ho parlato con Jennifer Tisdale, CEO di Grimm Cyber. Se volete leggere di più sui problemi di sicurezza informatica legati ai veicoli autonomi, consultate Focal Point, la rivista online di notizie sulla sicurezza informatica di Tanium. Abbiamo dei link a diversi articoli nelle note dello show. Oppure andate su tanium.com per ascoltare altre conversazioni con i principali leader aziendali ed esperti di sicurezza di oggi.
Assicurati di iscriverti a Let's Converge sulla tua app podcast preferita. E se vi è piaciuto questo episodio, vi preghiamo di darci una valutazione a cinque stelle. Grazie per aver ascoltato. Non vediamo l'ora di condividere altri approfondimenti sulla cybersecurity nel prossimo episodio di Let's Converge.
