Hackare för att automatisera verkstäder: bygg säkra bilar!

En grupp säkerhetsforskare som var fast beslutna att göra den fysiska världen till en säkrare plats krävde biltillverkare att bygga bilar utformade för att motstå cyberattacker.

Gruppen, med moniker "I am the Cavalry", släppte ett öppet brev till "Automotive CEOs" genom Reuters, publicerade en kopia på sin webbplats och lanserade en petition för Change.org, för att uppmana chefer inom bilindustrin att genomföra sina Five Star Automotive Cyber ​​Safety Program. Programmets pelare inkluderar säkerhet genom design, samarbete från tredje part, bevisupptagning, säkerhetsuppdateringar och segmentering och isolering.

"Den en gång distinkta världen av bilar och cybersäkerhet har kolliderat, " läser brevet. "Nu är det dags för bilindustrin och säkerhetsgemenskapen att ansluta och samarbeta."

Datorer hanterar motorer, bromsar, navigering, luftkonditionering, vindrutetorkare, underhållningssystem och andra kritiska och icke-kritiska komponenter i moderna bilar. Det finns ingen tvist om att de behöver låsas in för att förhindra manipulation eller obehörig tillgång. Den som har sett videon förra året av forskarna Charlie Miller och Chris Valasek som kaklar manikalt i bakgrunden medan de tar kontroll över bilen som körs av Forbes-författaren Andy Greenberg kommer att komma överens om att om en motståndare var tillräckligt motiverad, skulle personen kunna orsaka allvarlig, fysisk, skada förare och potentiellt passagerarna. Miller och Valasek var på Black Hat i år och demonstrerade fler bilhack, och årets DEF CON har flera sessioner om hacking av konsumentelektronik, medicinsk utrustning, trafikstyrningssystem och Internet of Things.

Fordon är "datorer på hjul", Josh Corman, CTO för Sonatype och en av grundarna av gruppen. Gruppens öppna brev är utformat för att göra dessa datorer säkrare.

Femstjärniga programmet

Säkerhet genom design betyder helt enkelt att biltillverkare ska utforma och bygga automatiseringsfunktioner med säkerhet i åtanke. Biltillverkare bör också driva ett säkert programutvecklingsprogram inom sina företag för att uppmuntra till bättre kodning och designmetoder.

Tredjepartssamarbete uppmanar biltillverkare att upprätta ett formellt program för avslöjande av sårbarhet, för att tydligt ange vad dess policy är och vem de ska kontakta. Biltillverkarna måste vara villiga att samarbeta med forskare för att identifiera brister. Det finns inget sätt som biltillverkare kan hitta och fixa buggar på egen hand - det är därför som ett hälsosamt samarbete med forskare är viktigt. Det finns mindre chans att saker blir missade.

"Tesla får redan en stjärna, " sa Corman och noterade att elecotrnic-biltillverkaren nyligen etablerade en sådan politik.

Bevisupptagning vill lägga till en "svart låda" till bilar, precis som det som redan finns i flygplan. När flygplan kraschar kan utredare analysera den svarta rutan och förstå vad som hände i planet, inklusive konversationer, planetens hastighet, olika system och en mängd annan teknisk information. När något går fel i en bil, finns i de flesta fall ingen information tillgänglig. Det är svårt att lära av olyckor och att arbeta med att förbättra produkten när det inte finns någon feedback, konstaterade Corman.

Säkerhetsuppdateringar innebär att de problem som hittas löses på de enskilda bilarna i tid. Jag skulle inte vilja få höra sex månader efter att jag köpte en bil att jag behövde köpa de nyare versionerna för att dra nytta av korrigeringarna. En säkerhetsuppdateringsmekanism säkerställer att sårbarheterna fixas effektivt.

Segmentering och isolering ber fordonstillverkare att hålla kritiska system - som bromsar och styrning - åtskilda från resten av bilens nätverk, som underhållningssystemet. "Med segmentering och isolering vill vi se till att du innehåller fel, så en hack till underhållningssystemet stänger aldrig av bromsarna, " säger Corman. Han noterade att det redan finns betydande skillnader mellan olika biltillverkare. Vissa är bättre på att segmentera än andra, men det finns fortfarande mycket kvar att göra.

Vi har inte råd att vänta

Gruppen syftar till att föra säkerhetsforskare med representanter från icke-säkerhetsområden, såsom hemmeautomation och konsumentelektronik, medicinsk utrustning, transport och kritisk infrastruktur, för att förbättra säkerheten. Målet är att börja arbeta tillsammans för att genomföra säkerhetsskyddsåtgärder eftersom "vi kan inte vänta på att dåliga saker händer", sa Corman. Tiden att starta är nu, så att dessa ansträngningar faktiskt skulle visa resultat på några år, sade han. "Vi vet att detta kommer att ta ett tag", sade han.

"Vi gör inte detta för säkerhetsforskarna, " sa Corman. "Vi gör detta för våra grannar, för alla som kör bil."