Κυβερνοασφάλεια για αυτόνομα οχήματα

Κυβερνοασφάλεια για αυτόνομα οχήματα

Όσο περισσότερα συστήματα μεταφορών εκσυγχρονίζονται και γίνονται αυτόνομα, τόσο περισσότερο μπορούν να χακαριστούν. Τα διεθνή πρότυπα από οργανισμούς όπως το IEC μπορούν να παρέχουν τις κατάλληλες απαιτήσεις ασφάλειας στον κυβερνοχώρο.

Τον Ιανουάριο, τα συστήματα θαλάσσιας ναυσιπλοΐας της Ιταλίας που διέπουν τα πλοία στη Μεσόγειο Θάλασσα φέρεται να παραποιήθηκαν. Ο χάκερ ήταν ένα σχολικό αγόρι 15- ετών. Αν και τίποτα άλλο από την εφηβική κακία φαίνεται να ήταν το κίνητρο σε αυτήν την περίσταση, οι ειδικοί στον κυβερνοχώρο ήταν σε επιφυλακή. Η υπόθεση υπογραμμίζει την ανάγκη οι οργανισμοί παντού να ασφαλίζουν τα συστήματα μεταφορών τους καθώς τα πλοία, τα τρένα και τα αυτοκίνητα γίνονται όλο και πιο αυτόνομα. Τα αυτόνομα οχήματα (AV) αποτελούν μια ιδιαίτερα ανησυχητική απειλή, καθώς ο κόσμος έχει γίνει μάρτυρας ενός αυξανόμενου αριθμού περιστατικών που αφορούν φορτηγά και φορτηγά που χρησιμοποιούνται ως όπλα σε τρομοκρατικές επιθέσεις.

Η πρόκληση των συνδεδεμένων οχημάτων

Μέχρι το 2030, το 95% των νέων οχημάτων που θα πωλούνται παγκοσμίως θα είναι συνδεδεμένα, ενώ ο αριθμός σε υπηρεσία θα αυξηθεί από 192 εκατομμύρια το 2023 σε 367 εκατομμύρια έως το 2027. Πέρυσι τα «μαζικά-συμβάντα παγκόσμιας κλίμακας» από χάκερ που στοχεύουν συνδεδεμένα οχήματα και υπηρεσίες τριπλασιάστηκαν από 5% σε 19%, σύμφωνα με έναν ειδικό σε θέματα ασφάλειας δεδομένων.

Δεν είναι μόνο η ψηφιοποίηση σχεδόν κάθε πτυχής του ελέγχου και των επικοινωνιών οχημάτων που εγείρει τον κίνδυνο επιθέσεων στον κυβερνοχώρο. Είναι ότι η διασυνδεδεμένη φύση των αυτόνομων συστημάτων μεταφοράς δημιουργεί μια τεράστια επιφάνεια επίθεσης για τους εγκληματίες. Τα αυτόνομα-οχήματα χρησιμοποιούν υπηρεσίες cloud, GPS, αισθητήρες, κάμερες και δίκτυα επικοινωνίας για να λειτουργήσουν. Συνδέονται με άλλες συσκευές Internet of Things (IoT), γεγονός που τις καθιστά ευάλωτες σε κυβερνοεπιθέσεις και χάκερ.

Ενώ η αυτοκινητοβιομηχανία αντιμετωπίζει το ζήτημα, οι κυβερνήσεις ανησυχούν επίσης. "Μια μεγάλη{1}}τρομοκρατική επίθεση στον κυβερνοχώρο που στοχεύει τα λειτουργικά συστήματα πολλών αυτόνομα-οχημάτων ταυτόχρονα θα μπορούσε να προκαλέσει μαζικές απώλειες", ήταν το καταστροφικό σενάριο που παρουσίασαν οι Βρετανοί βουλευτές μετά τη δική τους έρευνα για αυτόνομα αυτοκίνητα. Οι βουλευτές κατέληξαν στο συμπέρασμα ότι τα αυτοοδηγούμενα οχήματα ενέχουν κινδύνους για την ασφάλεια στον κυβερνοχώρο "λόγω των συνδεδεμένων και όχι αυτοματοποιημένων δυνατοτήτων τους".

Η συνδεσιμότητα IoT είναι ο αδύναμος κρίκος

Η αυτοκινητοβιομηχανία γνωρίζει για τουλάχιστον μια δεκαετία πώς ένας κακόβουλος παράγοντας θα μπορούσε να εκμεταλλευτεί εξ αποστάσεως ευπάθειες, συμπεριλαμβανομένων λειτουργιών και στοιχείων IoT που δεν είναι ασφαλή στον κυβερνοχώρο, για να εισβάλει στα δεδομένα χρήστη και να ελέγξει τις βασικές λειτουργίες ενός οχήματος, όπως το φρενάρισμα ή η επιτάχυνση. Σύμφωνα με αυτό το άρθρο μιας εταιρείας κυβερνοασφάλειας, οι στόχοι περιλαμβάνουν πλέον προηγμένα συστήματα υποβοήθησης οδηγού (ADAS), επικοινωνίες οχήματος-για όλα (V2X) και ενημερώσεις μέσω--αέρα (OTA).

Και ήδη συμβαίνει. Οι εισβολές αυτοκινήτων στις οποίες οι επιτιθέμενοι κατάφεραν να ελέγξουν τα οχήματα εξ αποστάσεως και μπορούσαν να εκμεταλλευτούν τις αδυναμίες του συστήματος για να «θέσουν σε κίνδυνο τη ζωή των οδηγών, των επιβατών ή των πεζών» αυξήθηκαν δραματικά το 2024 και αντιπροσωπεύουν πάνω από το 35% όλων των περιπτώσεων κυβερνοεπιθέσεων σε αυτοκίνητα. "Οι φορείς απειλών αναπτύσσουν τώρα επιθέσεις μεγάλης-κλίμακας, εξελιγμένες, με τεχνητή νοημοσύνη-που στοχεύουν όχι μόνο τα οχήματα αλλά και την υποδομή φόρτισης EV, τις εφαρμογές που βασίζονται σε API{6}}και τις έξυπνες συσκευές IoT κινητικότητας", λένε οι συντάκτες της έκθεσης. "Αυτή η επεκτεινόμενη επιφάνεια επίθεσης απαιτεί μια μεταμορφωτική, προ{8}}ενεργή προσέγγιση στην ασφάλεια στον κυβερνοχώρο." Καθώς οι επιθέσεις σε αυτόνομα οχήματα στοχεύουν ολοένα και περισσότερο τα πρωτόκολλα V2X και όχι άλλα απλούστερα στοιχεία των οχημάτων, η υιοθέτηση μιας προσέγγισης που βασίζεται στα πρότυπα{11}}για την ασφάλεια στον κυβερνοχώρο σε ολόκληρο τον κύκλο ζωής του προϊόντος κρίνεται ζωτικής σημασίας.

Ένα ασφαλές μέλλον αυτοκινήτου

Πολλά καθιερωμένα πρότυπα παρέχουν τα μπλοκ για την οικοδόμηση εμπιστοσύνης στην αλυσίδα εφοδιασμού σε ολόκληρο τον κύκλο ζωής του προϊόντος. Η σειρά προτύπων IEC 62443 ορίζει απαιτήσεις και διαδικασίες για την εφαρμογή και τη διατήρηση ηλεκτρονικά ασφαλών συστημάτων βιομηχανικού αυτοματισμού και ελέγχου. Αυτά τα πρότυπα θέτουν βέλτιστες πρακτικές για την ασφάλεια και παρέχουν έναν τρόπο αξιολόγησης του επιπέδου απόδοσης ασφάλειας, συμπεριλαμβανομένων των μεταφορών. Η προσέγγιση στην πρόκληση της ασφάλειας στον κυβερνοχώρο είναι ολιστική, γεφυρώνοντας το χάσμα μεταξύ των λειτουργιών και της πληροφορικής καθώς και μεταξύ της ασφάλειας των διαδικασιών και της ασφάλειας στον κυβερνοχώρο.

Το ISO/SAE 21434 είναι το πρότυπο για τη μηχανική ασφάλειας στον κυβερνοχώρο αυτοκινήτων. Παρέχει ένα ολοκληρωμένο πλαίσιο για τον εντοπισμό, την αξιολόγηση και τον μετριασμό των κινδύνων για την ασφάλεια στον κυβερνοχώρο σε όλη την αλυσίδα εφοδιασμού. Το πρότυπο καλύπτει ολόκληρο τον κύκλο ζωής ενός οχήματος, από την ιδέα μέχρι τον παροπλισμό. Επιπλέον, το ISO/SAE 21434 ικανοποιεί τον Κανονισμό 155 (R155) των Ηνωμένων Εθνών, ο οποίος διασφαλίζει ότι τα συστήματα διαχείρισης ασφάλειας στον κυβερνοχώρο (CSMS) ακολουθούν μια συστηματική προσέγγιση στη διαχείριση κινδύνου.

Η συμμόρφωση με αυτά τα πρότυπα έχει καταστεί υποχρεωτική για τους κατασκευαστές και τους προμηθευτές τους, καθιστώντας ζωτικής σημασίας για όλα τα εμπλεκόμενα μέρη να θεσπίσουν ισχυρά μέτρα ασφάλειας στον κυβερνοχώρο. Ενώ το R155 είναι υποχρεωτικό μόνο στην ΕΕ, την Ιαπωνία και την Κορέα, οι απαιτήσεις του χρησιμοποιούνται από τους περισσότερους κατασκευαστές αυτοκινήτων ως βέλτιστη πρακτική σε όλο τον κόσμο.

Το πρόγραμμα βιομηχανικής ασφάλειας στον κυβερνοχώρο της IECEE, το IEC System of Conformity Assessment Schemes for Electrotechnical Equipment and Components, δοκιμάζει και πιστοποιεί την ασφάλεια στον κυβερνοχώρο στον τομέα του βιομηχανικού αυτοματισμού. Το IECEE περιλαμβάνει ένα πρόγραμμα που παρέχει πιστοποίηση στα πρότυπα της σειράς IEC 62443.

Ναυτιλιακή ανθεκτικότητα στον κυβερνοχώρο

Οι επιθέσεις στον κυβερνοχώρο σε ναυτιλιακές εταιρείες έχουν γίνει συνηθισμένο-μέρος. Εν μέσω της αυξανόμενης αναγνώρισης του κινδύνου, λίγοι στη βιομηχανία πιστεύουν ότι οι προσπάθειες για την καταπολέμηση των απειλών είναι επαρκείς.

Τα θαλάσσια συστήματα, όπως τα συστήματα ελέγχου των σιδηροδρομικών μεταφορών, είναι συχνά ξεπερασμένα και ελάχιστα προστατευμένα. Τα πλοία στοχοποιούνται όλο και περισσότερο μέσω των συστημάτων GPS τους, τα οποία μπορούν να επηρεάσουν την πλοήγηση. Τα συστήματα αυτόματης αναγνώρισής τους (AIS) μπορούν επίσης να παραβιαστούν ή ακόμη και να παραποιηθούν. Το AIS είναι ένα βασικό σύστημα ασφαλείας που χρησιμοποιεί ραδιοσήματα, βοηθώντας τα θαλάσσια οχήματα να αναγνωρίζουν και να παρακολουθούν το ένα το άλλο, αποτρέποντας έτσι τις συγκρούσεις. Όσο και αν είναι απαραίτητο, μπορεί να γίνει αδύναμος κρίκος για επιθέσεις στον κυβερνοχώρο.

«Ένα πλοίο είναι σαν ένα πλωτό εργοστάσιο», περιγράφει ένας πάροχος ναυτιλιακών πληροφοριών. "Υπάρχουν πολλά συστήματα που συνομιλούν μεταξύ τους και δεν προστατεύονται. Συνήθως δεν υπάρχει κρυπτογράφηση ή έλεγχος ταυτότητας. Είναι εύκολο να χακάρεις μεμονωμένα συστήματα. Είναι ακριβώς σαν να χακάρεις ένα Tesla, εκτός από το ότι είναι πολύ μεγαλύτερο."

Η IEC έχει δημοσιεύσει διεθνή πρότυπα που καθορίζουν μέτρα κυβερνοασφάλειας για πλοία. Μία από τις τεχνικές επιτροπές της, η IEC TC 80, έχει αναλάβει το ρόλο της ανάπτυξης διεθνών προτύπων για το Παγκόσμιο Σύστημα Ναυτιλιακής Κινδύνου και Ασφάλειας (GMDSS), ένα διεθνώς συμφωνημένο σύνολο διαδικασιών ασφάλειας και πρωτοκόλλων επικοινωνίας που χρησιμοποιούνται για την αύξηση της ασφάλειας και τη διευκόλυνση της διάσωσης πλοίων που βρίσκονται σε κίνδυνο. Το IEC TC 80 εκδίδει το IEC 63154, το οποίο καθορίζει απαιτήσεις για πρότυπα για την παροχή ενός βασικού επιπέδου προστασίας έναντι περιστατικών στον κυβερνοχώρο (δηλαδή κακόβουλες προσπάθειες, οι οποίες πραγματικά ή δυνητικά έχουν αρνητικές συνέπειες στον εξοπλισμό, τα δίκτυά τους ή τις πληροφορίες που επεξεργάζονται, αποθηκεύουν ή μεταδίδουν).

Οι χάκερ και οι εγκληματίες του κυβερνοχώρου γίνονται πιο εξελιγμένοι και χρησιμοποιούν νέες ψηφιακές τεχνολογίες για να αποκτήσουν πρόσβαση σε δεδομένα και να αναλάβουν τον έλεγχο των συστημάτων μεταφορών. Όμως εργαλεία, όπως τα διεθνή πρότυπα, υπάρχουν για να προστατεύσουν τις βιομηχανίες μεταφορών καθώς επενδύουν για τον εκσυγχρονισμό. Ακολουθώντας τα βήματα που περιγράφονται στα πρότυπα, πολλοί από τους κινδύνους μπορούν να αποφευχθούν.