Tin tặc để tự động trần: xây dựng xe ô tô an toàn!

Một nhóm các nhà nghiên cứu bảo mật quyết tâm biến thế giới vật lý thành một nơi an toàn hơn yêu cầu các nhà sản xuất ô tô chế tạo những chiếc xe được thiết kế để chống lại các cuộc tấn công mạng.

Nhóm này, với biệt danh "Tôi là Kỵ binh", đã phát hành một bức thư ngỏ tới "CEO ô tô" thông qua Reuters, đăng một bản sao trên trang web của mình và đưa ra một bản kiến ​​nghị Change.org, để kêu gọi các giám đốc của ngành ô tô thực hiện Five Chương trình an toàn mạng ô tô Star. Các trụ cột của chương trình bao gồm an toàn theo thiết kế, hợp tác của bên thứ ba, thu thập bằng chứng, cập nhật bảo mật và phân khúc và cách ly.

"Thế giới khác biệt của ô tô và an ninh mạng đã va chạm, " đọc bức thư. "Bây giờ là thời gian để ngành công nghiệp ô tô và cộng đồng bảo mật kết nối và hợp tác."

Máy tính quản lý động cơ, phanh, điều hướng, điều hòa không khí, cần gạt nước, hệ thống giải trí và các thành phần quan trọng và không quan trọng khác trong xe hơi hiện đại. Không có tranh chấp rằng họ cần phải được khóa để ngăn chặn hành vi giả mạo hoặc trái phép. Bất cứ ai đã xem video năm ngoái của các nhà nghiên cứu Charlie Miller và Chris Valasek đều điên cuồng lao vào nền trong khi họ giành quyền kiểm soát chiếc xe đang được điều khiển bởi nhà văn Forbes Andy Greenberg sẽ đồng ý rằng nếu một kẻ thù đủ động lực, người đó có thể gây ra nghiêm trọng, thể chất, gây hại cho tài xế và có khả năng là hành khách. Miller và Valasek đã có mặt tại Black Hat năm nay, chứng minh nhiều vụ hack xe hơi hơn và DEF CON năm nay có một số phiên về hack điện tử tiêu dùng, thiết bị y tế, hệ thống kiểm soát giao thông và Internet of Things.

Xe là "máy tính trên bánh xe", Josh Corman, CTO của Sonatype và là người đồng sáng lập của nhóm. Thư ngỏ của nhóm được thiết kế để làm cho các máy tính này an toàn hơn.

Chương trình năm sao

An toàn theo thiết kế, đơn giản có nghĩa là các nhà sản xuất ô tô nên thiết kế và xây dựng các tính năng tự động hóa với sự an toàn. Các nhà sản xuất ô tô cũng nên thúc đẩy một chương trình phát triển phần mềm an toàn trong các công ty của họ để khuyến khích thực hành thiết kế và mã hóa tốt hơn.

Sự hợp tác của bên thứ ba yêu cầu các nhà sản xuất ô tô thiết lập một chương trình công bố lỗ hổng chính thức, để nêu rõ chính sách của mình là gì và liên hệ với ai. Các nhà sản xuất ô tô phải sẵn sàng làm việc với các nhà nghiên cứu để xác định lỗ hổng. Không có cách nào các nhà sản xuất ô tô có thể tìm và sửa các lỗi trên chính họ, đây là lý do tại sao sự hợp tác lành mạnh với các nhà nghiên cứu là điều cần thiết. Có ít cơ hội để mọi thứ bị bỏ lỡ.

"Tesla đã có một ngôi sao, " Corman nói, lưu ý nhà sản xuất xe hơi elecotrnic gần đây đã thiết lập một chính sách như vậy.

Chụp bằng chứng muốn thêm một "hộp đen" cho ô tô, giống như những gì đã tồn tại trong máy bay. Khi máy bay gặp sự cố, các nhà điều tra có thể phân tích hộp đen và hiểu những gì đang xảy ra trong máy bay, bao gồm các cuộc hội thoại, tốc độ của máy bay, trạng thái của các hệ thống khác nhau và vô số thông tin kỹ thuật khác. Khi một cái gì đó không ổn trong một chiếc xe hơi, trong hầu hết các trường hợp, không có thông tin nào có sẵn. Thật khó để học hỏi từ các vụ tai nạn và nỗ lực cải thiện sản phẩm khi không có phản hồi, Corman lưu ý.

Cập nhật bảo mật có nghĩa là các vấn đề được tìm thấy được khắc phục kịp thời trên từng chiếc xe. Tôi sẽ không muốn được nói sáu tháng sau khi mua một chiếc xe mà tôi cần mua các phiên bản mới hơn để tận dụng các bản sửa lỗi. Một cơ chế cập nhật bảo mật đảm bảo các lỗ hổng được khắc phục hiệu quả.

Phân khúc và cách ly yêu cầu các nhà sản xuất ô tô giữ cho các hệ thống quan trọng, chẳng hạn như phanh và chỉ đạo cách ly với các mạng còn lại của xe, chẳng hạn như hệ thống giải trí. Corman nói: "Với phân khúc và cách ly, chúng tôi muốn đảm bảo rằng bạn có những thất bại, do đó, việc hack hệ thống giải trí không bao giờ vô hiệu hóa hệ thống phanh". Ông lưu ý rằng đã có sự khác biệt đáng kể giữa các nhà sản xuất xe hơi khác nhau. Một số người giỏi phân khúc hơn những người khác, nhưng vẫn còn nhiều việc phải làm.

Chúng tôi không thể chờ đợi

Nhóm này nhằm mục đích đưa các nhà nghiên cứu bảo mật cùng với các đại diện từ các lĩnh vực không bảo mật, như tự động hóa nhà và điện tử tiêu dùng, thiết bị y tế, giao thông và cơ sở hạ tầng quan trọng, để cải thiện an ninh. Mục tiêu là bắt đầu làm việc cùng nhau để thực hiện các biện pháp bảo vệ an ninh vì "chúng ta không thể chờ đợi những điều xấu xảy ra", Corman nói. Thời điểm bắt đầu là bây giờ, để trong một vài năm, những nỗ lực này thực sự sẽ cho thấy kết quả, ông nói. "Chúng tôi biết điều này sẽ mất một thời gian, " ông nói.

"Chúng tôi không làm điều này cho các nhà nghiên cứu bảo mật, " Corman nói. "Chúng tôi đang làm điều này cho hàng xóm của chúng tôi, cho bất cứ ai lái xe."