Quali sono i pericoli quando si parla di sicurezza informatica della guida autonoma?

Le automobili svolgono un ruolo fondamentale negli spostamenti quotidiani e nel trasporto merci, e le auto intelligenti stanno iniziando a svolgere un ruolo importante nella nostra vita quotidiana. Le auto semi-autonome e completamente autonome sono diventate un argomento di grande attualità: paesi come Regno Unito, Francia e Svizzera stanno già testando auto a guida autonoma sulle strade pubbliche. Gartner, società di ricerca e analisi nel campo delle tecnologie informatiche, ritiene che entro il 2030 le auto senza conducente rappresenteranno il 25% della quota di mercato del settore automobilistico.

Immaginate un'autostrada piena di auto senza conducente, ma un futuro così bello potrebbe anche offrire opportunità agli hacker informatici. Dato il crescente numero di attacchi informatici illegali e furti di dati verificatisi negli ultimi anni, garantire la protezione dei conducenti dalle minacce informatiche è diventato un obiettivo di sviluppo e una sfida per il settore della sicurezza automobilistica.

Le auto a guida autonoma potrebbero non avere nemmeno il volante. Hanno più componenti elettronici rispetto alle auto "tradizionali" e si affidano a sensori, radar, GPS e varie intelligenze artificiali per rendere possibile la guida autonoma. Questi nuovi componenti elettronici e sistemi di sicurezza devono essere integrati nel sistema elettronico del veicolo, collegati al produttore tramite una rete wireless e persino dotati di servizi di terze parti tramite Internet.

Questa è l'origine del problema delle minacce informatiche. Gli hacker possono accedere da remoto al veicolo e controllare un determinato sistema elettronico di bordo, il che comporta una serie di rischi, tra cui il furto della privacy degli utenti e dei dati aziendali, e rappresenta una minaccia concreta alla sicurezza personale e alla proprietà.

Ecco alcune delle minacce informatiche a cui potrebbero andare incontro le auto a guida autonoma:

Maggiori privilegi di accesso e interdipendenze di sistema: non tutti i sistemi e le reti di bordo sono costruiti allo stesso modo e gli aggressori cercheranno vulnerabilità nei servizi meno difesi all'interno del sistema, come il sistema di intrattenimento. E cercare di raggiungere punti più sensibili e avanzati del sistema del veicolo attraverso la rete di bordo. Ad esempio, ci sono alcuni segnali di comunicazione tra il sistema di gestione del motore e il sistema di intrattenimento che possono essere utilizzati per visualizzare avvisi (come messaggi di "avaria motore" o "controllo automatico della velocità di crociera attivato").

Stabilità e prevedibilità del sistema: i sistemi automobilistici tradizionali tendono a essere indipendenti e solitamente provengono da un unico produttore. E affinché i sistemi per le auto a guida autonoma siano scalabili, probabilmente dovranno collaborare con un'ampia gamma di fornitori di software (inclusi software open source). A differenza dei sistemi di controllo industriale, l'informatica non è caratterizzata da grande prevedibilità. In realtà, la tecnologia informatica spesso fallisce in modi imprevedibili. Per un sito web, un periodo di inattività dovuto al riavvio del server è ancora tollerabile, ma se ciò avviene in auto, le conseguenze sono spesso più gravi e difficili da accettare.

Proprio come le minacce informatiche note si adattano alle nuove piattaforme, le minacce informatiche note si estendono dai normali computer portatili e smartphone alle auto intelligenti, connesse e a guida autonoma. Per esempio:

Ransomware: il ransomware è diffuso sia sui computer che sui telefoni cellulari, ma le auto a guida autonoma rappresentano un bersaglio più ideale. Immaginate questo scenario: un hacker avvisa il proprietario tramite il display dell'auto che la sua auto è stata bloccata e che solo pagando un riscatto è possibile ripristinare il normale funzionamento dell'auto. Mentre computer portatili e telefoni possono essere facilmente recuperati senza causare danni significativi, per le automobili la situazione è diversa e i proprietari potrebbero subire perdite ben maggiori.

Naturalmente, ci sono alcune officine di riparazione auto che hanno familiarità con la risoluzione di questo tipo di problemi e possono ripristinare i componenti interessati con l'aiuto di esperti. Le riparazioni non sono economiche e la tua auto potrebbe essere rimossa. Sebbene il riscatto sia più alto rispetto a quello dei tradizionali ransomware informatici, è più economico dei relativi costi di riparazione. Quale scelta farà in questo momento il proprietario dell'auto?

Spyware: forse sarebbe più allettante per gli hacker raccogliere informazioni su di te attraverso la tua auto. Una grande quantità di informazioni include le tue destinazioni preferite, gli itinerari di viaggio, dove vivi e perfino con chi sei. Immagina se gli hacker sapessero che ti trovi lontano da casa e vendessero questa informazione a bande criminali, consentendo loro di entrare in casa tua o di usare i tuoi account online per svuotare il tuo conto in banca.

Esiste anche il rischio che la tua auto connessa senza conducente possa diventare un gateway per transazioni elettroniche, come il pagamento del caffè giornaliero o delle tariffe del parcheggio, o persino il pagamento della manutenzione del veicolo. I tuoi dati personali sensibili saranno archiviati nell'auto e l'auto stessa diventerà un altro mezzo in grado di ottenere i tuoi dati personali. Con lo sviluppo delle tecnologie RFID (radio frequency identifier) ​​e NFC (near field communication), gli hacker possono utilizzare queste tecnologie per ottenere dati personali tuoi e dei tuoi passeggeri.

L'ultimo punto è ancora la questione della legalità e dell'affidabilità. Utilizziamo le informazioni sulla posizione registrate dal veicolo come riferimento accurato? Vale a dire, se il registro del veicolo riporta che hai aperto la portiera dell'auto, sei salito in macchina e ti sei recato in un certo luogo in un certo giorno, dovremmo presumere che tutto ciò che è accaduto sia vero sulla base di questo registro? Questa questione deve essere presa seriamente.

Allo stesso modo, se il software di un'auto è fornito da diversi fornitori e si verifica un incidente di sicurezza, chi dovrebbe essere ritenuto responsabile? Si tratta di un bug del software? Oppure è colpa della gestione della rete? Oppure la colpa è delle persone a bordo, che non sono state adeguatamente addestrate?

La domanda fondamentale è: come rendere più sicure le auto a guida autonoma?

Il primo passo deve essere quello di sensibilizzare maggiormente i produttori sulle potenziali minacce informatiche. Sebbene i produttori abbiano una vasta esperienza in materia di sicurezza automobilistica, hanno ancora poca esperienza nella gestione degli hacker informatici. La collaborazione tra produttori e settore della sicurezza Internet può rappresentare una situazione vantaggiosa per tutti e l'ISAC (Information Sharing and Analysis Center) ne è un esempio.

Il secondo passo è valutare i rischi e le minacce derivanti dall'integrazione di sempre più tecnologie nell'auto, sia per migliorare l'esperienza di guida dell'utente sia per migliorare le prestazioni dell'auto. Sebbene non vi siano ancora requisiti normativi, è importante garantire che queste tecnologie siano applicate correttamente e obbligatoriamente ai sistemi corrispondenti.

Inoltre, c'è un problema crescente con molti dispositivi IoT: molti utilizzano un set comune di procedure di comunicazione che non hanno alcuna sicurezza integrata. La conseguenza diretta è che i dati dei dispositivi sono estremamente insicuri. Per le auto a guida autonoma abbiamo bisogno di standard di rete più solidi di quelli di cui disponiamo oggi per l'Internet delle cose.

Allo stesso tempo, i produttori devono collaborare con vari fornitori di tecnologie e comunicazioni per chiarire dove vengono venduti i veicoli e garantire che le connessioni di rete ai veicoli siano stabili e sicure.

La sicurezza automobilistica può essere suddivisa in tre “domini” distinti che, in alcuni casi, possono impiegare tecnologie simili.

Comunicazione interna: le auto intelligenti avranno diversi sistemi di controllo di bordo, come il sistema di controllo del veicolo, il sistema di intrattenimento, la rete passeggeri e sistemi di terze parti caricati in base alle esigenze personali del proprietario. In una certa misura, questi sistemi devono "comunicare tra loro" per fornire nuovi servizi, ma queste "comunicazioni" devono essere basate su un attento monitoraggio e controllo. I software responsabili del rilevamento e del controllo includono firewall e sistemi di prevenzione delle intrusioni, che possono determinare se la "comunicazione" è normale e legale.

Comunicazione esterna: la maggior parte dei sistemi dei veicoli richiede comunicazioni di servizio basate su Internet, come manutenzione, aggiornamenti software, networking passeggeri, navigazione, richieste di assistenza, acquisti e backup dei dati. Le comunicazioni esterne sono bidirezionali, il che significa che tutti i dati in entrata e in uscita dal veicolo devono essere controllati e gestiti in modo sicuro, con la possibilità di intercettare le attività illegali.

Le comunicazioni tra veicoli e infrastrutture di servizio utilizzeranno probabilmente reti cellulari come i servizi dati 3G e 4G. Sebbene questi servizi dati forniscano già accesso a Internet a miliardi di smartphone e altri dispositivi in ​​tutto il mondo, non sono ancora immuni ai pericoli informatici. Ovviamente, le auto a guida autonoma necessitano di una rete cellulare più completa. Altrimenti, se l'attuale rete cellulare venisse utilizzata per la trasmissione dei dati, una volta attaccata dalla rete, decine di migliaia di auto potrebbero subire incidenti. Pertanto è necessario garantire che la rete cellulare utilizzata per le comunicazioni del veicolo sia sufficientemente sicura per evitare potenziali rischi.

Ultimo ma non meno importante, è necessario progettare per la macchina un sistema di riconoscimento dell'identità e di controllo degli accessi altamente sicuro. Il veicolo stesso monitora e filtra le informazioni in entrata e in uscita dai sistemi chiave del veicolo, e le richieste di accesso al cloud o di trasmissione (ad esempio per il rifornimento o il pagamento) sono soggette alla verifica dell'identità del proprietario.

Vincitore del Qingyun Plan di Toutiao e del Bai+ Plan di Baijiahao, del Baidu Digital Author of the Year 2019, del Baijiahao's Most Popular Author in the Technology Field, del Sogou Technology and Culture Author 2019 e del Baijiahao Quarterly Influential Creator 2021, ha vinto numerosi premi, tra cui il Sohu Best Industry Media Person 2013, il China New Media Entrepreneurship Competition Beijing 2015, il Guangmang Experience Award 2015, il China New Media Entrepreneurship Competition Finals 2015 e il Baidu Dynamic Annual Powerful Celebrity 2018.