Rsac: mobil yang terhubung, terhubung ke masalah?

Setiap kali saya menguji firewall atau suite keamanan, saya mengandalkan alat penetrasi CORE Impact untuk memeriksa seberapa baik itu bertahan terhadap eksploitasi. CORE Security memang berspesialisasi dalam manajemen kerentanan dan pengujian penetrasi, tetapi kepentingan perusahaan lebih luas dari itu. Pada Konferensi RSA, Eric W. Cowperthwaite, Wakil Presiden, Keamanan dan Strategi Tingkat Lanjut memberi saya penjelasan tentang apa yang telah dipelajari para peneliti tentang keamanan di "mobil yang terhubung".

Evolusi Mobil yang Terhubung

"Di seluruh generasi pertama mobil yang terkomputerisasi, komputer itu berdiri sendiri, " kata Cowperthwaite. "Generasi kedua juga. Ke depan, mobil modern pada dasarnya akan menjadi hotspot WFi seluler, perangkat seluler, pusat data. Setiap sistem yang terhubung dengan komputer akan seperti aplikasi, menghubungkan ke jaringan, berbicara satu sama lain. Dan sistem akan berbicara ke database pembuat melalui satelit."

"Jika Anda berpikir tentang peralatan militer modern, " lanjutnya, "katakanlah, sebuah F16 atau tank M1 baru, mereka sepenuhnya terkomputerisasi. Operator dan kontrolnya terhubung ke komputer. Ada tautan komputer antara setiap komponen. Mobil modern akan terlihat seperti itu."

Tidak Sepenuhnya Rosy

"Tentu saja ada masalah, " kata Cowperthwaite. "Lihat apa yang terjadi dengan Toyota. Kita tidak tahu bahwa itu adalah komputer yang menyebabkan akselerasi spontan, tetapi kita tidak bisa mengesampingkannya. Itulah yang terjadi ketika Anda tidak dapat menguji setiap use case yang mungkin."

Dia menunjukkan bahwa bug atau perangkat lunak yang buruk di dalam mobil dapat memiliki konsekuensi serius. Bagaimana jika itu mengerem padahal seharusnya tidak? Lebih buruk lagi, bagaimana jika orang jahat menemukan cara untuk menghasilkan uang dengan meretas mobil?

"Semua mobil yang terhubung akan membutuhkan semacam uplink satelit untuk menyediakan Wi-Fi di dalam mobil, " kata Cowperthwaite. "Mungkin tidak menguntungkan bagi orang-orang jahat untuk menyerang mobil individu, tetapi bagaimana jika mereka menggunakan mobil untuk meretas ke hulu, ke pembuatnya? Atau berkeliling di tempat parkir menyedot data? Uplink satelit memberikan serangan potensi untuk masuk ke bagian belakang pembuat mobil."

Serangan fisik juga dimungkinkan. "Misalkan ini tahun 2017, " kata Cowperthwaite, "dan Obama tidak lagi menjadi presiden. Dia akan menyetir sendiri. Jika seorang penjahat cyber dengan dendam tahu di mana mobilnya berada, dia bisa dalam kesulitan. Seperti peretasan peralatan medis, peretasan mobil bisa mematikan."

Peretasan Topi Putih

Cowperthwaite tidak dapat mengungkapkan rincian lengkapnya, tetapi ia menyatakan bahwa CORE Security melakukan pengujian penetrasi untuk setidaknya satu dari perusahaan teknologi mobil besar. "Bisnis kami adalah untuk membantu mereka menguji terlebih dahulu, " jelasnya, "sehingga mereka tidak mengeluarkan sistem yang lemah. Kami membuat mereka sekuat mungkin. Sebelum mereka merilis suatu sistem kepada publik, mereka membiarkan kami melihatnya, berpikir seperti seorang penyerang."

Akankah orang benar-benar mencoba meretas mobil generasi selanjutnya? Cowperthwaite yakin mereka akan melakukannya. "Kenapa mereka? Banyak alasan, " katanya. "Sepuluh tahun yang lalu kita tidak bisa membayangkan bahwa seseorang akan masuk ke sistem komputer, mencuri kredensial, dan hanya mempostingnya di depan umum untuk pamer. Tetapi mereka melakukannya."

"Kita semua memiliki mobil, " pungkasnya, "dan tingkat penggantian adalah sekitar setiap tujuh setengah tahun. Pada tahun 2020 hampir semua mobil akan terhubung, kecuali untuk barang-barang kolektor. Di internet hal-hal, dunia yang terhubung, mobil sangat menarik. " Saya yakin dia benar; Saya tentu berharap pengujian oleh CORE Security dan pakaian serupa akan memastikan bahwa mengendarai mobil yang terhubung adalah pengalaman yang aman dan positif.