Intervista a Giuseppe Faranda, Amministratore Delegato della startup italiana dedicata alla sicurezza della mobilità DriveSec.

Il mercato dei prodotti e servizi per le Connected Car, le auto del futuro collegate a Internet, è previsto valere 155 miliardi di dollari entro il 2022, una stima che parte dall’assunto che entro tale data oltre il 75% dei 92 milioni di auto vendute ogni anno sarà dotato di connettività alla rete. Perché questo mercato possa crescere è però indispensabile garantire la sicurezza, e quindi anche la safety, di queste autovetture avanzate ed oggi già pronte a fruire dei nuovi servizi online. Come impostare però nel modo migliore sicurezza e data privacy nelle nuove auto connesse? quali problematiche si presentano oggi ai Car maker e in generale a tutto l’ecosistema Automotive per tenere sotto controllo il rischio di hacking e malfunzionamento?

Il tema sarà dibattuto anche durante il Webinar Sicurezza per l’Auto Connessa e la Smart Mobility organizzato da The Innovation Group per il prossimo 9 novembre 2017, con gli interventi di Giuseppe Faranda, Amministratore Delegato della startup italiana dedicata alla sicurezza della mobilità DriveSec, e Walter Nesci, Senior Manager Technology Innovation – System e SW Engineering Center, Magneti Marelli. Anticipiamo alcuni temi del Webinar in questa intervista con Giuseppe Faranda.

Quali sono gli attuali schemi di attacco cyber a vetture connesse (Connected Car) che si sono dimostrati potenzialmente molto dannosi, anche per l’incolumità fisica delle persone?

La maggior parte degli attacchi noti aveva finora finalità principalmente dimostrative. Sono stati seguiti schemi connessi con l’analisi delle vulnerabilità dei sistemi operativi e dei componenti più diffusi nell’elettronica di bordo. Si tratta di un mondo molto specialistico e che richiede elevate risorse (anche economiche) per individuare le vulnerabilità. Rispetto al mondo dei sistemi ICT tradizionali la soglia di accesso è quindi molto più alta. Una volta raggiunto l’obiettivo però il danno potenziale è molto elevato anche dal punto di vista dell’incolumità fisica delle persone. Una volta avuto accesso alla rete di controllo della vettura, visto che la maggior parte delle funzioni (come ad esempio la frenatura) sono controllate elettronicamente, si può cercare di manomettere i sistemi di controllo e le logiche che regolano la safety in maniera importante. Oggi il canale principale di attacco è la rete cellulare che può garantire l’accesso remoto ad un grande numero di vetture. Ed i sistemi cellulari entrano in vettura o tramite scatole telematiche, sia di primo impianto che aftermarket, o anche tramite sistemi di connessione del proprio cellulare alla vettura (es. via Bluetooth). Un esempio su tutti, le black box assicurative: l’Italia tra l’altro è al primo posto al mondo per tasso di penetrazione di scatole nere (16% delle auto circolanti) e al secondo per numero di apparecchi installati: 5,4 milioni (subito dopo gli USA, che conta 12 milioni)[1].

Come si stanno muovendo gli enti regolamentatori in questo campo? Dobbiamo aspettarci norme più severe sul fronte della sicurezza cyber per OEM e car makers?

Gli enti normatori stanno analizzando quali sistemi di sicurezza digitale adottare nelle norme, partendo da collaborazioni con i settori industriali di riferimento. In Acea (European Automobile Manufacturers’ Association) è stato istituito un gruppo di lavoro sulla cybersecurity e così anche in Unece con il gruppo Vehicle 29.  Ma ad oggi, da punto di vista della sicurezza del prodotto, tutto è lasciato all’iniziativa degli OEM, che affrontano un rischio soprattutto di immagine e di prodotto (liability). L’assenza di un quadro normativo definito rende incerta per gli OEM la direzione verso cui muoversi.

Sicuramente sarebbe preferibile una maggiore velocità degli enti normatori, considerando che gli OEM stanno facendo interventi senza sapere quale sarà il quadro normativo di riferimento, quindi con un notevole margine di rischio. L’unico riferimento di tipo industriale è oggi la normativa SAE J3061, che partendo dalla ISO 26262 (Automotive safety), definisce le azioni all’interno di un framework di riferimento per la cybersecurity.

Poter far riferimento a una norma sarebbe fondamentale anche per lo sviluppo dei sistemi di guida autonoma, che aumenteranno il livello di rischio sulle vetture demandando sempre di più le funzioni di guida a sistemi automatici con una forte necessità di connessione con il mondo esterno, e quindi di pari passo, bisognosi di protezione digitale.

Come salvaguardare quindi sicurezza, connettività e data privacy dentro e fuori l’Auto Connessa?

A differenza di server o PC, una vettura ad oggi non è facilmente aggiornabile una volta uscita da un concessionario o da un’officina: questo elemento va tenuto presente quando si parla di sistemi di sicurezza.

La progettazione della sicurezza va fatta al momento del design e deve coprire tutto il ciclo di vita della vettura. È quindi necessario non solo mettere in protezione le centraline critiche ma tutto il sistema di produzione, consegna, assistenza e di delivery delle parti di ricambio e dell’aftermarket. Sono necessari investimenti elevati e tecnologie differenti a seconda dell’ambiente da proteggere.

Pensare che sia necessario proteggere solo la vettura (o la radio di bordo) è quindi un approccio rischioso.

È necessario innanzi tutto che si incominci anche nelle vetture a pensare all’uso di tecnologie per la protezione dell’identità digitale e dei dati. Sono molti i casi in cui i produttori di centraline utilizzano certificati digitali non sicuri, ovvero che fanno riferimento a  certification authority non sicure. L’OEM si deve far carico di verificare l’esistenza di certificati digitali validi su tutti i sistemi di bordo.

In secondo luogo le architetture di bordo devono iniziare a comprendere sistemi di controllo degli accessi (tipo firewall) e sistemi di monitoraggio e prevenzione delle intrusioni:  queste informazioni poi devono poter essere raccolte ed analizzate a terra, presso un Secure Operation Centre per l’automotive, anche inter OEM.

Infine, ma non da ultimo, le vetture dovranno dotarsi (come succede già nel mondo dei sistemi mobili) di sistemi di aggiornamento del software over the air (OTA), per agevolare gli interventi di aggiornamento, che iniziano a diventare urgenti.

Quali elementi concorrono a rendere più complesso il tema della sicurezza delle auto connesse?

Oggi siamo in presenza di numerose criticità. In sintesi:

1. Mancanza di guideline e standard ampiamente accettati. Gli OEM devono fare investimenti rilevanti senza sapere se saranno quelli corretti nell’ottica del normatore.
2. La cybersecurity al momento è vista solo come un costo, non come un valore per il cliente, ma se non gestita all’interno di un business case degli OEM può comportare impatti disastrosi (multe, perdita di credibilità, …).
3. Mancanza di cultura ed awareness: molto spesso gli investimenti sono rimandati ritenendo che al momento il problema non sia poi così evidente o reale. Il problema è che ogni macchina messa in commercio oggi, rimarrà sul mercato per più di 10 anni, e quindi quello che è poco realistico oggi lo sarà invece tra qualche anno.
4. Mancanza di certificazione per i servizi delle aziende esterne. Se faccio dei penetration test con società esterne, non ho garanzia sulla qualità ed accuratezza del servizio. Servirebbe un certificatore indipendente ed una metodologia ampiamente accettata.
5. Difficoltà collegate al supply chain risk management.
6. Connettività nelle auto considerata sempre più una commodity, senza tener conto dei rischi connessi.
7. Infine, anche il mercato dell’aftermarket si sta sviluppando senza considerare il problema della sicurezza, spesso per assenza di consapevolezza e per i costi elevati.

Chi sono in generale i new entrants del settore e i nuovi business model che stanno nascendo intorno alla sicurezza delle auto connesse?

Ci sono di diversi tipi di società che lavorano sul tema della sicurezza. Il primo gruppo comprende i Tier1 automotive (Bosch, Conti, …); il secondo le tech company che arrivano dal mercato ICT (Checkpoint, Kaspersky, …) o che nascono come startup per indirizzare il mercato automotive e dei sistemi embedded (Argus, Towersec, Honeywell, Karamba security).

Il primo gruppo ha una posizione di vantaggio in quanto fornitore dei sistemi finali, mentre il secondo hanno un ruolo più di garanzia verso gli OEM, in quanto potrebbero fornire servizi di certificazione e soluzioni indipendenti rispetto ai produttori di componenti.

È sicuramente vero che nel mondo della sicurezza automotive si possano importare molte soluzioni che arrivano da quello ICT, ma è anche vero che è necessario avere solide competenze sulle architetture automotive per poter identificare le migliori soluzioni di sicurezza per specifici veicoli. Si stanno moltiplicando le start-up che offrono servizi di Cybersecurity per il mondo automotive partendo da servizi di base quale penetration test fino alla fornitura di software per il monitoraggio dei sistemi di bordo. Il problema principale ad oggi è la mancanza di certificazione e valutazione dei servizi offerti e delle società che li offrono. È un mercato in crescita (se non nascente).