ידענים: תחבורה יבשתית

מאת 5 באפריל 2016 9 תגובות

בתערוכת סביט שהתקיימה לאחרונה בהנובר, הציגו שני האקרים "לבנים" כיצד פרצו למכונית שהיא דטה סנטר על גלגלים ומה אומרת הפריצה אליה על האינטרנט של הדברים

ביולי 2015, הפגינו שני חוקרי אבטחת סייבר בפני כתב המגזין WIRED כיצד הם יכולים לשלוט מרחוק בג'יפ צ'ירוקי לאחר פריצת מערכות הבידור המשולבת במתקפת "ניצול יום האפס". הדבר הוביל קרייזלר לקרוא ל-1.4 מיליון כלי רכב כדי לעדכן את מערכות האבטחה שלהם, בעלות ניכרה לשורה התחתונה של קרייזלר וכן גרצה הפריצה לפחד קולקטיבי ללקוחותיה.

קווין מהאפי יוצא למסע אזהרה כדי שהמקרה לא ישוב יותר. כמייסד ו- CTO של ספק תוכנת אבטחת הסייבר Lookout, מהאפי ושותפו למחקר מארק רוג'רס מחברת CloudFlare החליטו לבדוק אם לא רק ג'יפ צ'ירוקי ניתן לפריצה. באוגוסט 2015, הם עשו זאת על טסלה מדגם S במטרה להסביר נושא מרכזי בביטחון התקני האינטרנט של דברים (IOT) בכנס CeBIT בהנובר, גרמניה, בשבוע שעבר אמר מהאפי "מבין כל המכוניות המקושרות בחרנו בדגם S מסיבה אחת: הארכיטקטורה שלה חדשה מהיסוד; אין לה מורשת. ובנוסף, זולא מכונית, זה מרכז נתונים על גלגלים. "

קווין מהאפי, ה-, CTO של חברת האבטחה המקוונת Lookout, מסביר כיצד הוא פרץ מכונית טסלה מדגם S. "ההשערה שלנו היתה שטסלה משתמשת בתקנים רבים במכונית," אמר מהאפי. "לכן חשבנו שנאמר כי למרות שניסינו חזק ככל שיכולנו כדי לפרוץ אותה, לא הצלחנו כי שהם עשו עבודה טובה.'"

כפי שהתברר, טסלה עשתה דברים רבים בצורה נכונה מנקודת המבט של אבטחת IT, אבל לא מספיק. הצמד צבר גישה למגוון של מערכות המידע הממוחשבים במכונית, ובסופט של דבר השניים גרמו לטסלה לעדכן את התוכנה מוטבעת על דגם S.

לאחר שמהאפי ורוג'רס הודיע ​​לטסלה של הפרצות שלהם, החברה יצרה במהירות עדכוני תוכנה, אשר נשלחו באמצעות הענן לכל כלי רכב מדגם S כאילו היה פעולה שגרתית. הלקוחות לא נדרשו להביא את המכוניות שלהם למוסכים, טסלה לא היתה צריכה לבזבז זמן וכסף על שירות, ולא הייתה נשורת יחסי הציבור רצינית מהאירוע.

במכונית טסלה מדגם S משובצים שלושה שרתים נפרדים. אשכול Instrument (IC) ותצוגת מרכז המידע (CID) מריצים לינוקס;, המחשבים מופעלים באמצעות מערכת ההפעלה בזמן אמת FreeRTOS. כלומר כולם פועלים באמצעות קוד פתוח. התמונה באדיבות טסלה מוטורס.

מהאפי אמר כי ישנם שלושה שיעורים חיוניים שצריכים להילמד מהפריצה הזו לדגם S של טסלה. שיעורים אלה חלים על מערכות ה- IT בכלל, אבל במיוחד במערכות IOT ההולכות ונפוצות ברחבי העולם. שיעורים אלה הם בעלי חשיבות חיונית משום שלתעשיות המפתחות את "הדברים" ב-IOT אין היסטוריה ב- IT או באבטחה מקוונת. "קל יותר להנדס [אבטחה] בתחילת פיתוח ואז לא יהיה צורך להוסיף טלאים.

שיעור 1: יצירת תהליך עדכון חזק

התקני מחשוב דורשים עדכונים על בסיס קבוע. ספקי ה-IT ולקוחותיהם מבינים זאת; הם הקימו מנגנונים נמצאים לשדרוגי תוכנה. התקני IOT אינם חסינים מהצורך בעדכוני תוכנה, אבל המערכת האקולוגית עבור שדרוגי תוכנה אינה ריכוזית, מאובטחת או מובנית בדרך כלל.

מהאפי התעקש במצגת שלו על הצורך להנדס את התיקונים ולא להוסיפם מעל המערכת. "עדכוני תוכנה צריכים להיות מופציםלעתים קרובות, הם צריכים להיות בחינם למשתמש הקצה … ונדרשת לחיצה אחת או שתיים לכל היותר כדי להפעילם," אמר. צרכנים בדרך כלל מתעלמים מעדכוני תוכנה אם הם מסובכים ודורשים זמן רב.

שיעור 2: ליצור מערכת אבטחה-מחוסנת

אבטחה הייתה נושא מרכזי במושבי כנס סביט.. באחת הפגישות השתתף פוליטיקאי. יאן פיליפ אלברכט, חבר הפרלמנט האירופי מצפון גרמניה ממפלגת הירוקים, ומבקר חריף בסוגיות פרטיות דיגיטליות. הוא דוגל בתפקיד חזק לממשלה ב בהקמת תקני אבטחה עבור IOT.

"לפני שמפתחים מערכות IOT צריכים להבטיח תשתית של אבטחה ופרטיות בתכנון של מוצרים אלה," אמר. "כדי להשיג זאת אנחנו צריכים שהרגולטורים יעשו את העבודה לפני כן."

"חברות שעושות עסקים באירופה צריכות לדבוק בכללים. באירופה יש את תקן הזהב להגנה על נתונים. כל היצרנים חייבים להניח שהמכשירים שלהם יותקפו במוקדם או במאוחר. רוב המצטרפים החדשים צריכים להנדס עד כדי הפיכת המכשיר למבוצר כדי למנוע מראש את ההתקפה. כיום יש קירות גדולים מבחוץ ושום דבר לא מגן על החלק הפנימי," הצהיר מהאפי.

כדי לסייע ליצרנים להבין את החשיבות של מה שהוא מכנה תכנון חסין, מהאפי מציע את המטפורה של הגוף האנושי. עור הוא רק את השורה הראשונה של ההתנגדות מפני מחלות; ישנה מערכת גדולה בגוף שלכל אחד מהחלקים שלה יש שיטה משלו להתמודד עם זיהומים. אבטחת IOT צריכה להיות מושגת על בסיס מערכתי ולא על ידי אמון בכך שהממשק החיצוני הוא בלתי חדיר. "אמון מוחלט יגרום לכך שההתקן יהיה פרוץ לחלוטין," אמר מהאפי. חייבים ליצור חיישנים המנטרים העברות נתונים בין המערכות על מנת לעקוב אחר מה שקורה במקרה שמתרחשת הפרה.

שיעור 3: לבודד רכיבים קריטיים

חוזרים אל הגוף כאל מטאפורה ל-IOT. מהאפי ציין כי למערכת הקריטיות ביותר, המוח, יש שכבה מיוחדת משלה לביטחון – מחסום הדם-מוח. יצרני המכוניות ויצרנים של מכשירים אחרים בעלי חיבור לאינטנרט צריכים ליצור מחסום דם-מוח משלכם סביב השער של המערכת. דוגמה של תעשיה אחת המיישמת זאת היא תעשית התעופה.

V-Wi-Fi לא יכול לדבר עם הטייס האוטומטי", אמר מהאפי. "הבלם שלך לא אמור להיות מסוגל לדבר עם דפדפן האינטרנט; וחשוב יותר, דפדפן האינטרנט שלך לא אמור להיות מסוגל לדבר עם הבלמים שלך. "

שער המכשיר הוא החלק הכי חשוב של המערכת, ועליו תהיה הגנה חזקה ביותר. אי אפשר להסתמך רק על קיר גדול, ציין מהאפי ציין, אבל קיר גדול הוא התחלה טובה.

9 תגובות ל “הפורצים לג'יפ צ'ירוקי ולטסלה-S חשפו כיצד עשו זאת ומלמדים איך להגן על האינטנרט של הדברים”

  1. ניסים

    דני
    זה נכון – אבל לא מספיק. לי יש ג'יפ צ'רוקי, ושלחו לי עיכדון תוכנה בדואר. זה היה דיסק-און-קי קטן שהכיל עידכון גרסה לכריות האוויר. בדקתי טלפונית עם החברה שזה אכן משהו שהם שלחו.
    ואל תשכח – אתה ניכנס למוסך ושם לך תדע….. באוטו הזה אתה לא יכול להחליף אפילו מנורת דרך לבד.

  2. דני

    לטסלה היה מזל גדול שההאקרים לא היו מתוחכמים מספיק ולא באמת רצו להזיק. כי אלה שכן ירצו להזיק היו פורצים לשרתים של טסלה (ולא למכונית בודדת) ומוציאים עדכון לכל המכוניות שגם מחבר את כל המכוניות אליהם ומנתק אותם מהשרתים של טסלה כך שטסלה לא תוכל אפילו לשלוח עידכון גם אחרי שימצאו ויתקנו את הפירצה אצלם.
    עידכון תוכנה לרכב וכל מכשיר קריטי אחר צריך להיות דרך התקן פיזי בלבד!!

    כל מה שמחובר לרשת ניתן לפריצה נקודה.
    אם הם לא ילמדו את זה מהמקרה הזה הם ילמדו בהמשך בדרך הקשה…

  3. חיים

    ניסים
    לא ירחק היום ותיכנס לאוטו שאין בו הגה. אתה אומר למחשב להיכן אתה רוצה להגיע או מקליד לשם כך תוכנית עבודה. יתרה מכך כאשר הרכב יגיע ל – 10,000 ק"מ הוא ייסע לבד למוסך.

  4. ניסים

    רונן
    בוא אספר לך את הצד השני. יש לי ג'יפ צ'רוקי כזה. מעבר לכך שהנהיגה באוטו הזה נעימה וקלה, האוטו בטוח בצורה מפתיעה. הוא שומר מרחק לבד ובולם עצמאית כשאוטו לפנייך בולם או מישהו חותך אותך. הוא שומר נתיב ומסובב את ההגה עם אתה יוצא מהנתיב. והוא מתריע לך עם יש רכב בשטח המת. ואם תלחץ.על הכפתוא הנכון – הוא גם חונה לבד…

    לנוחות ולבטיחות יש מחיר במורכבות. בסה"כ – אני חושב שהיתרונות עולים על החסרונות.

  5. רונן

    למרות שאני אוהב קידמה לפעמים נדמה לי שהפשטות מנצחת.
    שמעתי סיפור ממדריך ג'יפים על ג'יפ של חצי מיליון שקל שנתקע במהלך טיול בירדן על אחת הדיונות. נשפך מעט שמן על איזה מעגל חשמלי ונאלצו לגרור את הרכב לארץ למוסך המרכזי כי רק שם אפשר להניע אותו.
    ברכב של פעם זה לא היה קורה…

  6. אורי

    הייתי בהרצאה בנושא "אינטרנט הדברים" בכנס אבטחת מידע גדול בישראל.
    המסקנה שלי חד-משמעית: אף אחד לא יאבטח כראוי את המכשירים וזה כמעט בלתי אפשרי.
    בייחוד כאשר מדובר במכשירים בבית המדברים עם מכשירים אחרים מספר התסריטים לפריצה עצום.
    מעבר לכך איזה יצרן ישקיע בעדכון בעיות אבטחה במוצר בן 5 או 10 שנים?
    לווא דווקא מכונית: המקרר, המיקרו, הקומקום, התנור ושאר המכשירים הביתיים.
    היצרנים יפסיקו לעדכן בשלב כלשהו ויציעו לרכוש מוצר חדש ומאובטח יותר גם כמקדם מכירות.
    אני בספק שמישהו יזרוק קומקום או מכונת כביסה העובדים כראוי בגלל בעיות אבטחה.
    עובדה שהרבה אנשים עדיין עובדים עם חלונות XP .

הוספת תגובה

  • (will not be published)