La industria del motor vive en una situación de incertidumbre que no favorece una transición tranquila. A los riesgos tradicionales vinculados a la conducción o posesión de un automóvil ahora hay que añadir las distintas revoluciones tecnológicas, como la irrupción de la inteligencia artificial, y el impacto del cibercrimen. El escenario resultante es cada vez más complejo.
Todos los vehículos, eléctricos o no, agrupan en sus entrañas multitud de componentes susceptibles de ser atacados. Pueden bloquearse los frenos, alterarse los sensores o desactivarse los radares de proximidad. La limitación de la velocidad máxima también puede ser manipulada, como los datos más privados del coche (dónde descansa cada noche, qué autopista cruza en tiempo real).
S2GRUPO acaba de elaborar su Segundo Informe de Ciberseguridad en Vehículos Eléctricos Conectados, que radiografía las amenazas para el sector con los objetivos de validar el uso de una metodología específica para el desarrollo de análisis de riesgos y de identificar las medidas de seguridad adecuadas para proteger la disponibilidad, integridad y confidencialidad de los Vehículos Eléctricos Conectados (VEC).
Limitaciones en los modelos tradicionales
Los investigadores han detectado las limitaciones de los modelos tradicionales de ciberseguridad industrial:
Linealidad en el enfoque. Hasta ahora se han evaluado los riesgos de manera individual y aislada, sin tener en cuenta que los entornos industriales son cada vez más complejos y los ataques actuales suelen combinar varias técnicas y etapas. Esta visión no resulta apropiada para examinar los nuevos escenarios de riesgo.
Relación entre amenazas e impactos. Los peligros no suelen materializarse de forma aislada. Con frecuencia se precisa tener en cuenta vulnerabilidades simultáneas.
Problemas en la estimación de probabilidades. Un escenario de riesgo crítico es resultado de la combinación de vulnerabilidades en diferentes niveles del sistema y secuencialidad de los ataques. S2GRUPO propone la metodología Microsoft Threat Modeling Tool (TMT), que emplea árboles de ataque para el cálculo de la probabilidad de materialización de los escenarios de riesgo, probada con éxito en otros entornos del ámbito de la movilidad, como el sector ferroviario o naval, y en infraestructuras críticas.
La TMT pone el foco en la seguridad funcional, la segmentación de redes y la defensa en profundidad. No debe confundirse el vehículo conectado con el autónomo, diseñado para controlar su propio movimiento sin necesidad de conductor (es solo una pequeña parte de los vehículos conectados). La autonomía es posible gracias a la capacidad para detectar elementos del entorno y responder de forma independiente ante ellos, permitiendo la circulación sin intervención humana.
Los componentes del VEC, así como sus comunicaciones y arquitecturas facilitan la identificación de los elementos críticos en el ámbito de la ciberseguridad. Los analistas de S2GRUPO han probado en el laboratorio que los ataques pueden explotar distintos puntos de entrada, como la intrusión física, accesos inalámbricos o mediante protocolos de diagnóstico.
Principales amenazas
Las posibilidades de ataque son, desgraciadamente, numerosas:
Ausencia de mecanismos de monitoreo y detección de anomalías o ciberataques.
Bloqueo de frenos mediante la manipulación malintencionada de las válvulas ABS, utilizando la inyección de paquetes de diagnóstico (UDS).
Cierre centralizado permanente.
Modificación del comportamiento de sensores y actuadores visibles y audibles.
Desactivación del radar de proximidad a través del envío de mensajes CAN Standalone.
Inhabilitación del vehículo en movimiento con la desactivación de la ECU EVC durante la aceleración.
Manipulación de eCall con la modificación del número de emergencia.
Alteración del límite de velocidad máxima del vehículo.
Acceso no autorizado a telemetría. Exfiltración de información crítica, como localización GPS, velocidad y estado del vehículo.
Uso de protocolos inseguros. El bus CAN (Controller Area Network) fue diseñado inicialmente para facilitar la comunicación entre los distintos componentes de un vehículo, pero es vulnerable a ataques que pueden interceptar, modificar o inyectar mensajes en la red.
Ausencia o baja efectividad de mecanismos de autenticación y protecciones contra la modificación de código. Estos mecanismos se diseñaron inicialmente para asegurar que el software funcionase correctamente, pero no se consideró la necesidad de protegerlo contra modificaciones malintencionadas, dejando abierta la puerta a ataques potenciales.
Insuficiente segmentación de redes. La red del vehículo está estructurada para facilitar la comunicación y el intercambio de datos entre sus componentes, pero no se implementan suficientes medidas de segmentación que limiten el acceso no autorizado y contengan posibles amenazas.
Baja efectividad en el proceso de gestión de vulnerabilidades. La ciberseguridad requiere una gestión activa y continua.
Acerca del autor
