Se succede a loro, può capitare a chiunque

endian_BMW-connected-drive_Hack

Cosa accade se manca la sicurezza in ambito Internet of Things

Gli appassionati di tecnologia e automotive conoscono bene ConnectedDrive® di BMW: un pacchetto di servizi e applicazioni che migliora l’esperienza di guida offrendo funzioni avanzate di sicurezza ed entertainment. Questo vasto complesso di opzioni tecnologicamente all’avanguardia  – che, per dare una misura dell’estensione di ConnectedDrive® sull’elettronica del veicolo, comprende l’apertura delle portiere da remoto- è stato concepito per essere controllabile dall’utente tramite smartphone.
Internet of Things entra quindi ancora una volta a pieno diritto in ambito consumer.

Ma cosa può succedere se tanta innovazione non viene supportata da un adeguato livello di sicurezza?
Il sistema usato da BMW per permettere la comunicazione è basato su tecnologia GSM: una SIM installata in una centralina dell’auto permette lo scambio tra la stessa e i server centrali. Partendo dall’errato presupposto che utilizzare una linea dedicata – tramite connessione 3G, appunto – isoli la comunicazione, il flusso di informazioni non viene criptato. I dati critici sono quindi esposti all’intercettazione da parte di terzi.
Ecco serviti gli elementi dell’attacco Man in The Middle subito recentemente dal colosso automotive. Potenzialmente, ogni macchina dotata di questa tecnologia potrebbe essere aperta e comandata a distanza da un qualsiasi dispositivo connesso in rete che “si finga” una stazione base GSM.
Le implicazioni sono visibili a tutti.

Compromissioni di sicurezza simili possono essere evitate con l’impiego di una tecnologia avanzata comeEndian Connect Switchboard, concentratore VPN evoluto e pannello di controllo dei permessi di accesso, in grado di criptare e proteggere la comunicazione tra nucleo centrale ed endpoint. Tramite i certificati generati dallo Switchboard non sarebbe stato necessario utilizzare le chiavi simmetriche impiegate da BMW su tutte le automobili, eliminando quindi il cavallo di Troia per lo sblocco da remoto delle vetture. Lo Switchboard, inoltre, usa protocolli di cifratura per la comunicazione sicura, fattore che lo rende esente dal rischio di attacchi di tipo “replay” a cui invece il gateway usato dalla casa automobilistica è risultato vulnerabile.

Quello di BMW è solo l’ultimo dei casi in ordine di tempo in cui una falla nella sicurezza mette a rischio l’immagine di un brand mondiale, oltreché la serenità dei suoi clienti. Spesso in ambito di automazione industriale le questioni legate alla sicurezza delle reti vengono relegate ad una terra di nessuno dove giacciono dimenticate fino al giorno in cui tornano prepotentemente – e dolorosamente – alla ribalta. Di solito, come nel caso di BMW, quando ingenti danni sono già stati prodotti. Spezzare questo circolo vizioso facendo attività di prevenzione vuol dire associare ad una tecnologia vincente e innovativa uno scudo che protegga chi la adotta, impedendo che l’opportunità di guardare al futuro si tramuti in un incubo per chi l’ha colta.