El hackeo de coches: ¿amenaza real o una posibilidad hipotética?

En 2015 se comprobó que era possible hackear de forma remota un coche con conectivi-dad. ¿Pero es tan peligroso como parece?

Desde el año pasado, ya no hay duda de que es posible hacerse con el control de un coche conectado de forma remota. A pesar de ello, por ahora no ha habido ningún caso real de coches fuera de control que obedezcan las órdenes remotas de hackers. Por lo tanto, ¿se trata de una amenaza real o de una posibilidad hipotética?

A juzgar por los debates que tuvieron lugar en la RSA 2016, esta respuesta es compleja. En la actualidad, la amenaza es mínima, pero, con el tiempo, aumentará. En unos años, esta situación será mucho más peligrosa. Lo peor es que, la industria automovilística está organizada de tal forma que los fabricantes intentarán resolver estos problemas fundamentales durante varias décadas. Por lo que, lo mejor es actuar cuanto antes mientras el tema sea de candente actualidad; por suerte, muchos fabricantes también lo creen.

Que no cunda el pánico…

…pero si quieres un subidón de adrenalina, mira este vídeo realizado por equipo de Wired y la famosa pareja de hackers automovilísticos, Charlie Miller y Chris Valasek.

En el vídeo, verás al editor de Wired, Andy Greenberg, conduciendo un nuevo Jeep, mientras que Miller y Valasek hackean de forma remota el coche de Andy: encienden la radio y accionan los limpiaparabrisas, detienen el coche y hacen todo lo posible por mostrar cómo el volante, los pedales y los frenos cobran vida propia. Estos no tienen una conectividad directa, pero el coche cuenta con varios sistemas informáticos integrados que, de una forma u otra, son vulnerables a los hackeos.

Sin embargo, solo una pequeña cantidad de los coches más modernos pueden controlarse de esta manera. Según los expertos de Kelley Blue Book, quienes informaron sobre este tema en la RSA, la edad media de los coches que circulan por las carreteras estadounidenses es de unos 11 años de antigüedad. Por lo tanto, la mayoría de los coches no cuentan con conexión a Internet, Bluetooth o a otros dispositivos que permitan el acceso a los hackers. Son como los “teléfonos tontos” en comparación con los “teléfonos inteligentes o smartphones“: el predominio de los “coches tontos” nos protege de los hackers.

Los criminales tendrían que estudiar en profundidad un gran número de tecnologías y dispositivos para poder hackear un coche. Se trata de una enorme y ardua tarea. Y esto no es todo: también tendrían que invertir una gran suma de dinero en un coche y un equipo especializado. Por ejemplo, Miller y Valasek estudiaron este tema durante cuatro años y, al final, fueron capaces de hackear tan solo ciertos modelos de coche.

Los PCs suelen usar el mismo tipo de procesadores (Intel) y un sistema operativo (como Windows, OSX o Linux). El sistema informático de un coche está formado por miles de ordenadores especializados que están interconectados mediante CANbus.

Desde un punto de vista, esto no es lo mejor, ya que esta arquitectura dificulta la implementación de medidas de seguridad estándar, sin embargo, también nos protege frente a los criminales, quienes tendrían que emplear una gran cantidad de tiempo en entender qué es cada cosa.

No debemos dormirnos en los laureles

Este periodo de tranquilidad no durará mucho. La cifra de vehículos con conectividad está aumentando constantemente. Según Kelley Blue Book, en los últimos 5 años, la cifra de modelos con conexión ha aumentado de 2 a 151.

Además, hay una gran cantidad de dispositivos con conexión a Internet que pueden integrarse incluso en vehículos más antiguos mediante CANbus. Por ejemplo, las compañías de seguros y las empresas logísticas suelen instalar sistemas de seguimiento que monitorizan la conducción, la precaución del conductor, dónde y con qué frecuencia se detiene y otros aspectos relacionados. Estos dispositivos pueden ser hackeados y utilizados para acceder a CANbus y a los sistemas críticos del vehículo.

La buena noticia es que la cifra de expertos que estudian estos problemas también está aumentando. Por ejemplo, el proyecto Open Garages, estudia las soluciones de hardware y software gratuitas o más económicas, que permiten a los usuarios analizar los datos de la red automovilística y manipular su funcionamiento. Además, Open Garages está en contacto con garajes en los que se puede encontrar vehículos, herramientas e infraestructura para probar nuevo software e ideas novedosas.

El equipo necesario para el estudio de CANbus está basado en Raspberry Pi o Arduino. Este, junto a otros accesorios, cuesta unos 90 euros. Además, también existen aplicaciones de código abierto con este propósito y que tienen diversas funcionalidades; algunas de ellas además son gratuitas. Esto significa que la cifra de vulnerabilidades conocidas y de protocolos de control de sub-red descifrados se incrementará rápidamente. Es solo cuestión de tiempo que esto se utilice con fines maliciosos.

Hay que pasar a la acción

No hay soluciones sencillas para este problema como instalar un antivirus en el sistema informático central. CANbus es un protocolo estándar que se creó en los años 80 y que permite que todos los sistemas estén interconectados sin necesidad de autentificación. Para mejorarlo, habría que cambiar la mayoría de los sistemas del coche. Esto es muy probable que ocurra: aunque de momento solo se han dado un par de casos de hackeo de automóviles, ya se han retirado varios vehículos, causando daños millonarios a los fabricantes. Tras el hackeo de Cherokee, Fiat Chrysler retiró 1,4 millones de coches.

Otro estímulo para los fabricantes está en que, como muestran los informes de Kelley Blue Book, la mayoría de los encuestados cree que deben ser los mismos fabricantes los que suministren los sistemas de seguridad, no los distribuidores o empresas externas.

Sin embargo, la industria automovilística no tiene experiencia en el desarrollo de soluciones de seguridad para sus vehículos. Los fabricantes de los componentes de los coches, se enfrentan al mismo problema.

Por suerte, las empresas y los expertos en seguridad sí están familiarizados con estos problemas, ya que llevan lidiando con estos asuntos durante los últimos diez años. El proyecto IAmTheCalvary recomienda adoptar un sistema de seguridad cinco estrellas, por el que se concede una estrella por cada medida de seguridad que se implemente correctamente. Por lo tanto, podemos afirmar que hay cinco problemas principales que debemos solucionar:

1. Asegurar el ciclo de vida del desarrollo de software o la seguridad por diseño

Esto conlleva desarrollar un coche siguiendo los principios básicos de seguridad: los proyectos están estandarizados para poder comprender, predecir y normalizar las prácticas. Las cadenas de distribución de hardware y software están bien gestionadas y se pueden rastrear para que sea más fácil remediar cualquier defecto. La superficie de ataque y la complejidad del código se reducen sistemáticamente. Y, por último, se invita periódicamente a especialistas para realizar pruebas de resistencia independientes.

2. Colaboración con terceros

Esto implica que todos los investigadores que descubran una vulnerabilidad, deberían saber qué ocurre tras informar sobre sus hallazgos. No deberían ser perseguidos judicialmente, por el contrario, deberían ser recompensados. Por ejemplo, Tesla ya ofrece recompensas a los expertos que encuentren vulnerabilidades en sus coches, aunque no se trata de una práctica muy extendida en la industria automovilística

3. Recopilación de pruebas

Hasta que los coches no tengan una “caja negra”, será difícil investigar un incidente y obtener pruebas de un hackeo. Estas cajas negras deberían registrar el intercambio de información de CANbus. A su vez, la privacidad también debería tenerse en cuenta: esta información no debería transferirse a ninguna parte.

4. Actualizaciones de seguridad

Si tu coche es vulnerable a los hackeos, solo podrás resolver este problema en un centro de mantenimiento de automóviles. Esto complica el proceso de actualización. Un gran número de personas no instala las nuevas actualizaciones. Por ello, Open Garages recomienda crear un sistema de actualización instantánea, como el de las soluciones de Apple, implementado en los iPhones.

Los principales componentes de dichos sistemas son soluciones de actualización seguras, acuerdos apropiados de nivel de servicio y el programa sólido de notificación de los clientes.

5. Segmentación y separación

Los sistemas críticos y no críticos deben ser independientes, de esta forma, los criminales no podrán acceder por completo al coche mediante el hackeo de una aplicación de infoentretenimiento. También es necesario implementar técnicas que indiquen cuándo un sistema se ha visto comprometido.

Por desgracia, todas estas medidas, solo podrán ser implementadas en los coches que se fabriquen en los próximos años, en el mejor de los casos. Así que, los coches que cuenten con medidas de seguridad llegarán incluso más tarde. Mientras tanto, la cifra de coches vulnerables va en aumento y estos permanecerán en las carreteras durante unos diez años o incluso más. Por eso, no es un problema preocupante en este momento, pero lo será muy pronto. Y es por eso que los fabricantes deben actuar ya.

Nosotros, en Kaspersky Lab, también formamos parte de este proceso de desarrollo. Estamos dispuestos a colaborar con los fabricantes de automóviles y de algunas de sus piezas para ayudarles a desarrollar coches que estén protegidos por diseño. Nuestro sistema operativo seguro sirve de ayuda para resolver este problema.

Consejos
Suscríbete para recibir nuevas publicaciones en tu buzón
  • Para el resto de países