El impulso de ASRG por la seguridad del software automotriz

Torneos en acción: el impulso de ASRG por la seguridad del software automotriz

The Automotive Security Research Group es una organización sin ánimo de lucro dedicada a fomentar la concienciación y apoyar el desarrollo de la seguridad en la industria automotriz, con el objetivo de encontrar y promover soluciones que hagan que los productos automotrices sean más seguros. Actualmente, este sector está atravesando una revolución hacia vehículos conectados, autónomos, compartidos, electrificados y definidos por software. A medida que nos adentramos en este nuevo mundo tecnológico, con una dependencia cada vez mayor del software que impulsa los vehículos y las aplicaciones del ecosistema, organizaciones como ASRG desempeñan un papel fundamental a la hora de llamar la atención sobre la seguridad del software en la industria automotriz y defenderla.

Esta concienciación, y sobre todo que los fabricantes actúen en consecuencia, será crucial a medida que los posibles vectores de ataque y los riesgos cibernéticos se expandan con la creciente adopción de nuevas tecnologías vehiculares en el mercado de consumo. El FBI advirtió recientemente sobre atacantes que tienen como objetivo la industria automotriz estadounidense, donde una gran mayoría de las brechas son resultado de datos confidenciales sin cifrar. Esto, sumado a ataques como la fuerza bruta en bases de datos mal configuradas, podría tener consecuencias enormes y potencialmente letales. Como parte de su investigación sobre soluciones y herramientas que ayudan a definir y mantener los estándares de seguridad de software en productos automotrices, el equipo de ASRG puso a prueba la plataforma de Secure Code Warrior, específicamente la función de Torneos. Diseñada específicamente para involucrar a los desarrolladores mediante una competencia amistosa y gamificada, aumentar su conciencia sobre la seguridad y ayudar a perfeccionar sus habilidades de codificación segura, ASRG analizó cómo Secure Code Warrior podría despertar el interés de los desarrolladores en la seguridad, enseñarles las habilidades para detener vulnerabilidades comunes que afectan al software automotriz y evitar riesgos inaceptables.

‍

¿Cuáles son los vectores de ataque típicos en el software automotriz?

Al analizar las posibles vías de acceso de los atacantes al software automotriz, existen muchas posibilidades, tal como se detalla en el informe integral de Allot.

Por muy concienciados que estén con la seguridad, los desarrolladores no pueden defenderse de todo (¡ni se espera que lo hagan, para eso existen los especialistas en AppSec!), pero hay muchas puertas traseras comunes que los ingenieros expertos pueden cerrar en su código antes de que se conviertan en un problema grave, como:

Hay muchas puertas traseras comunes que los ingenieros expertos pueden cerrar en su código antes de que se conviertan en un problema grave

‍

¿Qué gravedad tiene la situación de un vehículo comprometido?

Para la mayoría de las personas es evidente que los vehículos no son 100% seguros y que se asume cierto riesgo al utilizarlos. Las averías de los vehículos, los accidentes, conducir bajo los efectos del alcohol… todo ello conlleva un resultado potencialmente fatal para cualquier usuario de la vía.

¿Pero qué pasaría si ese fallo catastrófico del vehículo fuera causado de forma remota, como resultado de un ciberataque malintencionado? Se ha sugerido durante mucho tiempo que el mundo se tomará en serio la ciberseguridad cuando existan consecuencias que pongan en peligro la vida, pero la realidad es que ya estamos inmersos en esa situación y, sin intervención, la situación solo irá a peor.

En 2015, investigadores de seguridad lograron "apagar" el motor de un Jeep Cherokee mientras circulaba por una autopista; utilizando un exploit de día cero conocido en el software del sistema, pudieron controlar de forma inalámbrica el aire acondicionado, la radio, la dirección, los frenos y la transmisión. Aunque peligroso, fue un experimento controlado, pero demostró el control letal que un atacante podría tener sobre un vehículo y sus ocupantes. Desde este evento, millones de vehículos conectados han llegado a nuestras carreteras, cada uno representando millones de líneas de código que deben ser protegidas.

La tecnología de vehículos autónomos (y su adopción) avanza a un ritmo vertiginoso, lo que puede suponer una inmensa presión para sus creadores, especialmente para los equipos responsables de desarrollar el código que impulsa las comodidades del mañana. Existe una necesidad urgente de que los desarrolladores de software de la industria automotriz compartan la responsabilidad de la seguridad, y ASRG es el centro comunitario en el que muchos confían para obtener los conocimientos, herramientas, recomendaciones de expertos y apoyo más recientes en materia de seguridad. Su torneo mundial Secure Code Warrior buscó involucrar, evaluar e inspirar a más de 100 desarrolladores que representan a los capítulos de ASRG en todo el mundo. Participando en una competición amistosa y formación, intentaron resolver desafíos de codificación segura directamente relacionados con los problemas a los que se enfrenta el software predominante en su industria.

La tecnología de vehículos autónomos (y su adopción) avanza a un ritmo vertiginoso, lo que puede suponer una inmensa presión para sus creadores, especialmente para los equipos responsables de desarrollar el código que impulsa las comodidades del mañana.

‍

Datos y cifras de los torneos y las sesiones de formación

Esto es un indicativo de un alto nivel de compromiso y del deseo de seguir jugando, ambos subproductos inmensamente beneficiosos de las técnicas de gamificación en la formación y la educación.

La formación y los torneos pueden realizarse en los lenguajes y marcos de trabajo que cada desarrollador prefiera, asegurando que los desafíos sean hiperrelevantes y utilicen código real con el que se encontrarían en su trabajo diario. Este enfoque de aprendizaje contextual y fragmentado garantiza la entrega rápida del contenido más importante para resolver los problemas más frecuentes en el ciclo de vida de desarrollo de software (SDLC) de la organización.

El perfil de desarrollador más común entre los participantes

‍

‍

Otros hallazgos significativos:

Torneo virtual global de codificación segura de ASRG: puntuación de código seguro por lenguaje

Torneo virtual global de codificación segura de ASRG: puntuación de código seguro por vulnerabilidad

Si bien todos los participantes mostraron cierta competencia en los lenguajes y marcos elegidos, no hubo un área de vulnerabilidad que se considerara "100% segura" o dominada, y la puntuación media de precisión fue del 67%. No se espera que ningún desarrollador se convierta en un experto en seguridad, pero los torneos son una excelente manera de introducir estándares de seguridad, un punto de referencia de calidad y la responsabilidad de aprender a eliminar errores de seguridad comunes en el código... especialmente cuando ese código puede conducir al control de acceso remoto del vehículo de alguien, o algo peor.

Perspectivas del torneo sobre vulnerabilidades y factores de riesgo basados en habilidades

Las iniciativas de formación y el torneo de ASRG se centraron en algunas vulnerabilidades clave que afectan a los vehículos conectados, a saber:

Tras miles de minutos de formación y cientos de desafíos, quedó claro que las áreas de enfoque debían seguir siendo el control de acceso, el almacenamiento de datos confidenciales y, como prioridad, las vulnerabilidades de corrupción de memoria. Esta última es una posible vulnerabilidad conocida no solo en vehículos ultra conectados, sino también en muchos otros dispositivos IoT.

Un error de este tipo fue descubierto recientemente por el equipo de Evaluación y Penetración de Experiencia del Cliente (CX APT) de Cisco en GNU Glibc, una biblioteca utilizada en sistemas Linux ARMv7, dejándolos vulnerables a la corrupción de memoria hasta que se cree y aplique un parche. En estos tiempos de dispositivos repletos de sensores que utilizan la recopilación de datos en tiempo real desde múltiples puntos ambientales, el beneficio para un atacante podría ser significativo, incluso si no es posible el control remoto del dispositivo.

El equipo de ASRG ha creado recursos increíbles para los desarrolladores que necesitan trabajar en la seguridad automotriz, con su directorio de herramientas y soluciones probadas, una wiki completa y una poderosa comunidad global. Estas iniciativas de grupos independientes son lo que se necesita para impulsar el cambio desde la base, y su disposición a probar cosas nuevas y forjar los cimientos de la concienciación sobre seguridad en sus miembros es un elemento poderoso para detener las vulnerabilidades recurrentes en dispositivos altamente sensibles.

Retorno de la inversión al invertir ahora en las mejores prácticas de codificación segura

Un estudio publicado por SAE International y el Software Integrity Group de Synopsys reveló que, en términos de garantizar que las tecnologías conectadas estuvieran protegidas y a salvo tanto de las ciberamenazas existentes como de las emergentes, la industria automotriz estaba significativamente rezagada respecto a muchas otras.

Es una tendencia preocupante, pero no es irreversible, especialmente con organizaciones como ASRG luchando por mantener la seguridad como prioridad en la industria, mientras arrojan luz sobre las soluciones, herramientas y educación necesarias para que las empresas automotrices construyan un programa de seguridad blindado.

Su experiencia en la organización de un torneo global de Secure Code Warrior de gran participación les brindó la oportunidad de identificar áreas clave de riesgo dentro de un grupo de desarrollo, oportunidades de aprendizaje continuo, estadísticas de precisión en desafíos de codificación segura y las vulnerabilidades principales en las que enfocarse, según las necesidades de la industria.

Entonces, ¿cuáles serían los retornos estimados de transformar un programa de seguridad dentro de una organización, inculcando la conciencia y la acción de seguridad desde el principio del SDLC? Echemos un vistazo:

Para una empresa que identifica incluso un número modesto de vulnerabilidades anuales en sus auditorías de seguridad, los costos potenciales de detección y remediación pueden ser significativos. Y, dependiendo de dónde se descubran estos molestos errores en el proceso, el precio de la corrección puede aumentar drásticamente, incluso para las soluciones "simples": hasta treinta veces el costo de una corrección en etapa tardía, en comparación con una que se encontró y corrigió al principio.

Retorno de la inversión

Esta estimación de tres puntos muestra el impacto financiero y operativo potencial de tres ahorros diferentes habilitados por la formación, los torneos y la transformación cultural de Secure Code Warrior.

‍

Ahorros anuales potenciales

‍