Depois do verão, os novos modelos de automóveis serão mais ciberseguros

A partir do próximo dia 6 de julho, não será mais possível vender carros novos que não cumpram as normas UNECE R155 e R156. Mas analisemos o que são estas normas e se o Pai Natal me vai poder trazer o V10 que lhe pedi... ou não.

A norma R155 faz parte de um pacote legislativo promovido pela ONU e foi concebida para proteger os veículos contra um possível ciberataque, assegurando uma gestão eficiente de incidentes e vulnerabilidades que possam surgir até ao final da vida útil do veículo. Ou seja, não iremos deixar de receber atualizações de software, apesar de passarem 2 ou 3 anos e de já existir uma nova versão do nosso modelo, como está a acontecer atualmente.

Por seu lado, a R156 estabelece os requisitos para garantir que essas atualizações de software ou de firmware sejam realizadas de forma segura, isto é, que não possa haver um ciberdelinquente a capturar esse pacote de software para modificá-lo antes de chegar ao nosso automóvel, que o código do software seja seguro e que se encontre corretamente auditado e que, claro, a nova atualização não inclua novos riscos ou vulnerabilidades.

Sim, sim, sim, tudo isso é ótimo... Mas, e o V10 de 560 cv de 2015 que pedi ao Pai Natal prevendo já que, neste ano, me vou portar muito bem?

As normas só se aplicam aos veículos cuja nova data de homologação seja posterior a julho de 2022, pelo que só serão aplicáveis aos novos modelos fabr icados após 6 de julho de 2024. Na GMV, temos trabalhado nesta linha com um conhecido fabricante de autocarros que homologou 4 novos modelos e sobre os quais tivemos de realizar diferentes atividades, como uma análise de riscos detalhada (TARA) e um pentest muito específico para comprovar que os riscos identificados no TARA eram tratados corretamente... Ou seja, que não seria possível um ciberdelinquente entrar no autocarro na paragem de Plaza de Castilla de Madrid, sentar-se na última fila com a sua sweatshirt de capuz e realizar uma recusa de serviço ao autocarro inteiro que nos fizesse chegar tarde ao escritório ou pôr o aquecimento no máximo para que começássemos a suar em bicas.

Ou seja, sim, posso pedir ao Pai Natal aquele V10 matriculado em 2015... Apesar de ser provável que as normas ambientais da minha cidade não me permitam andar com ele.

Nem todos os países aceitaram a obrigatoriedade destas normas. O Japão e a Coreia do Sul adotaram-nas sem problemas para além dos países europeus. Os Estados Unidos, por exemplo, estão mais alinhados com diretrizes e padrões desenvolvidos por organismos nacionais einternacionais, como a ISO/SAE 21434. No final de contas, a ISO/SAE 21434 proporciona-nos um marco detalhado para gerir a cibersegurança nos veículos no seu ciclo de vida, desde o projeto e desenvolvimento até à colocação em produção, manutenção e desmantelamento quando termina a sua vida útil.

A realidade é que é um padrão muito interessante, apesar de, ao contrário das suas primas-irmãs, a R155 e a R156, não ser de cumprimento obrigatório por si só, mas tratar-se de um padrão internacional voluntário desenvolvido pela Organização Internacional de Normalização (ISO) e a Sociedade de Engenheiros Automóveis (SAE). No entanto, a sua adoção pode ser obrigatória ou necessária indiretamente através de regulamentos (se, por exemplo, forem exportados veículos para a Europa), requisitos de mercado ou contratos específicos na indústria automóvel.

Para além de tudo isso, é de destacar que a GMV foi pioneira na formação em todas estas normas e regulamentos e que tem atualmente uma forte equipa capaz de ajudar os fabricantes em todo o processo de validação de novos veículos. Neste processo  pode verificar o TARA proporcionado pelo fabricante ou realizar todas as provas de intrusão necessárias para validar os riscos identificados e, em muitas ocasiões, encontrar novas vulnerabilidades não identificadas previamente pelo fabricante. Esta é a parte mais divertida.

Nem é preciso referir que o V10 de 2015 que comentávamos antes padece de uma série de vulnerabilidades próprias da rede intraveículo que nunca foram corrigidas... Mas, como em 2015 os veículos não estavam conectados com o mundo exterior, a medida de proteção mais efetiva que podemos aplicar é não emprestar as chaves a ninguém.

Autor: Carlos Sahuquillo