Mostrando entradas con la etiqueta omsp. Mostrar todas las entradas

Publicamos nuestro paper "Ciberseguridad en Movilidad", presentado en el XXI Congreso Español ITS (#ITSES2021)

RESUMEN

Los vehículos ITS forman parte de un complejo ecosistema de tecnologías, lo que supone una amplia superficie de ataque en la que se puede propiciar un incidente de ciberseguridad, afectando no solo a la protección de datos, sino también a la seguridad vial. Debido al peligro que supone un ciberataque y los graves efectos que puede causar en la sociedad, es necesario un exhaustivo diseño, implementación y evaluación de las medidas de ciberseguridad empleadas en los vehículos de nueva generación y sus sistemas de comunicaciones. Open Mobility Security Project tiene como objetivo ser el marco de trabajo de referencia que permita a fabricantes, proveedores y auditores evaluar la ciberseguridad de un sistema de movilidad conectado, siendo aplicable durante todas las fases del desarrollo de producto, facilitando así el cumplimiento normativo y la generación de evidencias que ello implica, de una forma ágil, sencilla y con gran trazabilidad.

INTRODUCCIÓN

“Nos encontramos en la cúspide del cambio de modelo de transporte más rápido, profundo y consecuente de la historia” (WG 5 CCAM Platform, 2020)(p. 3). Esta afirmación define perfectamente el momento histórico en el que se encuentra actualmente el sector de la movilidad. La incorporación de tecnologías de conectividad a los sistemas del vehículo, la aparición de los vehículos autónomos, el uso de motores eléctricos propulsados por baterías de alta capacidad, y el nacimiento del nuevo modelo de negocio transporte como servicio, han cambiado completamente el paradigma establecido hasta el momento. Los fabricantes ya no se centran únicamente en diseñar vehículos altamente sofisticados en su mecánica y estética, sino en que estos además dispongan de nuevas tecnologías de conectividad con objetivo de aumentar la protección y el confort de sus ocupantes. Además, su incorporación, permite a los vehículos ser partícipes en nuevos modelos de transporte en los cuales cada participante intercambia con la infraestructura y otros usuarios de la vía la información sobre su entorno que ha captado mediante su conjunto de sensores, facilitando una movilidad más segura, eficiente y ecológica.

Figura 1: Infografía sobre activos atacables de un vehículo moderno

La incorporación de nuevas tecnologías de conectividad y automatización a un sistema electromecánico orientado al transporte, supone un cambio radical en la composición de los sistemas embarcados y un significante aumento de su complejidad. Su incorporación, implica la aparición de una nueva dimensión tecnológica que debe ser segura desde su diseño, para que los posibles nuevos vectores de ataque no afecten a la protección de los pasajeros y usuarios de las vías por las que circulen. Como se puede ver en la infografía de ejemplo mostrada en la Figura 1, un vehículo actual dispone de numerosas utilidades que podrían permitir a un atacante actuar sobre el vehículo en caso de que una de ellas tuviese alguna vulnerabilidad explotable.

El gran impacto y repercusión causado por las nuevas tecnologías de conectividad y automatización en el mercado de la movilidad, ha derivado en la propuesta de nuevas regulaciones, estándares y recomendaciones por parte de gobiernos, fabricantes de equipamiento original y otras agrupaciones de interesados, para adaptarse a las circunstancias impuestas por el avance de la tecnología y asegurar que los nuevos vehículos son diseñados desde un principio con un enfoque hacia la seguridad informática de sus sistemas. Por destacar los documentos más relevantes orientados a automoción, se encuentran, entre otros, la regulación UNECE R155, R156, la norma ISO/SAE 21434 y la recomendación consolidada SAE J3061.

Por otra parte, acompañando a la publicación de nueva normativa y regulación, surgen proyectos como Open Mobility Security Project (OMSP) (Zerolynx, 2020), proyecto de I+D+i de Zerolynx que tiene como objetivo establecer un marco de trabajo enfocado en la verificación y validación de la ciberseguridad de todo tipo de vehículos, mediante la cual se facilita el cumplimiento regulador en un mercado exento de herramientas similares. OMSP será objeto del discurso en el apartado de resolución.

PLANTEAMIENTO

Problemática de la conectividad ante la ciberseguridad

Desde los inicios de la automoción hasta hoy, la preocupación por la protección de los ocupantes del vehículo ha ido en aumento, convirtiéndose a partir del siglo XXI en una de las principales preocupaciones durante el diseño del vehículo. Con la aparición de los vehículos conectados, se abre un nuevo frente que afecta a la protección de los ocupantes de forma indirecta, la seguridad informática de los sistemas del vehículo conectado.

Los vehículos autónomos y conectados generan, almacenan y operan grandes cantidades de datos provenientes de sus sensores. Según McKinsey (McKinsey, 2014), se estima que los vehículos autónomos y conectados generarán hasta 25GB de datos por hora. Gracias a la conectividad ampliada, en un ecosistema V2X los datos de interés para otros usuarios de la vía son compartidos a través de la red, conformada por múltiples actores que se ven beneficiados. En la Figura 2 se muestra un ejemplo de un posible escenario de comunicación ilustrado por ETSI.

Figura 2: Ilustración de escenario ITS (ETSI, 2010)(p.12)

Sin la implantación adecuada de seguridad en su diseño, operación y mantenimiento, los vehículos conectados y su ecosistema pueden quedar expuestos a ataques que impacten severamente en la protección y privacidad de sus usuarios. Además, se deben de tener en cuenta todo el entorno y actores partícipes en cada fase de su ciclo de vida. Según CCAM Platform (WG 5 CCAM Platform, 2020) "La exposición de un vehículo a redes V2X, puede suponer ataques informáticos", algo esperable de un entorno hiperconectado basado en tecnologías de reciente creación que tienen por objetivo implantarse en el día a día de las personas, y por lo tanto, esto se convierte en un problema que afecta a toda la sociedad, tal y como comparte la antigua CEO de General Motors, Mary Barra, en una entrevista realizada en el año 2016, (MIT Technology Review, 2016): “Un ciber-incidente es un problema para todos los fabricantes de vehículos del mundo (…). Es una cuestión de seguridad pública”.

En la Figura 3 se muestra un ejemplo de la superficie de ataque de un vehículo moderno en función de su estado y perspectiva del atacante.

Figura 3: Infografía sobre la superficie de ataque de un vehículo conectado.

Compromiso entre Safety y Security

Para continuar el planteamiento del problema expuesto, es necesario tener claro el significado de los conceptos protección ante riesgos y protección ante amenazas, por lo que se hace uso de las definiciones aportadas por el documento de recomendaciones SAE J3061 (SAE J3061: Cybersecurity Guidebook for Cyber-Physical Vehicle Systems, 2016)(p. 17):

Seguridad mediante protección ante riesgos: Es el estado de un sistema que no causa daño a la vida, propiedad, o entorno.
Seguridad mediante protección ante amenazas: Es el estado de un sistema que no permite la explotación de vulnerabilidades que conllevan a pérdidas, ya sean financieras, operativas, de privacidad o de protección.
Sistema crítico ante riesgos de integridad física: Sistema que puede causar daño a la vida, propiedad, o entorno si el sistema no se comporta según lo previsto o lo deseado.
Sistema crítico ante amenazas informáticas: Sistema que puede conllevar a pérdidas financieras, operativas, de privacidad, o de protección ante riesgos si es comprometido a través de una vulnerabilidad presente en el sistema.

Cabe destacar que en la Lengua Castellana no existe una traducción exclusiva para los términos safety y security, ambos son traducidos directamente por "seguridad", lo que habitualmente conlleva a confusión a la hora de referirse a alguno de ellos. En este documento se ha optado por traducir safety como "protección ante riesgos" y security por "protección ante amenazas". En lo que respecta a la relación entre los dos dominios, es importante clarificar qué influencia tienen el uno sobre el otro. Según se expone en la guía (SAE J3061: Cybersecurity Guidebook for Cyber-Physical Vehicle Systems, 2016)(p. 17): "Todos los sistemas críticos ante riesgos de integridad física son sistemas críticos ante amenazas informáticas, ya que un ciber-ataque puede afectar directa o indirectamente a la integridad del sistema conllevando a potenciales pérdidas de protección". Por otra parte, expone: “No todos los sistemas críticos ante amenazas informáticas son sistemas críticos ante riesgos de integridad física, ya que un ciber-ataque puede resultar en pérdidas que no afecten a la protección, como por ejemplo pérdidas de privacidad, operativas o financieras”.

Figura 4:Relación entre sistemas críticos respecto protección y ciberseguridad (SAE J3061: Cybersecurity Guidebook for Cyber-Physical Vehicle Systems, 2016)(p. 17)

Verificación y validación de la ciberseguridad de vehículos

Tras estudiar los conceptos safety y security así como su relación de efecto, a continuación se centra el discurso en los requisitos de verificación y validación establecidos a nivel normativo y regulador aplicados al sector de la automoción.

Mediante un estudio del marco normativo y legal aplicable, se puede comprobar como tanto la regulación de UNECE R155, como el borrador de la norma ISO/SAE 21434, exponen la obligación de comprobar de forma práctica las medidas de ciberseguridad establecidas como mitigación ante los resultados del análisis de riesgos realizado durante la fase de concepto del producto. Concretamente, en la regulación UNECE R155, se exponen los siguientes extractos (UNECE WP.29, 2020):(UNECE WP.29, 2020):

Así mismo, se expone en el Anexo 5 un amplio listado de amenazas y mitigaciones que deben ser incluidas en el análisis de riesgos y que por lo tanto deben ser verificadas mediante testing por las autoridades competentes. En la siguiente figura se muestra un extracto del anexo mencionado.

Figura 5: Listado de vulnerabilidades o métodos de ataque relativos a amenazas (UNECE WP.29, 2020) Fragmento de la Tabla 1 del Anexo 5.

Como se puede apreciar en el texto comentado, la evaluación de las medidas de ciberseguridad es un requisito obligatorio y excluyente ante la obtención de la certificación del producto. Específicamente, se indica un conjunto de requisitos extenso y complejo que debe ser verificado mediante testing, pero como es de esperar en una regulación, no se recomienda ningún tipo de metodología que facilite, pero a su vez, sí se enuncia que es requisito para los servicios técnicos disponer de procedimientos implementados que permitan una evaluación uniforme acorde a la regulación.

La sección del documento SAE J3061 dedicada a la fase de verificación y validación de requisitos técnicos de Ciberseguridad (SAE J3061: Cybersecurity Guidebook for Cyber-Physical Vehicle Systems, 2016)(pp. 49-50), establece que para su desarrollo se debe hacer uso de metodologías de comprobación de vulnerabilidades, de fuzz testing y de la realización de tests de intrusión aplicables en función del alcance deseado, de tal forma que sea posible verificar los requisitos técnicos de ciberseguridad y finalmente validar el producto en este aspecto. Profundizando en la definición del concepto, según Pablo González, destacado investigador español (González, 2015)(p. 17), "Un test de intrusión es un ejercicio que tiene como objetivo fundamental detectar, investigar y explorar las vulnerabilidades existentes en un sistema de interés", el cual "verificará y evaluará la seguridad". Su objetivo según SAE, es proporcionar una aproximación realista a como un hacker intentaría infiltrarse explotando las vulnerabilidades presentes en el sistema, pudiendo así comprobar la efectividad de los controles de Ciberseguridad aplicados. Además, añade que la desventaja de la realización de tests de intrusión es su aplicación en fases tardías del ciclo de vida del producto, ya que requiere hacer uso de una implementación completa del sistema, y por lo tanto, cualquier vulnerabilidad detectada en este momento causará un gran coste de corrección sobre las fases previas.

RESOLUCIÓN

Open Mobility Security Project (OMSP)

Desde el Área de Ciberseguridad en Movilidad de Zerolynx, conscientes del problema que supone el aumento de conectividad en los vehículos y la obligación al cumplimiento de la regulación y normativa, sumado a la carencia de metodologías y herramientas que faciliten la evaluación de la ciberseguridad de los vehículos de nueva generación, se decide crear OMSP, un proyecto abierto a la comunidad, basado en la experiencia y la investigación, que tiene como objetivo establecerse como marco de trabajo de referencia definiendo el conjunto de procesos necesarios para evaluar de forma ágil y sencilla la ciberseguridad de cualquier tipo de vehículo.

Actualmente, OMSP es un proyecto vivo que continúa desarrollándose hacia su segunda versión, en donde el equipo de ingenieros de I+D+i del Área de Ciberseguridad en Movilidad adapta el marco de trabajo a los requisitos establecidos por la regulación e integra nuevas técnicas de hacking asociadas a las tecnologías más recientes. Su documentación se encuentra publicada en la plataforma GitHub en forma de repositorio (Zerolynx, 2020), donde en breve se publicará la nueva versión actualizada. Además, OMSP cuenta con respaldo académico, ya que su desarrollo forma parte de un doctorado industrial en ciberseguridad desarrollado con el respaldo de la Universidad Rey Juan Carlos.

Fundamentos de la metodología

A continuación, se enuncian los fundamentos de la metodología, y a su vez se distinguen las ventajas y motivos por los cuales se propone su uso en el mercado:

Proceso estructurado: El marco de trabajo propuesto está compuesto por una serie de fases y actividades organizadas en un orden lógico, definidas con claridad y sencillez, lo que permite una rápida comprensión de la metodología y su posterior puesta en práctica, así como una gran trazabilidad de las actividades realizadas.
Desarrollo continuo: Para dar soporte al cumplimiento normativo, OMSP se desarrolla de forma continua e iterativa para mantenerse actualizado al complejo estado del arte, proporcionando ante cada novedad una solución correspondiente.
Accesibilidad: OMSP ha sido diseñado para que sea posible su uso de forma aislada o acompañada de los inputs y outputs correspondientes a la aplicación de otras metodologías. Por ejemplo, durante su uso se podría emplear la información generada de un análisis de riesgos del vehículo en cuestión. Además, su enfoque puede ser de caja negra, gris o blanca, en función del nivel de información disponible sobre el vehículo a evaluar.
Compatibilidad: La metodología ha sido diseñada de tal forma que permite evaluar cualquier tipo de vehículo, ya que de forma independiente estos se ven descompuestos en sus unidades mínimas de evaluación denominadas activos, como pueden ser actuadores, sensores y datos, y se contextualizan dentro del entorno de operación del vehículo.
Cumplimiento: Partiendo de su proceso estructurado, el marco de trabajo establece los puntos de generación de evidencias requeridos para el cumplimiento normativo y regulador.
Open Source: El hecho de que sea un proyecto público supone una búsqueda de colaboración activa por parte de la comunidad. Cualquier interesado con conocimientos en la materia puede ser partícipe proporcionando mejoras, correcciones, difusión u otras actividades de interés. De esta forma, se pretende una mayor difusión e integración en el mercado, haciendo partícipes a múltiples actores y difundiendo el conocimiento de forma abierta.

Estructura de procesos

Tras conocer el origen y los fundamentos de la metodología, a continuación, se centra el discurso en torno a una breve descripción de los procesos y actividades que la conforman. La Figura 6 representa gráficamente su flujo y composición. El proceso comienza mediante la definición del objetivo de evaluación y su alcance. Una vez se disponga de la caracterización del producto sobre el que se trabajará, se realiza una identificación de los activos de interés que lo componen y que serán objeto de evaluación durante las siguientes fases. Una vez seleccionados, los activos se estudian en función de su naturaleza y se ponen en su contexto de operación para poder realizar una identificación de los escenarios de ataque y amenazas que pueden afectarles. A continuación, partiendo del resultado obtenido en la fase anterior, se genera una selección de controles técnicos a aplicar sobre el vehículo. Llegado este punto y disponiendo de un conocimiento profundo sobre el vehículo en el plano teórico, se realiza un análisis de arquitectura, en el cual se valora la disposición e interacción de los activos dentro de la arquitectura eléctrico-electrónica del vehículo. Por último, se realiza la ejecución de controles técnicos aplicables, concluyendo con la evaluación de los resultados obtenidos y la generación del correspondiente informe final.

Figura 6: Estructura de procesos y actividades propuestas

CONCLUSIONES

El aumento de conectividad en los vehículos inteligentes supone un grave problema para la sociedad, ya que deriva en una mayor exposición ante ciberataques que produzcan de forma colateral accidentes de tráfico o alteren la circulación en las vías. Entidades gubernamentales y otros stakeholders tratan de dar respuesta a la necesidad de disponer de vehículos ciberseguros mediante la generación e implantación de regulaciones y normas específicas para el sector de la movilidad, lo que facilitará la llegada de la ciberseguridad a la industria de la automoción y por consecuencia a una movilidad más segura.
Los fabricantes de vehículos y sus proveedores deben mejorar la concienciación, fomentando la cultura de ciberseguridad las actividades de la organización. Además, deben adoptar un ciclo de vida de producto que incluya la ciberseguridad desde el diseño, de tal forma que sus vehículos dispongan de un nivel de seguridad elevado y se eviten vulnerabilidades en fases tardías del desarrollo o producción.
El reglamento número 155 de UNECE establece la obligatoriedad de realizar un proceso de verificación y validación de las medidas de ciberseguridad implementadas en los vehículos para mitigar el riesgo de las amenazas identificadas como resultado del análisis de riesgo previamente realizado. Para ello, se realizarán pruebas de fuzz testing y pentesting mediante las cuales se simularán los posibles ataques que se realizarían ante cada caso de riesgo.
Se destaca la afirmación que realiza SAE (p. 22) y que los autores de este documento comparten: "Ningún sistema puede garantizar ser 100% seguro, pero la aplicación de un proceso de desarrollo de producto bien definido y estructurado reduce la posibilidad de la aparición de fallos de seguridad", destacando entre ello la importancia de la aplicación de un preciso sistema de validación que verifique y valide las medidas de ciberseguridad implementadas en los vehículos, como es en este caso OMSP.
Open Mobility Security Project (OMSP) es una metodología desarrollada por Zerolynx y abierta a la comunidad que tiene como objetivo establecer el marco de trabajo de referencia ante la evaluación de la ciberseguridad de cualquier tipo de vehículo. Es aplicable durante todas las fases del desarrollo de producto y facilita el cumplimiento normativo. Su contenido es accesible públicamente y se puede participar en su desarrollo como colaborador.

BIBLIOGRAFÍA

ETSI. (2010). ETSI EN 302 655 V1.1.1.
González, P. (2015). Ethical Hacking: Teoría y práctica para la realización de un pentesting (Primera). 0xWORD. https://0xword.com/es/libros/65-ethical-hacking-teoria-y-practica-para-la-realizacion-de-un-pentesting.html
McKinsey. (2014, September 1). What’s driving the connected car. https://www.mckinsey.com/industries/automotive-and-assembly/our-insights/whats-driving-the-connected-car
MIT Technology Review. (2016). GM CEO: Car Hacking Will Become a Public Safety Issue. https://www.technologyreview.com/2016/07/22/158706/gm-ceo-car-hacking-will-become-a-public-safety-issue/
SAE J3061: Cybersecurity Guidebook for Cyber-Physical Vehicle Systems, 128 (2016). https://doi.org/https://doi.org/10.4271/J3061_201601
UNECE WP.29. (2020). WP.29/R155: Proposal for a new UN Regulation on uniform provisions concerning the approval of vehicles with regards to cyber security and cyber security management system. https://unece.org/sites/default/files/2021-03/R155e.pdf
WG 5 CCAM Platform. (2020). Cybersecurity and access to in-vehicle data linked to CCAM. 1–11.
Zerolynx. (2020). Open Mobility Security Project. https://github.com/zerolynx/omsp

ANTE CUALQUIER NECESIDAD DE CIBERSEGURIDAD EN EL SECTOR DE LA MOVILIDAD, PUEDE PONERSE EN CONTACTO CON ZEROLYNX EN EL EMAIL info@zerolynx.com

Zerolynx participa en DES Innovation Hub

Del 18 al 20 de mayo tendrá lugar uno de los principales eventos digitales a nivel nacional, el DES (Digital Enterprise Show). Y en esta ocasión, nuestro COO, Daniel González, estará presentando en el DES Innovation Hub nuestro proyecto de movilidad OMSP.

Desde la organización de DES consideran relevante dar visibilidad a proyectos que puedan marcar un hito para la sociedad a través de empresas emergentes y pioneras que lideran la innovación más disruptiva ofreciendo estructuras ágiles y nuevas formas de pensar, tal como hacemos desde Zerolynx y las empresas que conforman el grupo. Por ese motivo, DES ha creado el Innovation Hub en busca de estas nuevas empresas que puedan tener un impacto en los sectores de la demanda digital, como Industria 4.0, Banca y Seguros, Salud Digital, Medios de Comunicación y Entretenimiento, Logística, Ciudades y Sector Público, Turismo y Hostelería, y Retail.

A todos aquellos que estén interesados en mejorar la seguridad de nuestros vehículos y garantizar una movilidad cibersegura, os confirmamos que estaremos en el sector Ciudades a partir de las 11 de la mañana el día 19 de mayo, con una breve introducción del proyecto OMSP.

18ª edición del ESCAR Europe

[English post below]

Hace unas semanas, estaríamos de vuelta del viaje a Alemania para asistir a la 18ª edición del ESCAR Europe. Seguramente muy emocionados compartiendo todo lo aprendido en el congreso, abriendo nuevas oportunidades de negocio surgidas de los cafés de networking y fardando con los amigos de aprovechar la ocasión para visitar ciudades, museos de automoción, circuitos...

En esta ocasión y con mucho criterio, el congreso se ha realizado en modalidad online. Pero esto no significa que haya sido monótono y distante, sino una experiencia alternativa y positiva. Los organizadores han hecho uso de las aplicaciones y plataformas que mejor se adaptan a las necesidades de un congreso, junto a una retransmisión en directo coordinada desde una realización estilo televisión, de tal forma que las ponencias se sucedían de forma ordenada siendo previamente presentadas y comentadas por los organizadores del evento, sin dejar al margen la interacción con los espectadores.

Las ponencias se dividían en múltiples salas: La sala principal del evento (Talque app) y las salas correspondientes a los patrocinadores (Cisco Webex, MS Teams, Zoom Video...). El problema que se plantea en este formato online y que sería óptimo mejorar de cara a posteriores ediciones, es que no hay tiempo para realizar el cambio de sala. Sería óptimo facilitar un breve intervalo de tiempo que permita cambiar de la aplicación principal del evento a las plataformas secundarias empleadas por los patrocinadores, ya que no hay margen para hacer el cambio de sala entre el final de una ponencia y el comienzo de otra, perdiendo siempre el tiempo de preguntas de la ponencia actual o la introducción de la siguiente.

Si algo caracteriza a ESCAR respecto otras conferencias, es su enfoque sobre ciberseguridad en el sector de la automoción, añadiendo este año pinceladas sobre ciberseguridad en infraestructura ferroviaria. Repasando la temática de este año [1], de nuevo ha sido muy amplia y de gran calidad, actualizada y contando con la participación de profesionales reconocidos en el sector. Se ha podido asistir a ponencias de todo tipo de especialidades técnicas relacionadas con la ciberseguridad en automoción, ya sea normativa aplicable, análisis de riesgos, hardware hacking, monitorización de ECUs y seguridad ante computación cuántica entre otros. En futuros posts comentaremos estas temáticas en profundidad.

Para aquellos que estén acostumbrados a asistir a conferencias técnicas de ciberseguridad, notarán una diferencia muy grande en que gran parte del espacio temporal es ocupado por ponencias de las empresas patrocinadoras, en las cuales explican las novedades introducidas por sus productos y su aproximación a las nuevas necesidades del mercado, generalmente a alto nivel sin entrar en el detalle técnico que nos gustaría conocer.

El oscurantismo característico de la industria de la automoción se hace notar de nuevo en esta edición. A falta de pocas semanas para que entre en aplicación el Reglamento de Naciones Unidas (WP.29) ECE/TRANS/WP.29/2020/79 [2] que afectará a 54 países miembro, no se ha presentado ninguna ponencia de OEMs que expliquen su visión de cómo se está abordando la nueva normativa, problemas de inconsistencia que puedan haber detectado, nuevas tecnologías y procesos introducidos o algún tipo de comentario que indique qué se está haciendo al respecto.

El hecho de que rara vez se publique un CVE asociado a un vehículo no nos sorprende, pero ver en una gráfica el total de CVEs de las principales marcas de la industria nos debería de abrir los ojos.

En la imagen superior, mostrada en la ponencia Global Automotive Cybersecurity [3], se resume el panorama de vulnerabilidades descubiertas en productos del sector. Como se puede apreciar, el número de CVEs publicados es diminuto en comparación con el mundo IT, de hecho muchas marcas reconocidas no tienen ningún CVE publicado. Este listado es encabezado por Tesla, seguido por BMW y Mercedes-Benz. En mi opinión, que una marca tenga CVEs no es malo, es bueno. Cualquier sistema que disponga de la complejidad tecnológica de un coche es altamente probable que presente vulnerabilidades con el avance de la tecnología, por lo que aceptar públicamente los errores y demostrar su corrección es la mejor forma de exponer que se está tomando la ciberseguridad en serio y se está haciendo un buen trabajo al respecto.

Para complementar las ponencias, se han propuesto tres talleres de una duración de tres horas, de los cuales, he tenido la oportunidad de asistir al taller Automotive Cybersecurity Testing. Éste han sido tres horas de puro marketing del proceso, haciendo una acertada aproximación teórica pero solo incluyendo pinceladas a nivel técnico. No es una sorpresa, ya que la presencia de metodologías de testing de ciberseguridad de vehículos es prácticamente inexistente. De ahí la importancia de participar en el desarrollo del proyecto Open Mobility Security Project [4] y que este sea adoptado como herramienta de referencia.

De cara a la siguiente edición, me gustaría que aumentasen los contenidos a nivel técnico sobre las tecnologías E/E que componen los vehículos y algo menos de procesos a alto nivel, ya que estos pueden llegar a ser repetitivos, pero siempre manteniendo un amplio espectro temático que satisfaga a todos los asistentes.

Para todos aquellos que no hayáis podido asistir y os gustaría poder acceder a los contenidos, en la página web de ESCAR [5], en su área de descargas, con un simple registro tendréis acceso a todos los papers y presentaciones de las pasadas ediciones, en su versión europea y norteamericana. Además, una vez finalizado el congreso, las ponencias pueden ser vistas en diferido en la misma plataforma de streaming empleada, algo muy útil en caso de no poder asistir a dos ponencias solapadas en el tiempo o mismamente si se desea hacer un repaso.

Espero que el próximo año sea posible la celebración presencial del 19th ESCAR Europe y de nuevo podamos compartir allí nuestro conocimiento y experiencia con profesionales provenientes de todo el mundo.

Referencias

[1] https://www.flu-project.com/2020/12/18th-escar-europe.html

[2] http://www.unece.org/fileadmin/DAM/trans/doc/2020/wp29grva/ECE-TRANS-WP29-2020-079-Revised.pdf

[3] Global Automotive Cybersecurity. Upstream Security. ESCAR Europe 2020.

[4] https://www.flu-project.com/2020/03/open-mobility-security-project-omsp-is-released.html

[5] https://www.escar.info/downloads.html

18th ESCAR Europe. Review.

A few weeks ago, we would be back from the trip to Germany to attend 18th ESCAR Europe. For sure sharing excited everything learned in the congress, opening new job opportunities from networking coffees and showing off to our friends the occasion to visit cities, automotive museums, circuits...

On this occasion and with great judgment, the congress was online. But this doesn't mean that it was monotonous and distant, but a positive and alternative experience. Organizers have made use of the best apps and platforms to develop a congress, with a live broadcast coordinated as a tv show in such a way presentations were made in order and previously commented, without leaving behind the interaction of viewers.

Presentations were divided in multiple rooms: The main room (Talque app) and partner's rooms (Cisco Webex, MS Teams, Zoom Video...). The problem with this distribution in an online event and which will be great to improve for next editions, is that there is no spare time to change between room apps. It would be optimum to set some time for it without losing the questions time or the start of the next presentation.

If something is characteristic to ESCAR it is its focus over automotive cybersecurity, adding this year some railway cybersecurity. Making a review of this year's topics [1], as always it was large and with a lot of quality, up to date and having renamed professionals. It has been possible to attend presentations with all kinds of automotive cybersecurity specialties as regulation compliance, risk analysis, hardware hacking, ECU monitoring and security against quantum computing between much more. We will speak in depth about some topics in later posts.

Those who are used to assist to general cybersecurity focused conferences will notice much difference in the format, because partner's presentations take up most of the time, where they explain their new products and their approximation to market necessities, usually without the deep technical detail that we would like.

The obscurantism characteristic from the automotive industry it is noticed again in this year's edition. In the absence of a few weeks to enter into application United Nations (WP.29) ECE/TRANS/WP.29/2020/79 [2], that will affect to 54 signing parties, there wasn't any OEM's presentation explaining it's vision about how it will affect the market, inconsistency problems in the regulations, new technologies in development or some kind of comment about what they are doing about it.

It's not a surprise that rarely an automotive related CVE is published, but looking to a graphic that contains the total of CVEs of main brands should make us open our eyes.

In the picture above, showed in Global Automotive Cybersecurity presentation [3], it is summarized almost every vulnerability discovered in this industry. As you can see, the number of published automotive CVEs is tiny compared against IT's CVEs, in fact many brands have none. This list is headed by Tesla, followed by BMW and Mercedes-Benz. In my opinion, having CVEs is not a bad thing, its fine. Any system as technologically complex as a car will have vulnerabilities over technology development very probably, so publicly acknowledging errors and demonstrating its correction is the best way to show that cybersecurity is seriously taken into account.

Three simultaneous workshops complemented presentations, each one with a duration of three hours. I had the opportunity to assist to Automotive Cybersecurity Testing Workshop. Those three hours have been purely marketing about testing process making a correct theoretical approach but without much technical knowledge. It wasn't a surprise, because vehicle testing frameworks are almost inexistent. There is the importance to involve into the development of the Open Mobility Security Project [4] and that this framework will be adopted as a reference tool.

Facing the next edition, I would like to see more technical content over E/E vehicle components and less high level content about related processes that could be repetitive, but always keeping a large topic content that satisfies all attendees.

For all of you that couldn't assist and would like to view the full contents, with a simple registry in ESCAR's download page [5], you can download all present and past papers and presentations from the European and North American editions. Once the congress has ended, you can review all presentation recordings as well. It is very useful if you couldn't assist or if some presentations were overlapped at the same time.

I hope that 19th ESCAR Europe can take place physically and that there we could share again our knowledge and experience with professionals coming from around the world.

References

[1] https://www.flu-project.com/2020/12/18th-escar-europe.html

[2] http://www.unece.org/fileadmin/DAM/trans/doc/2020/wp29grva/ECE-TRANS-WP29-2020-079-Revised.pdf

[3] Global Automotive Cybersecurity. Upstream Security. ESCAR Europe 2020.

[4] https://www.flu-project.com/2020/03/open-mobility-security-project-omsp-is-released.html

[5] https://www.escar.info/downloads.html

Publicado el nº 142 de Revista SIC, donde lanzamos nuestra campaña sobre Seguridad en la Movilidad

Ya ha sido publicado el nº 142 de Revista SIC, donde podréis disfrutar de un número especial dedicado a los CSIRTs. En este interesante número, hemos lanzado nuestra campaña de publicidad de Noviembre y Diciembre, dedicada a la Seguridad en la Movilidad.

Debido al efervescente panorama en el cual se encuentra el sector de la Ciberseguridad en relación a los vehículos conectados, hemos desarrollado una amplia variedad de servicios que cubren las necesidades de nuestros clientes, ya sean OEMs, Tiers o empresas Aftermarket. Para ello, disponemos de técnicas y metodologías de auditoría de vehículos actualizadas al estado del arte, pudiendo analizar no solo la arquitectura y componentes E/E, sino también entornos cloud de gestión de flotas, servicios de sharing y sistemas de seguridad anti-robo. Además, podemos ayudar a establecer en las empresas un sistema de gestión de la ciberseguridad adaptado a la compleja situación normativa actual, de tal forma que se disponga de una correcta gestión de la ciberseguridad en todos los procesos del ciclo de vida del producto, tanto en fases de diseño como en fases de validación (análisis de riesgos, selección de requisitos de ciberseguridad, diseño de arquitectura, auditoría de código, validación de seguridad en unidades funcionales y sistema, etc.).

Si eres un OEM, Tier o Aftermarket del sector de la movilidad (automoción, ferroviario, etc.), estaremos encantados de presentarte nuestra propuesta de valor.

¡Contáctanos en nuestro email info@zerolynx.com!

Publicado el nº 139 de Revista SIC, donde os hablamos sobre OMSP (Open Mobility Security Project)

Ya ha sido publicado el nº 139 de Revista SIC, donde nuestros compañeros, Juan Antonio Calles y Luis Vázquez, han tenido la oportunidad de compartir un interesante artículo acerca de nuestro proyecto OMSP (Open Mobility Security Project).

Accede al nº 139 de Revista SIC desde AQUÍ.

A partir de la página 74 encontraréis el artículo completo, donde se explica el origen del proyecto, su objetivo, el público al que va dirigido y las diferentes posibilidades para colaborar.

Así mismo, aprovechamos para recordaros que el pasado viernes 10 de abril, nuestros compañeros Juan Antonio Calles, José Hermoso, Luis Vázquez y Francisco Palma, participaron en el congreso benéfico C0r0n4CON, en favor del plan responde de Cruz Roja en su lucha contra el Covid19, y al que nos sumamos desde Zerolynx, y donde presentaron el proyecto OMSP. La conferencia puede ser seguida en cualquier momento desde nuestro canal oficial de YouTube:

Para más información sobre OMSP (Open Mobility Security Project) no dudéis en visitar el proyecto oficial en nuestra cuenta de Github:

https://github.com/zerolynx/omsp

Publicado el video de nuestra conferencia sobre Open Mobility Security Project (#OMSP)

El pasado viernes 10 de abril, nuestros compañeros Juan Antonio Calles, José Hermoso, Luis Vázquez y Francisco Palma, participaron en el congreso benéfico C0r0n4CON, en favor del plan responde de Cruz Roja en su lucha contra el Covid19, y al que nos sumamos desde Zerolynx la pasada semana.

En la conferencia, se presentó OMSP (Open Mobility Security Project), un proyecto abierto dedicado a estandarizar un marco de controles técnicos para evaluar la seguridad a nivel de hacking en todo tipo de vehículos, que lanzamos el pasado mes de marzo, y al que podéis acceder desde el siguiente enlace: