GPS-Fahrzeugtracker, Sicherheit und Verbraucherdatenschutz

Eine Lektion über die Bedeutung von IoT-Bedrohungsanalysen und Sicherheitstests

Egal, ob Sie ein Verbraucher oder ein Geschäftsinhaber sind, die Cybersicherheit im Allgemeinen und die Sicherheit von GPS-Trackern im Besonderen werden jeden Tag wichtiger. Es ist ein großes Anliegen. Tatsächlich gaben in einer Anfang dieses Jahres durchgeführten nationalen Umfrage 70 % der Verbraucher an, dass sie besorgt sind, dass ihre personenbezogenen Daten an die falschen Personen weitergegeben werden. Gleichzeitig machen sich die meisten bestehenden und künftigen Neuwagenbesitzer Sorgen um Autodiebstahl – zu Recht, da die Zahl der gestohlenen Autos und Lastwagen im vergangenen Jahr zugenommen hat (ein Anstieg um 9.2 Prozent gegenüber dem Vorjahr, laut FBI).

Autohändler verwandeln diese beiden Anliegen in Geschäftsmöglichkeiten, indem sie Lösungen, die eine schnelle Wiederbeschaffung gestohlener Fahrzeuge für Verbraucher ermöglichen, während sie gleichzeitig ihre Lose effizienter mit einer besseren Übersicht über ihren Bestand verwalten und durch den Verkauf dieser Geräte zusätzliche Einnahmen für das Autohaus erzielen. Aber nicht alle Lösungen zur Diebstahlwiederherstellung bieten das gleiche Schutzniveau in Bezug auf Verbraucherdaten und Privatsphäre. 

Schützen alle GPS-Tracker die Privatsphäre der Verbraucher?

Bei der Untersuchung von GPS-basierten Tracking-Lösungen, die in der US-Automobilindustrie häufig verwendet werden, und ihren Sicherheitsfunktionen haben wir festgestellt, dass einige von ihnen sorgfältig entwickelt wurden, um die Geräte und ihre Daten vor Hacking zu schützen, während andere nur sehr wenig oder gar keinen Schutz bieten. Warum ist das wichtig? Mit einem schlecht geschützten Tracker könnten Diebe leicht den Standort eines Autos finden und so herausfinden, wo der Besitzer wohnt, wo er arbeitet und sogar wo seine Kinder zur Schule gehen. Und Autohändler, die unsichere Lösungen verkaufen, laufen Gefahr, den Zorn ihrer Kunden auf sich zu ziehen.

Um Einblicke in einige der gängigen Sicherheitsmaßnahmen zu gewinnen, die eine GPS-Tracking-Lösung haben könnte (oder schmerzlich fehlt), haben wir uns entschieden, uns zwei verschiedene Tracking-Lösungen genauer anzusehen: eine war eine herkömmliche kabelgebundene Lösung und das andere eine batteriebetriebene, drahtlose Lösung der nächsten Generation. 

Die schlechte Nachricht: Lösung A, das festverdrahtete GPS

Lösung A wird normalerweise von einem Techniker im Autohaus installiert, der sie an die Fahrzeugbatterie anschließt. Als wir diese Lösung untersuchten, entdeckten wir einige schockierende Ergebnisse. Die Telefonnummer, über die das Gerät mit dem Mobilfunknetz kommunizierte, konnten wir problemlos ermitteln. Von dort aus könnten wir ihn dazu bringen, uns seinen genauen Standort mitzuteilen, indem wir ihm einfach eine SMS mit Befehlssätzen senden, die wir im Internet veröffentlicht gefunden haben. die als Anweisungen interpretiert wurden. Dies allein stellt eine Verletzung der Privatsphäre der Verbraucher dar und öffnet die Menschen Gefahren wie Stalking, Diebstahl und andere Straftaten. Wenn das System im Hinblick auf die Sicherheit entwickelt wurde, hätten wir diese Informationen nicht erhalten können.

Wir haben auch festgestellt, dass es durch weitere Manipulation möglich ist, den Tracker dazu zu bringen, einen falschen Standort zu senden. Man könnte den Tracker sogar ganz deaktivieren, indem man seine Software aus der Ferne manipuliert.

Das bedeutet, dass der Besitzer des Fahrzeugs und die Polizeibeamten keine Möglichkeit haben, das gestohlene Auto zu orten. Oder noch schlimmer, Diebe könnten Behörden in die falsche Richtung schicken.  

Für Verbraucher, die schlecht gesicherte Geräte verwenden, sind die mit diesen Bedrohungen verbundenen Probleme offensichtlich. Wenn Sie als Autohändler diese Geräte an Ihre Kunden verkaufen, riskieren Sie schlechte PR, Umsatzeinbußen, Vertrauensverlust und vielleicht sogar Haftungsprobleme, wenn eine von Ihnen verkaufte Lösung kompromittiert wird. 

All diese Probleme hätten durch die Zusammenarbeit mit einem unabhängigen externen Experten verhindert werden können, um die Sicherheit des Geräts und der End-to-End-Lösung zu bewerten, um Probleme vor der Veröffentlichung des Produkts zu identifizieren, den langfristigen Umsatz zu schützen und Ruf des Herstellers und seines Produkts.

Aber zum Glück gibt es auch gute Nachrichten!

Die gute Nachricht: Lösung B, das drahtlose Ortungsgerät

Unsere Tests von Lösung B – einem drahtlosen Ortungsgerät der nächsten Generation – fanden KEINE der gleichen Schwächen. Es schützte erfolgreich Standortinformationen vor Hackern und ermöglichte nur dem tatsächlichen Besitzer des Geräts, mithilfe fortschrittlicher Datenverschlüsselung auf die Position seines Autos zuzugreifen. Dieses Gerät verfügte auch über starke Schutzmaßnahmen wie Benutzerauthentifizierung, um sicherzustellen, dass niemand das Gerät mithilfe von Over-the-Air-Downloads und -Befehlen aus der Ferne deaktivieren oder manipulieren konnte. so war es jederzeit möglich, den korrekten Standort des Fahrzeugs zu melden. Für Verbraucher bedeutet dies, dass ihre Privatsphäre und Sicherheit geschützt sind. Es erhöht auch die Chancen, dass sie ihr Auto im Falle eines Diebstahls schneller zurückbekommen. Für Autohändler bedeutet es zufriedene Kunden und keine Haftungsprobleme durch kompromittierte Geräte.

Wie wähle ich aus, welches Produkt gekauft oder verkauft werden soll? 

Egal, ob es sich um ein GPS-Gerät oder ein anderes IoT-Gerät handelt, es gibt drei wichtige Fragen, die sich jeder zu jedem IoT-Gerät stellen sollte, bevor er es kauft oder verkauft: 

• Datenschutz: Ist das Gerät unter Berücksichtigung des Datenschutzes konzipiert? Sind Standortdaten mit Verschlüsselungstechnologie geschützt?
• Schutz: Was wurde getan, um das Gerät vor Hackern zu schützen, damit es nicht manipuliert oder deaktiviert werden kann? Werden neue Firmware-Downloads signiert und authentifiziert. Werden Remotebefehle an das Gerät authentifiziert?
• Unabhängige Überprüfung: Setzt das Unternehmen, das das Gerät entwickelt hat, interne oder externe Sicherheitsexperten ein, um die End-to-End-Sicherheit der Lösung zu testen? 

Benötigen Sie Hilfe, um sicherzustellen, dass Ihre Lösung sicher ist?

Nicht jedes Unternehmen verfügt intern über die erforderlichen Fähigkeiten, um das erforderliche Maß an IoT-Sicherheit zu erreichen (oder auch nur zu ermitteln, welche Bedrohungen für den Schutz am relevantesten sind). In diesem Fall ist es am besten, sich von einem externen, auf Sicherheit spezialisierten Unternehmen Hilfe zu holen, das bei Aktivitäten wie Bedrohungsanalyse, Design der Sicherheitsarchitektur und Sicherheitsbewertung Ihres Endprodukts helfen kann, bevor es auf den Markt kommt. Die Behebung eines Sicherheitsfehlers nach der Markteinführung kann bis zu 80-mal teurer sein als das Beheben desselben Fehlers noch in der Designphase, und das kann für das Produkt und sogar das Unternehmen über Erfolg oder Misserfolg entscheiden.