GPS járműkövetők, biztonság és fogyasztói adatvédelem

Tanulság az IoT fenyegetéselemzés és biztonsági tesztelés fontosságáról

Legyen szó fogyasztóról vagy üzlettulajdonosról, a kiberbiztonság általában és konkrétan a GPS nyomkövető biztonsága napról napra egyre fontosabbá válik. Ez nagy gond. Valójában egy év elején végzett országos felmérésben a fogyasztók 70%-a nyilatkozott úgy, hogy aggódik amiatt, hogy személyes adatait rossz embereknek adják ki. Ugyanakkor a legtöbb meglévő és hamarosan új járműtulajdonos aggódik az autólopások miatt – ez indokolt, az elmúlt év során emelkedő lopott személygépkocsik és teherautók száma miatt (9.2 százalékos növekedés az előző évhez képest, az FBI szerint).

Az autókereskedők ezt a két problémát üzleti lehetőségekké alakítják azáltal, hogy biztosítanak megoldások, amelyek lehetővé teszik az ellopott járművek gyors visszaszerzését a fogyasztók számára, ugyanakkor hatékonyabban kezelik a tételeiket, jobban átlátják a készleteiket, és ezen eszközök értékesítése révén többletbevételt generálnak a márkakereskedésnek. De nem minden lopás-helyreállítási megoldás kínál azonos szintű védelmet a fogyasztói adatok és a magánélet védelme tekintetében. 

Minden GPS-követő védi a fogyasztók adatait?

Amikor megvizsgáltuk az amerikai autóiparban általánosan használt GPS-alapú nyomkövetési megoldásokat és azok biztonsági funkcióit, azt találtuk, hogy ezek egy részét gondosan úgy tervezték meg, hogy megvédjék az eszközöket és adataikat a feltöréstől, míg mások nagyon csekély vagy egyáltalán nem rendelkeznek védelemmel. Miért számít ez? A rosszul védett nyomkövetővel a tolvajok könnyen megtalálhatják az autó helyét, így felfedezhetik, hol lakik a tulajdonos, hol dolgoznak, és még azt is, hogy a gyerekeik hova járnak iskolába. A bizonytalan megoldásokat árusító autókereskedők pedig azzal a kockázattal járnak, hogy kivívják ügyfeleik haragját.

Annak érdekében, hogy betekintést nyerjünk néhány általános biztonsági intézkedésbe, amelyekkel a GPS-követő megoldások rendelkezhetnek (vagy nagyon hiányoznak), úgy döntöttünk, hogy két különböző nyomkövetési megoldást vizsgálunk meg alaposabban: az egyik egy hagyományos vezetékes megoldás, és a másik egy új generációs, akkumulátoros, vezeték nélküli megoldás. 

A rossz hír: A megoldás, a vezetékes GPS

Az A megoldást általában egy kereskedési szakember telepíti, aki csatlakoztatja a jármű akkumulátorához. Amikor megvizsgáltuk ezt a megoldást, megdöbbentő eredményeket fedeztünk fel. Könnyen meg tudtuk határozni azt a telefonszámot, amellyel az eszköz kommunikált a mobilhálózattal. Onnan elérhetnénk, hogy megadja a pontos helyét, egyszerűen egy szöveges üzenet küldésével, amely az interneten talált parancsmondatokat tartalmazza, amelyeket utasításként értelmeztek. Ez önmagában a fogyasztói magánélet megsértését jelenti, és megnyitja az embereket olyan veszélyek előtt, mint a üldözés, a lopás és más bűncselekmények. Ha a rendszert a biztonság szem előtt tartásával tervezték, akkor nem lett volna szabad megszereznünk ezeket az információkat.

Azt is felfedeztük, hogy további manipulációkkal rávehetjük a nyomkövetőt, hogy hamis helyet küldjön ki. Akár teljesen letilthatja a nyomkövetőt, ha távolról manipulálja a szoftverét.

Ez azt jelenti, hogy a jármű tulajdonosának és a rendőröknek nem lesz módja nyomon követni az autót, amikor ellopják. Vagy ami még rosszabb, a tolvajok rossz irányba küldhetik a hatóságokat.  

A rosszul védett eszközöket használó fogyasztók számára nyilvánvalóak az ezekkel a fenyegetésekkel kapcsolatos problémák. Ha Ön egy autókereskedő, aki ezeket az eszközöket értékesíti ügyfeleinek, rossz PR-t, csökkenő bevételt, bizalomvesztést és esetleg felelősségi problémákat kockáztat, ha az eladott megoldás sérül. 

Mindezek a problémák megelőzhetőek lettek volna, ha pártatlan, harmadik fél szakértővel dolgoznak együtt az eszköz biztonságának és a teljes megoldásnak a felmérése érdekében, hogy a problémákat a termék megjelenése előtt azonosítsák, megóvva ezzel a hosszú távú bevételt és a gyártó és termékének hírneve.

De szerencsére vannak jó hírek is!

A jó hír: B megoldás, a vezeték nélküli nyomkövető eszköz

A B megoldás – egy következő generációs vezeték nélküli nyomkövető eszköz – tesztelése SEMMILYEN gyengeséget sem talált. Sikeresen megvédte a helyadatokat a hackerektől, és csak az eszköz tényleges tulajdonosa számára tette lehetővé, hogy fejlett adattitkosítással hozzáférjen autója helyzetéhez. Ez az eszköz erős védelemmel is rendelkezik, például felhasználói hitelesítéssel, hogy senki ne tudja távolról letiltani vagy manipulálni az eszközt az éteren keresztüli letöltésekkel és parancsokkal; ez biztosította, hogy mindig rendelkezésre álljon a jármű pontos helyének bejelentése. A fogyasztók számára ez azt jelenti, hogy magánéletük és biztonságuk védve van. Ez növeli annak esélyét is, hogy gyorsabban visszakapják autójukat, ha ellopják. Az autókereskedők számára ez azt jelenti, hogy elégedettek az ügyfelek, és nincsenek felelősséggel kapcsolatos problémák a kompromittált eszközök miatt.

Hogyan válasszuk ki a megvásárolni vagy eladni kívánt terméket? 

Legyen szó GPS-eszközről vagy bármely más IoT-eszközről, három kulcskérdést kell feltennie bárkinek bármely IoT-eszközzel kapcsolatban, mielőtt megvásárolná vagy eladná: 

• Privacy: Az eszközt az adatvédelmet szem előtt tartva tervezték? A helyadatokat titkosítási technológia védi?
• Védelem: Mit tettek annak érdekében, hogy megvédjék az eszközt a hackerektől, hogy ne lehessen manipulálni vagy letiltani? Az új firmware-letöltések alá vannak írva és hitelesítve. Az eszközhöz küldött távoli parancsok hitelesítve vannak?
• Független ellenőrzés: Az eszközt tervező cég belső vagy külső biztonsági szakértőket vesz igénybe a megoldás teljes körű biztonságának tesztelésére? 

Segítségre van szüksége ahhoz, hogy megoldása biztonságos legyen?

Nem minden vállalat rendelkezik házon belüli készségekkel ahhoz, hogy elérje a szükséges IoT-biztonsági szintet (vagy még azt sem, hogy azonosítsa, mely fenyegetésekkel szemben a legrelevánsabb a védekezés szempontjából). Ebben az esetben az okos dolog, ha segítséget kér egy külső, biztonságra szakosodott cégtől, amely segíthet olyan tevékenységekben, mint a fenyegetésértékelés, a biztonsági architektúra tervezése és a végtermék biztonsági értékelése, mielőtt az piacra kerül. Egy biztonsági hiba kijavítása a bevezetés után akár 80-szor többe kerülhet, mintha ugyanazt a hibát még a tervezési fázisban észlelnék, és ez különbséget jelenthet a termék, sőt a vállalat sikere vagy kudarca között.