GPS-voertuigtrackers, beveiliging en consumentenprivacy

Een les in het belang van IoT-bedreigingsanalyse en beveiligingstests

Of u nu een consument of een bedrijfseigenaar bent, cyberbeveiliging in het algemeen en GPS-trackerbeveiliging in het bijzonder worden elke dag steeds belangrijker. Het is een grote zorg. In een nationaal onderzoek dat eerder dit jaar werd uitgevoerd, zei 70% van de consumenten zelfs dat ze zich zorgen maakten over het feit dat hun persoonlijke gegevens aan de verkeerde mensen zouden worden bekendgemaakt. Tegelijkertijd maken de meeste bestaande en binnenkort nieuwe autobezitters zich zorgen over autodiefstal - terecht, als gevolg van een opwaartse trend van gestolen auto's en vrachtwagens in het afgelopen jaar (een stijging van 9.2 procent ten opzichte van het jaar ervoor, volgens de FBI).

Autodealers zetten deze twee zorgen om in zakelijke kansen door te voorzien in: oplossingen die het snel terugvinden van gestolen voertuigen voor consumenten mogelijk maken, terwijl ze tegelijkertijd hun kavels efficiënter beheren met een grotere zichtbaarheid van hun voorraad en het genereren van incrementele inkomsten voor de dealer door de verkoop van deze apparaten. Maar niet alle diefstalhersteloplossingen bieden hetzelfde niveau van bescherming met betrekking tot consumentengegevens en privacy. 

Beschermen alle GPS-trackers de privacy van consumenten?

Toen we op GPS gebaseerde trackingoplossingen die veel worden gebruikt in de Amerikaanse auto-industrie en hun beveiligingsfuncties onderzochten, ontdekten we dat sommige zorgvuldig zijn ontworpen om de apparaten en hun gegevens te beschermen tegen hacking, terwijl andere zeer weinig of geen bescherming bieden. Waarom is dit van belang? Met een slecht beveiligde tracker kunnen dieven gemakkelijk de locatie van een auto vinden, zodat ze kunnen ontdekken waar de eigenaar woont, waar ze werken en zelfs waar hun kinderen naar school gaan. En autodealers die onzekere oplossingen verkopen, lopen het risico de woede van hun klanten op de hals te halen.

In een poging om inzicht te krijgen in enkele van de veelvoorkomende beveiligingsmaatregelen die een GPS-trackingoplossing zou kunnen hebben (of erg ontbreekt), hebben we besloten om twee verschillende trackingoplossingen grondig te bekijken: de ene was een traditionele bedrade oplossing, en de andere een draadloze oplossing op batterijen van de volgende generatie. 

Het slechte nieuws: oplossing A, de bedrade GPS

Oplossing A wordt meestal geïnstalleerd door een monteur van een dealerbedrijf die deze aansluit op de accu van het voertuig. Toen we deze oplossing onderzochten, ontdekten we enkele schokkende bevindingen. We konden gemakkelijk het telefoonnummer bepalen dat het apparaat gebruikte om met het mobiele netwerk te communiceren. We zouden het van daaruit kunnen krijgen om ons de exacte locatie te geven door het simpelweg een sms-bericht te sturen met opdrachtzinnen die we op internet hebben gevonden, die werden geïnterpreteerd als instructies. Dit op zichzelf vertegenwoordigt een schending van de privacy van de consument en stelt mensen bloot aan gevaren zoals stalking, diefstal en andere misdaden. Als het systeem was ontworpen met het oog op veiligheid, hadden we die informatie niet kunnen krijgen.

We ontdekten ook dat het met verdere manipulatie mogelijk is om de tracker een valse locatie te laten verzenden. Je zou de tracker zelfs helemaal kunnen uitschakelen door op afstand met de software te knoeien.

Dat betekent dat de eigenaar van het voertuig en politieagenten de auto niet kunnen traceren wanneer deze is gestolen. Of erger nog, dieven kunnen de autoriteiten in de verkeerde richting sturen.  

Voor consumenten die slecht beveiligde apparaten gebruiken, zijn de problemen die met deze bedreigingen gepaard gaan duidelijk. Als u een autodealer bent die deze apparaten aan uw klanten verkoopt, riskeert u slechte PR, verminderde inkomsten, verlies van vertrouwen en misschien zelfs aansprakelijkheidsproblemen als een oplossing die u hebt verkocht in gevaar komt. 

Al deze problemen hadden voorkomen kunnen worden door samen te werken met een onpartijdige externe deskundige om de veiligheid van het apparaat en de end-to-end oplossing te beoordelen om problemen te identificeren voordat het product werd uitgebracht, waardoor de inkomsten op lange termijn en de reputatie van de fabrikant en zijn product.

Maar gelukkig is er ook goed nieuws!

Het goede nieuws: oplossing B, het draadloze volgapparaat

Bij het testen van oplossing B - een draadloos volgapparaat van de volgende generatie - werd GEEN van dezelfde zwakke punten gevonden. Het heeft locatie-informatie met succes beschermd tegen hackers, waardoor alleen de daadwerkelijke eigenaar van het apparaat toegang heeft tot de positie van hun auto met behulp van geavanceerde gegevenscodering. Dit apparaat had ook sterke beveiligingen, zoals gebruikersauthenticatie, om ervoor te zorgen dat niemand het apparaat op afstand kon uitschakelen of ermee kon knoeien met behulp van over-the-air downloads en opdrachten; dit zorgde ervoor dat het altijd beschikbaar was om de juiste locatie van het voertuig te melden. Voor consumenten betekent dit dat hun privacy en veiligheid worden beschermd. Het vergroot ook de kans dat ze hun auto sneller terug kunnen krijgen als deze gestolen is. Voor autodealers betekent dit tevreden klanten en geen aansprakelijkheidsproblemen door gecompromitteerde apparaten.

Hoe kiest u welk product u wilt kopen of verkopen? 

Of het nu een GPS-apparaat of een ander IoT-apparaat is, er zijn drie belangrijke vragen die iedereen over een IoT-apparaat moet stellen voordat hij ervoor kiest om het te kopen of te verkopen: 

• Privacy: Is het apparaat ontworpen met het oog op gegevensprivacy? Zijn locatiegegevens beveiligd met encryptietechnologie?
• Bescherming: Wat is er gedaan om het apparaat te beschermen tegen hackers, zodat er niet mee kan worden geknoeid of het kan worden uitgeschakeld? Zijn nieuwe firmwaredownloads ondertekend en geverifieerd Zijn externe opdrachten naar het apparaat geverifieerd?
• Onafhankelijke verificatie: Gebruikt het bedrijf dat het apparaat heeft ontworpen interne of externe beveiligingsexperts om de end-to-end beveiliging van de oplossing te testen? 

Hulp nodig om ervoor te zorgen dat uw oplossing veilig is?

Niet elk bedrijf heeft de vaardigheden in huis om het niveau van IoT-beveiliging te bereiken dat ze nodig hebben (of zelfs te identificeren tegen welke bedreigingen ze het meest relevant zijn om zich tegen te beschermen). In dat geval is het slim om hulp te krijgen van een extern bedrijf dat gespecialiseerd is in beveiliging, dat kan helpen met activiteiten zoals dreigingsbeoordeling, ontwerp van beveiligingsarchitectuur en beveiligingsbeoordeling van uw eindproduct voordat het op de markt komt. Het repareren van een beveiligingsfout na de lancering kan tot 80 keer meer kosten dan het opsporen van dezelfde fout in de ontwerpfase, en dat kan het verschil betekenen tussen succes of mislukking voor het product en zelfs het bedrijf.