GPS-kjøretøysporere, sikkerhet og forbrukerpersonvern

En leksjon i viktigheten av IoT-trusselsanalyse og sikkerhetstesting

Enten du er en forbruker eller en bedriftseier, blir cybersikkerhet generelt og GPS-sporingssikkerhet spesifikt mer og mer viktig for hver dag. Det er en stor bekymring. Faktisk, i en nasjonal undersøkelse utført tidligere i år, sa 70 % av forbrukerne at de var bekymret for at deres personlige data ble avslørt til feil personer. Samtidig er de fleste eksisterende og snart nye kjøretøyeiere bekymret for biltyveri - med rette, på grunn av en stigende trend av stjålne biler og lastebiler det siste året (en økning på 9.2 prosent fra året før, ifølge FBI).

Bilforhandlere gjør disse to bekymringene til forretningsmuligheter ved å tilby løsninger som muliggjør rask gjenoppretting av stjålne kjøretøy for forbrukere, samtidig som de administrerer partiene deres mer effektivt med større synlighet av beholdningen deres, samt genererer økte inntekter for forhandleren gjennom salg av disse enhetene. Men ikke alle tyverigjenopprettingsløsninger tilbyr det samme beskyttelsesnivået med hensyn til forbrukerdata og personvern. 

Beskytter alle GPS-sporere forbrukernes personvern?

Da vi undersøkte GPS-baserte sporingsløsninger som vanligvis brukes i den amerikanske bilindustrien og deres sikkerhetsfunksjoner, fant vi ut at noen av dem er nøye utformet for å beskytte enhetene og dataene deres mot hacking, mens andre har svært liten eller ingen beskyttelse i det hele tatt. Hvorfor betyr dette noe? Med en dårlig beskyttet sporer, kan tyvene enkelt finne en bils plassering, slik at de kan finne ut hvor eieren bor, hvor de jobber, og til og med hvor barna deres går på skolen. Og bilforhandlere som selger usikre løsninger risikerer å pådra seg kundenes vrede.

I et forsøk på å få innsikt i noen av de vanlige sikkerhetstiltakene som en GPS-sporingsløsning kan ha (eller manglet sterkt), bestemte vi oss for å se på to forskjellige sporingsløsninger i dybden: den ene var en tradisjonell kablet løsning, og den andre en neste generasjons, batteridrevet, trådløs løsning. 

De dårlige nyhetene: Løsning A, den kablede GPS-en

Løsning A installeres vanligvis av en forhandlertekniker som kobler den til kjøretøyets batteri. Da vi undersøkte denne løsningen, oppdaget vi noen sjokkerende funn. Vi var enkelt i stand til å finne telefonnummeret som enheten brukte til å kommunisere med mobilnettverket. Vi kunne derfra få den til å gi oss den nøyaktige plasseringen ved å sende den en tekstmelding som inneholder kommandofraser vi fant publisert på internett, som ble tolket som instruksjoner. Dette i seg selv representerer et brudd på forbrukernes personvern og åpner folk for farer som forfølgelse, tyveri og andre forbrytelser. Hvis systemet var designet med sikkerhet i tankene, burde vi ikke ha vært i stand til å få den informasjonen.

Vi oppdaget også at med ytterligere manipulering er det mulig å få trackeren til å sende ut en falsk plassering. Man kan til og med deaktivere trackeren helt ved å tukle med programvaren eksternt.

Det betyr at eieren av kjøretøyet og politimenn ikke ville ha noen mulighet til å spore bilen når den ble stjålet. Eller enda verre, tyver kan sende myndighetene til å lete i feil retning.  

For forbrukere som bruker dårlig sikrede enheter, er problemene knyttet til disse truslene åpenbare. Hvis du er en bilforhandler som selger disse enhetene til kundene dine, risikerer du dårlig PR, reduserte inntekter, tap av tillit og kanskje til og med ansvarsproblemer hvis en løsning du solgte blir kompromittert. 

Alle disse problemene kunne vært forhindret ved å samarbeide med en upartisk tredjepartsekspert for å vurdere sikkerheten til enheten og ende-til-ende-løsningen for å identifisere problemer før produktet ble utgitt, og beskytte de langsiktige inntektene og produsentens og produktets omdømme.

Men heldigvis er det også gode nyheter!

De gode nyhetene: Løsning B, den trådløse sporingsenheten

Vår testing av løsning B – en neste generasjons trådløs sporingsenhet – fant INGEN av de samme svakhetene. Den beskyttet posisjonsinformasjon fra hackere, og gjorde det bare mulig for den faktiske eieren av enheten å få tilgang til bilens posisjon ved hjelp av avansert datakryptering. Denne enheten hadde også sterke beskyttelser som brukerautentisering på plass for å sikre at ingen eksternt kunne deaktivere eller tukle med enheten ved å bruke over-the-air nedlastinger og kommandoer; dette sikret at det alltid var tilgjengelig for å rapportere kjøretøyets korrekte plassering. For forbrukere betyr dette at deres personvern og sikkerhet er beskyttet. Det forbedrer også sjansene for at de vil kunne få bilen tilbake raskere hvis den blir stjålet. For bilforhandlere betyr det fornøyde kunder og ingen ansvarsproblemer fra kompromitterte enheter.

Hvordan velge hvilket produkt du skal kjøpe eller selge? 

Enten det er en GPS-enhet eller en annen IoT-enhet, er det tre nøkkelspørsmål alle bør stille om enhver IoT-enhet før de velger å kjøpe eller selge den: 

• Personvern: Er enheten designet med tanke på personvern? Er plasseringsdata beskyttet med krypteringsteknologi?
• Beskyttelse: Hva har blitt gjort for å beskytte enheten mot hackere slik at den ikke kan tukles med eller deaktiveres? Er nye fastvarenedlastinger signert og autentisert Er fjernkommandoer til enheten autentisert?
• Uavhengig verifisering: Bruker selskapet som designet enheten interne eller eksterne sikkerhetseksperter for å teste ende-til-ende-sikkerheten til løsningen? 

Trenger du hjelp for å sikre at løsningen din er sikker?

Ikke alle bedrifter har ferdighetene internt for å oppnå nivået av IoT-sikkerhet de krever (eller til og med identifisere hvilke trusler som er mest relevante for dem å beskytte seg mot). I så fall er det smarte å få hjelp fra et eksternt selskap som spesialiserer seg på sikkerhet, som kan hjelpe med aktiviteter som trusselvurdering, sikkerhetsarkitekturdesign og sikkerhetsvurdering av sluttproduktet ditt før det går på markedet. Å fikse en sikkerhetsfeil etter lansering kan koste opptil 80 ganger mer enn å fange den samme feilen mens du fortsatt er i designfasen, og det kan bety forskjellen mellom suksess eller fiasko for produktet og til og med selskapet.