GPS-fordonsspårare, säkerhet och konsumentskydd

En lektion i vikten av IoT-hotanalys och säkerhetstestning

Oavsett om du är en konsument eller en företagsägare, blir cybersäkerhet i allmänhet och GPS-spårarsäkerhet mer och mer viktigt för varje dag. Det är ett stort bekymmer. Faktum är att i en nationell undersökning som genomfördes tidigare i år sa 70 % av konsumenterna att de var oroliga över att deras personuppgifter avslöjas till fel personer. Samtidigt är de flesta befintliga och snart nya fordonsägare oroliga för bilstölder – med rätta, på grund av en uppåtgående trend av stulna bilar och lastbilar under det senaste året (en ökning med 9.2 procent från året innan, enligt FBI).

Bilhandlare förvandlar dessa två problem till affärsmöjligheter genom att tillhandahålla lösningar som möjliggör snabb återhämtning av stulna fordon för konsumenter, samtidigt som de hanterar sina partier mer effektivt med större synlighet av deras lager samt genererar inkrementella intäkter för återförsäljaren genom försäljning av dessa enheter. Men inte alla stöldåterställningslösningar erbjuder samma skyddsnivå när det gäller konsumentdata och integritet. 

Skyddar alla GPS-spårare konsumenternas integritet?

När vi undersökte GPS-baserade spårningslösningar som vanligtvis används i den amerikanska bilindustrin och deras säkerhetsfunktioner, fann vi att vissa av dem är noggrant utformade för att skydda enheterna och deras data från hackning, medan andra har väldigt lite eller inget skydd alls. Varför spelar detta roll? Med en dåligt skyddad spårare kunde tjuvar lätt hitta en bils plats, så att de kan upptäcka var ägaren bor, var de arbetar och till och med var deras barn går i skolan. Och bilhandlare som säljer osäkra lösningar riskerar att dra på sig sina kunders vrede.

I ett försök att få insikter om några av de vanliga säkerhetsåtgärderna som en GPS-spårningslösning kan ha (eller saknas) bestämde vi oss för att titta på två olika spårningslösningar på djupet: den ena var en traditionell trådbunden lösning, och den andra en nästa generations, batteridriven, trådlös lösning. 

De dåliga nyheterna: Lösning A, den fasta GPS:en

Lösning A installeras vanligtvis av en återförsäljartekniker som ansluter den till fordonets batteri. När vi undersökte den här lösningen upptäckte vi några chockerande fynd. Vi kunde enkelt bestämma telefonnumret som enheten använde för att kommunicera med mobilnätet. Vi kunde därifrån få den att ge oss sin exakta plats genom att bara skicka den ett textmeddelande som innehåller kommandofraser som vi hittat publicerade på internet, som tolkades som instruktioner. Detta i sig representerar en kränkning av konsumenternas integritet och öppnar människor upp för faror som förföljelse, stöld och andra brott. Om systemet var designat med säkerhet i åtanke, borde vi inte ha kunnat få den informationen.

Vi upptäckte också att med ytterligare manipulation är det möjligt att få spåraren att skicka ut en falsk plats. Man kan till och med inaktivera spåraren helt och hållet genom att fjärrmanipulera dess programvara.

Det betyder att fordonets ägare och poliser inte skulle ha något sätt att spåra bilen när den blev stulen. Eller ännu värre, tjuvar kan skicka myndigheter att söka i fel riktning.  

För konsumenter som använder dåligt säkrade enheter är problemen i samband med dessa hot uppenbara. Om du är en bilhandlare som säljer dessa enheter till dina kunder riskerar du dålig PR, minskade intäkter, förlorat förtroende och kanske till och med ansvarsproblem om en lösning du sålt äventyras. 

Alla dessa problem kunde ha förhindrats genom att arbeta med en opartisk tredjepartsexpert för att bedöma säkerheten för enheten och helhetslösningen för att identifiera problem innan produkten släpptes, vilket skyddar de långsiktiga intäkterna och tillverkarens och dess produkts rykte.

Men tack och lov finns det också goda nyheter!

De goda nyheterna: Lösning B, den trådlösa spårningsenheten

Vår testning av lösning B – en nästa generations trådlös spårningsenhet – hittade INGA av samma svagheter. Det skyddade framgångsrikt platsinformation från hackare, vilket bara gjorde det möjligt för den faktiska ägaren av enheten att komma åt sin bils position med hjälp av avancerad datakryptering. Den här enheten hade också starka skydd som användarautentisering på plats för att säkerställa att ingen kunde fjärravaktivera eller manipulera enheten med hjälp av nedladdningar och kommandon via trådlösa nätverk; detta säkerställde att det alltid var tillgängligt för att rapportera fordonets korrekta plats. För konsumenter betyder detta att deras integritet och säkerhet skyddas. Det förbättrar också chanserna att de kommer att kunna få tillbaka sin bil snabbare om den blir stulen. För bilhandlare innebär det nöjda kunder och inga ansvarsproblem från komprometterade enheter.

Hur väljer man vilken produkt man ska köpa eller sälja? 

Oavsett om det är en GPS-enhet eller någon annan IoT-enhet, finns det tre nyckelfrågor som alla bör ställa om någon IoT-enhet innan de väljer att köpa eller sälja den: 

• Sekretess: Är enheten designad med datasekretess i åtanke? Är platsdata skyddad med krypteringsteknik?
• Skydd: Vad har gjorts för att skydda enheten från hackare så att den inte kan manipuleras eller inaktiveras? Är nedladdningar av ny firmware signerade och autentiserade Är fjärrkommandon till enheten autentiserade?
• Oberoende verifiering: Använder företaget som designade enheten interna eller externa säkerhetsexperter för att testa lösningens end-to-end-säkerhet? 

Behöver du hjälp för att säkerställa att din lösning är säker?

Inte alla företag har kompetensen internt för att uppnå den nivå av IoT-säkerhet de kräver (eller ens identifiera vilka hot som är mest relevanta för dem att skydda sig mot). I så fall är det smarta att ta hjälp av ett externt företag som är specialiserat på säkerhet, som kan hjälpa till med aktiviteter som hotbedömning, säkerhetsarkitekturdesign och säkerhetsbedömning av din slutprodukt innan den går ut på marknaden. Att åtgärda ett säkerhetsbrist efter lansering kan kosta upp till 80 gånger mer än att fånga samma fel medan det fortfarande är i designfasen, och det kan betyda skillnaden mellan framgång eller misslyckande för produkten och till och med företaget.