Un’auto moderna non è un computer, ne sono tra 70 e 150 — le centraline (ECU, Electronic Control Unit) che gestiscono di tutto, dal motore ai freni fino allo schermo dell’infotainment e agli alzacristalli, tutte in comunicazione tra loro su reti di bordo. Per gran parte della storia dell’automobile quella rete era di fatto isolata dal mondo esterno, quindi la sicurezza non era davvero una priorità di progetto. Questo ha smesso di essere vero nel momento in cui le auto hanno iniziato a montare di serie modem cellulari, Wi-Fi, Bluetooth e connettività per app: la stessa rete che controlla i freni è ora, in linea di principio, raggiungibile da molto lontano fuori dall’auto. La cybersicurezza automotive è la disciplina nata proprio per colmare questo divario.
La dimostrazione che ha cambiato l’industria: Jeep Cherokee, 2015
Il momento in cui il rischio ha smesso di essere teorico è stata una dimostrazione del 2015 dei ricercatori di sicurezza Charlie Miller e Chris Valasek, che hanno preso il controllo da remoto dello sterzo, dei freni e del cambio di una Jeep Cherokee tramite la sua connessione cellulare mentre un giornalista la stava guidando su un’autostrada reale — interamente via internet, senza mai avere accesso fisico all’auto. La catena di attacco partiva dal modem cellulare del sistema di infotainment, attraversava la rete interna dell’auto, e arrivava a sistemi critici per la sicurezza mai progettati pensando a un punto d’accesso connesso a internet. Il fatto ha scatenato un richiamo di 1,4 milioni di veicoli ed è ancora il caso di riferimento che l’intera industria cita per giustificare gli investimenti in cybersicurezza automotive.
Perché il CAN bus non è mai stato progettato per essere difeso
Gran parte della comunicazione interna di un’auto passa ancora sul CAN bus (Controller Area Network), un protocollo progettato negli anni ’80 per affidabilità e semplicità, non per la sicurezza: qualsiasi dispositivo sul bus può trasmettere un messaggio, e ogni altro dispositivo si fida di esso e agisce di conseguenza, senza alcuna autenticazione integrata di chi lo abbia effettivamente inviato. Questa scelta progettuale è esattamente il motivo per cui l’attacco alla Jeep ha funzionato una volta raggiunta la rete interna: dall’interno, un’unità infotainment compromessa poteva inviare messaggi che, per le centraline di sterzo e freni, apparivano esattamente legittimi quanto quelli provenienti dai sensori reali. Aggiungere l’autenticazione a un protocollo vecchio di tre decenni e usato letteralmente da ogni centralina dell’auto non è realistico, quindi la risposta dell’industria si è concentrata sul contenere il problema invece che riscrivere il protocollo.
La segmentazione: tenere il sistema di intrattenimento lontano dai freni
La correzione strutturale principale è la segmentazione di rete: invece di un’unica rete CAN piatta dove ogni centralina può raggiungere ogni altra centralina, le architetture moderne dividono l’auto in domini separati — motopropulsore e sistemi critici per la sicurezza su un segmento, infotainment e connettività su un altro — collegati tramite una centralina gateway centrale che filtra e controlla quale traffico può passare da un segmento all’altro. Un attaccante che compromette il sistema infotainment, il punto d’accesso più esposto perché è quello che parla col mondo esterno, dovrebbe in linea di principio trovare un varco controllato invece di un percorso diretto verso i freni. Un secondo livello, i sistemi di rilevamento delle intrusioni (IDS), sorveglia il traffico CAN sulla rete interna cercando il tipo di anomalie che produce una centralina compromessa — messaggi inviati con frequenza sbagliata, dal nodo sbagliato, o con valori non plausibili — e può segnalarli o bloccarli anche senza conoscere in anticipo l’attacco specifico.
Gli aggiornamenti over-the-air: la soluzione e il nuovo rischio, allo stesso tempo
L’altro grande cambiamento sono gli aggiornamenti software over-the-air (OTA), che permettono ai costruttori di correggere una vulnerabilità su un’intera flotta da remoto invece di richiedere una visita in concessionaria — genuinamente utili per chiudere in fretta le falle di sicurezza, e uno dei motivi per cui Tesla in particolare tratta la cybersicurezza come un problema software continuo invece che una certificazione hardware una tantum. Ma un meccanismo di aggiornamento è anche, per definizione, un canale che può spingere nuovo codice su hardware critico per la sicurezza, il che lo rende a sua volta un bersaglio di alto valore: i costruttori si affidano ora alla firma crittografica del codice (code signing) e al secure boot in modo che una centralina accetti ed esegua solo un aggiornamento che porti una firma valida del costruttore, rifiutando qualsiasi altra cosa indipendentemente da dove dichiari di provenire.
Ora è legge, non solo buona pratica
Da luglio 2024, ogni nuova omologazione di veicolo venduto nell’UE deve rispettare il Regolamento UNECE n. 155, che impone ai costruttori di gestire un Cyber Security Management System (CSMS) certificato che copra l’intero ciclo di vita del veicolo, dalla progettazione fino alla demolizione, non solo al momento della vendita. Il regolamento gemello, UNECE R156, fa l’equivalente specificamente per gli aggiornamenti software, richiedendo un processo certificato per come vengono sviluppati, validati e distribuiti. Insieme, i due regolamenti hanno trasformato la cybersicurezza automotive da scelta ingegneristica interna a precondizione legale per omologare del tutto una nuova auto in Europa.
La ricerca UE che spinge oltre rilevamento e resilienza
Tre progetti UE complementari, tutti sostenuti dalla partnership CCAM (Connected, Cooperative and Automated Mobility) — la cybersicurezza non ha un cluster CCAM dedicato in senso stretto, ma rientra nel lavoro dei cluster Vehicle Technologies e Key Enabling Technologies — affrontano livelli diversi del problema descritto sopra. CARAMEL (“Artificial Intelligence based cybersecurity for connected and automated vehicles”, H2020, coordinato da Fundació i2CAT in Spagna, €5,0M, 2019-2022) ha applicato il machine learning direttamente al rilevamento delle intrusioni, puntando a individuare pattern di attacco che i sistemi basati su regole fisse si perderebbero. SELFY (“SELF assessment, protection & healing tools for a trustworthY and resilient CCAM”, Horizon Europe, coordinato da Fundació Eurecat in Spagna, €6,0M, 2022-2025) è andato oltre, costruendo un toolbox che non si limita a rilevare un attacco ma vi risponde attivamente e se ne riprende — il livello di “guarigione” che il solo rilevamento delle intrusioni non offre. Un progetto Horizon Europe gemello, dello stesso bando 2022, CONNECT (“Continuous and Efficient Cooperative Trust Management for Resilient CCAM”, coordinato da Technikon in Austria, €5,66M, 2022-2025), ha affrontato specificamente il lato della relazione di fiducia: come veicoli e infrastrutture che non hanno mai interagito prima possano stabilire fiducia reciproca sufficiente per condividere dati critici per la sicurezza in modo sicuro, direttamente collegato alla comunicazione V2X descritta nel nostro precedente articolo sull’argomento.
Foto: © Car-Shooters