Cyberbezpieczeństwo w samochodach – o co chodzi?

Producenci samochodów wycofują kolejne modele. Powodem są przepisy dotyczące cyberbezpieczeństwa, które wchodzą w życie już w lipcu tego roku. O co w nich chodzi? Z jakimi modelami możemy się żegnać? Czy samochody elektryczne spełniają nowe normy?

Porsche Macan w odmianie spalinowej, Porsche 718 Boxster i Cayman, Volkswagen Transporter T6.1, Audi R8, Audi TT – oto niektóre z modeli aut, które albo właśnie wypadły z produkcji na rynki Unii Europejskiej, albo wypadną za chwilę. W większości przypadków chętni muszą obejść się już smakiem, ewentualnie spieszyć się i „polować” na ostatnie egzemplarze tych modeli, które zostały już wyprodukowane i trafiły na place dealerskie.

Dlaczego wspomniane auta są wycofywane z ofert? Czyżby chodziło o normy emisji spalin i dwutlenku węgla? Ta kwestia sprawiła, że wiele modeli i wersji musiało w ostatnich latach pożegnać się z rynkiem. Czy tak jest i teraz?

Nie tym razem. Na liście modeli, których albo już nie można kupić, albo nie będą dostępne za chwilę, są bowiem także auta elektryczne. Dokładniej, mowa o Volkswagenie e-up’ie (to już ostateczny koniec kariery tego auta), Renault Zoe czy Smarcie EQ Fortwo. Nie może więc chodzić o emisję dwutlenku węgla, bo „elektryki” podczas jazdy go nie wytwarzają. Powód jest inny – informuje portal elektromobilni.pl.

To kwestia cyberbezpieczeństwa

Nietrudno zauważyć, że na wymienionej wyżej liście aut, których kariera musi się skończyć, znajdują się dość leciwe modele. Porsche Macan zadebiutowało dekadę temu, Audi TT – również. Z kolei Renault Zoe to prawdziwy elektryczny weteran – pokazano go 12 lat temu, a od gruntownego liftingu miejskiego elektryka z Francji minęło już 5 lat.

Zaawansowany wiek konstrukcji sprawia, że producentom nie opłaca się dostosowywać tych modeli do nowych norm dotyczących m.in. zabezpieczenia przed cyberatakami. Oznacza to zwykle koniec produkcji auta, ale nie zawsze. Przykładowo, Porsche Macan będzie jeszcze przez ok. 2 lata wytwarzane w zakładzie w Lipsku, ale trafi do salonów poza UE. Nowe przepisy dotyczą bowiem rynków unijnych (TUTAJ poznasz elektrycznego Macana).

O co chodzi w nowych normach?

„Nowe”, to nie do końca trafione w tym przypadku słowo. Mówimy bowiem o regulacjach, które UNECE, czyli Europejska Komisja Gospodarcza Narodów Zjednoczonych (komisja gospodarcza w ramach Organizacji Narodów Zjednoczonych odpowiedzialna za Europę) przyjęła jeszcze latem 2020 roku. Obowiązują od lipca 2022 roku dla wszystkich nowych modeli wprowadzanych na rynek, a od lipca 2024 roku będą dotyczyć wszystkich fabrycznie nowych aut, które znajdują się w ofertach – i stąd wspomniane wycofania starszych propozycji.

Regulacje są znane jako UNECE WP.29 i stanowią część szerszego pakietu General Safety Regulations 2. W jego ramach, wszystkie nowe samochody sprzedawane na terenie UE – i w Wielkiej Brytanii – muszą być wyposażone w 20 technologii bezpieczeństwa, w tym w funkcję automatycznego hamowania awaryjnego, rozpoznawanie ograniczeń prędkości i system utrzymywania pasa ruchu.

To właśnie w ramach General Safety Regulations 2 auta muszą mieć „niesławny”, bo nielubiany przez kierowców system ISA – czyli ten, który najpierw rozpoznaje, jakie ograniczenie prędkości obowiązuje na danym odcinku, a potem ostrzega kierowcę sygnałami dźwiękowymi, gdy dopuszczalną szybkość przekroczy.

Układ da się czasowo deaktywować, ale wymaga to zwykle wielu kliknięć na ekranie dotykowym, a po ponownym „odpaleniu” silnika ISA powraca. Za sprawą nowych regulacji, auta muszą także m.in. monitorować uwagę kierowcy i wyświetlać odpowiedni komunikat, gdy układ uzna, że doszło do jej rozproszenia.

Zabezpieczenie przed cyberatakami

Samochody w myśl nowych regulacji muszą być także zabezpieczone przez cyberatakami. Dokładniej, mowa o 70 potencjalnych scenariuszach zagrożeń. Można je z grubsza podzielić na te dokonywane przez hakerów (czyli mowa o celowym włamaniu się do systemu auta) i na fizyczne naruszenia systemu, zarówno celowe, jak i przypadkowe (TUTAJ przeczytasz wielki test systemów multimedialnych).

WP.29 zwraca szczególną uwagę na włamania do systemów backendowych i serwerów producentów aut, a także na ataki dokonywane drogą, którą samochody pobierają aktualizacje „over the air”, czyli „z chmury”. Konsekwencje ataków w nowoczesnych, skomputeryzowanych autach mogą być bardzo poważne – od kradzieży danych osobowych użytkowników aż po najczarniejszy scenariusz, obejmujący zdalne przejęcie przez hakerów kontroli nad autem i spowodowanie katastrofy w ruchu.

Co ważne, nowe przepisy stanowią, że auto musi być odpowiednio zabezpieczone przez całe swoje „życie” – od biura projektowego aż po złomowisko. To oznacza, że producent musi odpowiednio dbać o aktualizacje (właśnie te pobierane zdalnie) i wgrywanie zabezpieczeń do systemów nawet po latach, gdy pojawią się nowe zagrożenia. Producenci będą musieli „łatać dziury” w cyberbezpieczeństwie również starszych aut.

Producenci będą musieli składać do organu certyfikującego raport na temat oceny ryzyka bezpieczeństwa cybernetycznego i plan zarządzania ryzykiem, aby uzyskać odpowiedni certyfikat. Ważny jest przez trzy lata, po czym proces należy powtórzyć. Wszelkie zmiany w oprogramowaniu czy sprzęcie, czyli np. pojawienie się nowego systemu multimedialnego przy okazji liftingu, będzie oznaczało przejście procesu certyfikacji od nowa.

Co grozi producentom za brak spełniania nowych norm? Kara za każdy niedostosowany, sprzedany samochód wynosi 30 tys. euro. Trudno się więc dziwić, że markom bardziej opłaca się albo unowocześnić model, albo wycofać go z rynku.

Jak nowe przepisy mogą wpłynąć na codzienne życie posiadaczy aut?

Brytyjski Car Magazine podaje, że niewykluczone są kłopoty z podłączaniem urządzeń do samochodowych systemów za pośrednictwem USB lub bezprzewodowo. Teoretycznie, jest to przecież potencjalna droga dostępu do auta dla hakerów. To może oznaczać, że podłączenie może odbyć się dopiero po tym, jak samochodowy system inforozrywki oceni bezpieczeństwo każdego urządzenia.

„Każdy użytkownik może być też zobowiązany do skonfigurowania osobistego profilu, w skład którego będzie wchodzić także jego urządzenie” – napisano w brytyjskim magazynie. Co w sytuacji, w której samochód ma wielu użytkowników – co przecież jest faktem w przypadku zdecydowanej większości pojazdów poruszających się po drogach, zwłaszcza jeśli weźmiemy pod uwagę długość „życia” danego egzemplarza?

Według nowych norm WP.29 producenci aut będą musieli zapewnić bezpieczeństwo danych i sprawić, by jeden użytkownik nie miał dostępu do informacji na temat drugiego. Możliwe więc, że trzeba będzie logować się do samochodowego systemu za pomocą numeru PIN lub innej formy pozwalającej na identyfikację, na przykład za pośrednictwem odcisku palca (TUTAJ przeczytasz o przewadze USB-C nad USB-A).

To może utrudnić pracę wypożyczalni samochodów, możliwe są bowiem nakazy usuwania jakichkolwiek informacji o poprzednich użytkownikach. Odpowiednie środki cyberbezpieczeństwa będą musiały wdrożyć również serwisy, co może wpłynąć na dostęp do sprzętu diagnostycznego, a także… na ceny.

Cyberbezpieczeństwo: od wytworzenia do złomowania?

Car Magazine snuje również jeszcze bardziej „katastroficzne” wizje, nie pozbawione jednak logicznych podstaw. Skoro producenci będą musieli dbać o cyberbezpieczeństwo również w przypadku kilku- czy kilkunastoletnich egzemplarzy swoich modeli, „jest całkiem możliwe, że producenci nie będą zainteresowani skutecznym wspieraniem swoich samochodów na zawsze” – piszą Brytyjczycy.

Co to może oznaczać? „Być może zobaczymy, jak producenci odkupują i złomują stare samochody, by nie musieć ich nadal wspierać. Aktualizacje dokonywane bezprzewodowo mogą ułatwić proces, ponieważ producenci będą widzieli, ile egzemplarzy konkretnego modelu zostało i gdzie się znajdują” – napisano.

Jak na razie, pozostaje nam jedynie czekać na to, jak sytuacja się rozwinie. W obliczu mnogości obecnych zagrożeń cybernetycznych, faktu skomplikowania technologicznego nowych aut i zagrożeń wynikających z potencjalnych ataków nie da się jednak zaprzeczyć, że wzmocnienie ochrony jest konieczne.

Jak ocenia firma konsultingowa McKinsey & Co., wydatki producentów samochodów na kwestie związane z cyberbezpieczeństwem wzrosną z 4,9 mld dolarów w 2020 roku do 9,7 mld w 2030, co oznacza coroczny wzrost o ponad 7%.

Cyberbezpieczeństwo a elektryki

Jak wygląda sprawa z nowymi normami w samochodach elektrycznych? Typ napędu nie ma tu akurat znaczenia. Większość oferowanych obecnie aut BEV to modele na tyle świeże, że projektowano je i wprowadzano już z uwzględnieniem nowych regulacji. Jak widać, niektóre z nich – czyli wspomniane Renault Zoe czy Smart EQ – nie ustrzegły się obowiązkowej, rynkowej emerytury.

Auta elektryczne nie są ani znacząco bardziej skomplikowane ani mocniej narażone na cyberataki niż modele spalinowe porównywalnej klasy. Ze względu na świetne osiągi mogą jedynie bardziej niż rywale potrzebować… systemu przypominającego o ograniczeniach prędkości.