Los peligros de la conectividad
Pocas veces sucede en la vida de un periodista que una entrevista de trabajo se asemeje más a una escena de película de ciencia ficción que no a lo que estamos acostumbrados en el día a día… Y encima podríamos clasificar la película en cuestión en el subgénero de las catástrofes tecnológicas si hacemos caso a lo que uno de los principales expertos en seguridad informática del país nos explicaba.
El diálogo que mantuvimos sentados en la terraza de un bar de la ciudad condal con José Carlos Norte, uno de los expertos en seguridad de servidores de la firma eyeOS, que contribuyó a fundar, perteneciente al grupo Telefónica, no nos tranquilizó en absoluto, sinó más bien todo lo contrario. Y es que si bien a José Carlos le inquietaban algunas de nuestras preguntas, a nosotros nos asustaron la mayoría de sus respuestas.
Reproducimos a continuación el diálogo que mantuvimos con la clara voluntad de alertar a todas las partes implicadas, desde los profesionales que vais al volante de vuestro camión hasta quienes se encargan de su mantenimiento o los gestores de flota que los controlan a distancia… Es necesario que todos los agentes que intervienen en la operación del transporte, desde la fábrica del vehículo y los sistemas que los integran hasta la empresa donde acude a cargar, sean conscientes que las muchas ventajas que puede aportar la conectividad, muchas de las cuales ya estamos disfrutando, a la vez aportan nuevos peligros. Unos peligros a modo de puertas traseras abiertas en los TGU que sirven para dar conectividad, que si se descuida su vigilancia pueden permitir a cualquier hacker informático acceder a alguno de los muchos sistemas electrónicos que componen un vehículo industrial actual y por tanto interferir en su funcionamiento.
Una interferencia que puede causar un simple incidente, por ejemplo que nos surja un falso error en el cuadro de mandos, hasta un grave accidente o un robo si por ejemplo se afecta al funcionamiento de algún sistema vital del vehículo o se nos dan falsas indicaciones en el sistema de navegación GPS.
José Carlos Norte se nos presenta como un hacker. Para nosotros desde encamion.com tan expertos en vehículos de transporte como desconocedores del mundo informático eso nos suena a algo así como un terrorista informático… Afortunadamente nuestro interlocutor nos saca rápidamente de dudas: “No, desde luego que un hacker no es un terrorista informático. Yo lo veo más bien como alguien que aporta soluciones a partir del pensamiento lateral, es decir con soluciones originales fuera de lo común.”
Ya más tranquilos seguimos nuestra conversación interesándonos de porque en un blog como jcarlosnorte.com surgió el tema que ha saltado a los medios de comunicación; el del posible hackeo de vehículos industriales. Y es que estamos ante un experto informático que forma parte de una gran multinacional, pero también ante un chaval que de vez en cuando se reúne con sus colegas… Y puede suceder que uno de ellos sea un camionero orgulloso de enseñar el nuevo vehículo con el cual trabaja a sus amiguetes del barrio: “La cosa fue así de sencilla. Mi amigo me enseña el camión, veo las antenitas que éste lleva en el techo y a mi pregunta de si va conectado a internet él me responde alegre y despreocupadamente que sí.”
¿Tienes clave de seguridad?
Sí, esa ya es una pregunta habitual en nuestra vida, la clave del ordenador, del móvil, de las tarjetas y de mil sitios más, pero lo cierto es que por el momento ninguno contamos con una clave de seguridad informática en nuestro camión, al menos que sepamos y tenga que ver con su funcionamiento cotidiano.
Nuestro contertulio prosigue: “Entonces se me ocurrió hacer un rastreo a través de internet para localizar si existían vehículos así conectados. Lo hice mediante unos programas, bastante recientes, que permiten obtener en minutos un listado de IP activas en todo internet. Eso te da la idea de las máquinas que hay conectadas a la red, desde un ordenador a una central de datos o bien vehículos. Enseguida me fijé en los terminales que llevaban integrados datos de coordenadas GPS y vi que en ese instante concreto había más de un millar de vehículos conectados a internet en funcionamiento que además me permitían acceder a todos sus sistemas sin la menor dificultad. En ese momento paré, porque simplemente miré pero no toqué nada, no quise seguir adelante por responsabilidad y para no incurrir en posibles ilegalidades…”
Un joven dotado de conocimientos informáticos de primer orden, un equipo tan simple y habitual hoy en día como es una tablet con conexión wifi y tras una maniobra que sólo le tomó unos minutos descubre que tiene la posibilidad de entrar en el sistema informático de más de un millar de vehículos que están funcionando en ese preciso instante. Esto significa que está conectado del mismo modo a como hasta hace poco sólo podía conectarse un mecánico de un taller a través del sistema de diagnosis informática, mediante el cable de conexión.
Eso significa que si estuviésemos hablando ante un hacker menos responsable o con intenciones dañinas podría haber anulado algún inyector de los motores de esos vehículos o dejarlos sin sistema EBS de frenos o bloquear sus cambios automatizados en una velocidad o simplemente pararlos… ¿Imagináis dar una orden tipo; Ahora todos los vehículos que estén en las coordenadas próximas a Madrid que se paren? ¡Menudo atasco!
Investigando un poco
“Descubrí que la mayor parte de esos vehículos eran camiones por su velocidad, algunos tenían GPS y sabía que por ejemplo uno iba por la M30 camino de un supermercado. Supongo que para descargar… Y en ningún caso necesité una clave para acceder. Esto sucedió en vehículos que incorporaban el sistema TGU C4 Max que por lo visto se está instalando desde hace medio año. En otros casos detecté vehículos similares pero que tenían una contraseña de acceso más o menos fiable. Yo no intenté romper ninguna contraseña y no accedí. Puede ser que algunos sistemas de comunicación no lleven siquiera la opción de bloqueo con contraseña o por ejemplo que en una red de talleres o una gran empresa de transportes para agilizar el acceso a la diagnosis de los vehículos se estén eliminando esos sistemas de seguridad… No lo sé. Pero está claro que desde el momento en que la conectividad ha llegado al mundo del vehículo industrial nadie se ha planteado en serio que la seguridad informática de los sistemas que funcionan en dichos vehículos debería dar un salto en calidad y fiabilidad.
Ahora ya no es necesario llevar un ordenador hasta un camión y encontrar el puerto de conexión para acceder informáticamente a los sistemas del vehículo y eso abre un mundo muy preocupante de inseguridades. De pronto tu camión está conectado a internet y gente como yo puede acceder a sus sitemas si no se le dota de la seguridad adecuada. Y eso no es ninguna tontería. Internet no es un detallito más entre las opciones del camión y si esos equipos no estaban previstos para ello no cuentan con los sistemas de seguridad adecuados. Pasará un tiempo hasta que estos sistemas no sean seguros. Es una tecnología muy nueva y los vehículos llevan décadas de tests hasta lograr la fiabilidad adecuada.
Yo lo que creo que tiene que pasar es que la seguridad informática se vea como algo intrínseco en lo que afecta a los elementos conectados a internet. Sobretodo si pensamos en los vehículos no tripulados, de conducción autónoma. La seguridad informática va a tener que formar parte esencial en el diseño de los vehículos. Por el momento nadie se plantea esto, pero en otros sectores como el comercio electrónico hay mil normas mientras que en lo que afecta a un TGU para un vehículo industrial no hay ni normativa. Y al final aquí quien acaba desprotegido es el camionero que va montado en su vehículo. A mi lo que más miedo me da es la parte del CAMBUS. Es un gran peligro. Imagínate que le altero el ABS… ”
¿Conducción remota segura?
Le comentamos a Norte como afectaría esta posibilidad de hackear los sistemas de un camión a la seguridad en caso de detectar un camión autónomo, es decir un vehículo conducido de forma remota sin la acción directa de un conductor humano como los que ya están haciendo pruebas en varios países y utilizando esta misma tecnología… “Eso sin la adecuada tecnología en seguridad, cifrado y claves, podría terminar resultando muy peligroso. Imagina una cisterna de gasolina siendo teledirigida por alguien ajeno a la empresa… Eso abre una preocupante serie de posibilidades. Porque esos futuros aparatos que conduzcan vehículos por supuesto que estarán conectados a internet y por tanto sujetos a toda clase de ataques… No entiendo como el sector de la automoción se ha metido en el mundo de la conectividad a internet sin asegurar adecuadamente las cosas. Es decir sin creer que les va a suceder como a cualquier otro sector.
Yo trabajo en el mundo de la seguridad de internet, en cuanto a datos y servidores de todo tipo. Estoy hablando de sectores que requieren de gran seguridad y al día en ese tipo de servidores puede que se registren miles de ataques. Y se resuelven gracias a unos sistemas de claves seguras en permanente actualización. Y pese a poner todos los medios, después de 50 años de computación seguimos sin haber resuelto ese problema. Un vehículo y más si hablamos de un autocar o bien un camión cargado de gasolina tiene que contar con la misma seguridad informática que el servidor de mayor seguridad que exista. Y para que un servidor o un vehículo autónomo sea vulnerable a un ataque de hackers sólo hace falta un error en la cadena… Puedo decir con total certeza una cosa: todos los aparatos que están conectados a internet han sido hackeados alguna vez. ¿porqué no iba a pasar lo mismo con los vehículos? Todo esto en el momento en que se conduzcan autónomamente los autobuses o los vehículos de reparto de combustible deberán contar con la adecuada seguridad informática.
Creo que en este aspecto la aviación, donde se trabaja siempre con el máximo nivel de seguridad, debería ser el ejemplo a seguir. Ellos se toman en serio cada accidente o incidente y trabajan para que no vuelva a repetirse viendo que cambios deben introducir para ello. Si el camión cada vez se convierte en un aparato más tecnológico va a tener que aprender de la aviación.“
Desde luego, parece que en este caso hemos metido nuestros vehículos en internet sin que los usuarios sean mínimamente conscientes de los peligros que ello implica. No existe ninguna legislación que obligue a proteger mediante claves el acceso a los sistemas conectados on line de un vehículo y recordemos que al parecer si alguien cuenta con los conocimientos adecuados simplemente necesita una tablet para andar alegremente por los sistemas que controlan asuntos tan importantes para cualquier transportista como los frenos de sus camiones, los datos de su tacógrafo, la posición GPS de sus destinos… Queda claro que vamos a tener que tomarnos muy en serio las actualizaciones y las claves de seguridad no sólo de nuestro smart-phone, sinó también de nuestro smart-truck.
Porque el camión es mucho más inteligente y si bien nos puede beneficiar enormemente gracias a la conectividad online también se ha convertido en mucho más vulnerable sino nos tomamos en serio el tema de la seguridad informática. Esperemos que no haga falta un gran desastre o una plaga de ataques informáticos para que se empiece a tomar cartas en el asunto.
