carros conectados
Os carros conectados oferecem muitos benefícios aos seus usuários, principalmente relacionados a informações adicionais e controle remoto de determinadas funções do veículo. No entanto, como de costume, novas oportunidades trazem novas ameaças. Algumas delas estão associadas a inúmeros serviços e aplicativos para carros conectados, desenvolvidos por empresas terceirizadas – e não pelos fabricantes dos veículos. Recentemente, nossos colegas estudaram aplicativos e serviços populares desse tipo e descreveram suas principais deficiências relacionadas à segurança da informação. Os resultados deste estudo estão publicados em nosso blog Securelist. No relatório, as deficiências dos aplicativos são descritas do ponto de vista do usuário final. No entanto, as lições que podem ser aprendidas com este trabalho devem interessar aos desenvolvedores de software.
Falhas comuns dos aplicativos para carros conectados
Vários aplicativos servem como uma espécie de link intermediário entre o proprietário e o serviço da montadora. Eles geralmente exigem uma senha e login (ou um token de autorização) para esses serviços. Em outras palavras, os proprietários de carros dão ao desenvolvedor do software as chaves digitais de seus carros, e nem todos os usuários estão cientes desse fato. Descrevemos as falhas mais comuns nesses aplicativos.
Falta de transparência
Na relação entre desenvolvedores e usuários finais a confiança é o aspecto mais importante. Portanto, é extremamente importante informar de forma clara e explícita ao usuário que:
- sua aplicação usa uma conta do cliente no serviço original;
- você não armazena essas credenciais (ou as armazena com criptografia);
- o token de autorização também permite acesso a funcionalidades do veículo;
- ao usar a aplicação, o usuário aceita a possibilidade de riscos adicionais.
Falta de um canal de comunicação com os desenvolvedores
É uma prática comum para os desenvolvedores de software deixar um canal aberto para feedback do usuário. Claro, não é de se esperar suporte técnico 24 horas por dia, 7 dias por semana dos autores de aplicativos gratuitos, mas no caso de aplicativos que possam interferir no funcionamento de um carro conectado, deve haver pelo menos algum meio de comunicação em caso de circunstâncias imprevistas relacionadas com a segurança do veículo ou condutor.
Rescisão incorreta da parceria
Talvez eles não precisem mais dos seus serviços, ou talvez apenas queiram trocar de dispositivo. Caso o motivo seja o primeiro, seria útil lembrar ao usuário que ele deve cancelar a assinatura e/ou excluir a conta. Também seria interessante aconselhá-los a alterar a senha no serviço da montadora ou revogar o token de autorização. Por um lado, isso mostrará sua preocupação com a segurança e privacidade do usuário e, por outro, o isentará de qualquer responsabilidade desnecessária.
Dicas adicionais de segurança de aplicativos
Ninguém quer que seu aplicativo permita que algum cibercriminoso ataque o carro do usuário final. Portanto, nossos especialistas pedem aos desenvolvedores de aplicativos para carros inteligentes que tomem medidas de precaução para não comprometer seus clientes ou a si mesmos. Aqui estão algumas dicas práticas:
- Adote soluções que podem proteger o processo de desenvolvimento de software por controle de aplicativos em tempo de execução, fazer a verificação de vulnerabilidades antes da implantação, verificar a segurança de rotina de contêineres e faça testes antimalware dos artefatos de produção.
- Implemente mecanismos de segurança na própria aplicação.
- Realize uma auditoria de segurança de soluções prontas para uso antes de entrar no mercado.
Dicas