Nu even heel wat anders:
Het lijkt inmiddels al een vorig leven dat ik bij de IAA ben geweest, destijds nog in Frankfurt, s’ochtends heen, s’avonds met volle polle over de A45 weer terug. Was nog voor mijn BMW tijd, hoewel, voor het laatst ben ik in 2003 op de IAA geweest en toen had ik zowel de E28S als de E34S. Daarna kan ik het mij niet meer herinneren, maar inmiddels boeit me dat niet meer zo, moderne auto’s interesseren me niet zoveel meer, kan met leeftijd te maken hebben, maar denk dat het eerder te maken heeft dat het concept van moderne auto’s mij niet aanstaat. Gaat me niet eens om het aandrijfconcept, vindt elektrisch rijden op zich helemaal niet erg of slecht, maar …… Wel voor de doelgroep en niet als verplichting !
Wat ik zie is dat moderne auto’s steeds meer eenheidsworst worden, waarbij het meer over de software en de functionaliteiten gaat die niets meer met het rijden te maken hebben, maar veel meer met big-data vergaring door …. ja voor wie dan eigenlijk ?
Wetgeving zou ons daar tegen moeten beschermen, wellicht wel tegen misbruik door private sector, maar wie beschermt ons tegen misbruik door de overheid. Security-wise vindt ik daar wel wat van, want van wie is die gebruiksdata die fabrikanten vergaren, waar worden die opgeslagen en wie kan daar (door een wetswijziging) bij ?
Als je er zo over nadenkt, is dat nog niet eens het grootste risico. Alle moderne auto’s met Stasi-snuffelaansluitingen verzenden niet alleen data, maar kunnen deze ook ontvangen. Gecombineerd met het toevoegen van steeds meer intelligentie (in software) die ook nog eens onder druk van de commercie versneld en onder hoge druk ontwikkeld moet worden ontstaan kwetsbaarheden die door al dan niet uitgenut kunnen worden. Dan gaat het niet eens om het installeren van een cryptolocker (kan ook, maar dat heeft met een auto niet zoveel zin), maar wel om d.m.v. z.g. Remote Code Execution het gedrag van systemen op afstand te beïnvloeden.
Denk daarover na; allemaal aan de digitale stekkerauto voorzien van een stasi-snuffel aansluiting, een massale cyber-aanval (van bijv. de aan de GRU gerelateerde Sandworm) word alle op auto’s met deze kwetsbaarheid een noodstop geactiveerd -> Chaos word je deel. Of, via dezelfde kwetsbaarheid wordt het remsysteem uitgeschakeld of gaat de autopilot op vol-gas ? Niet de minste veiligheidsrisico's dunkt me.
Science fiction ? De gene die dat denkt is naïef.
Lees dit maar eens. Deze case toont aan dat als security updates niet op tijd uitgerold worden grote maatschappelijke impact kan ontstaan.
Nu terug naar de IAA. Ik lees dat deze tegenwoordig steeds meer door Chinese fabrikanten word gedomineerd. De appetite vergaat me nu al, maar ze bouwen goedkope elektrische auto’s (gebouwd in bijvoorbeeld China of Hongarije) ….. hmmmm, zijn dit niet twee landen met een twijfelachtig bestuur ? Vraag die ik mij dan stel is waar gaat de data van de uitgerolde auto’s die in dergelijke landen geproduceerd zijn naar toe ? En denk niet dat je daar als koper invloed kan uitoefenen want bij het tekenen van het koopcontract teken je ook voor de End User License Agreement …. Die niemand leest, laat staan niet accepteert want dan kan je niets met je net gekochte voertuig uit een land dat ons geopolitiek niet zo goed gezind is.
Dat geld natuurlijk ook voor de VS. De VS is toch een NAVO land ? Ja, maar met een op Angelsaksische leest gebaseerde wetgeving die vooral gericht is op het bewaken van hun eigen nationale veiligheid en minimale bescherming van eindgebruikers. Dus is een Chinese fabrikant dan slechter dan Amerikaanse ? Mag ieder voor zich beantwoorden, maar de kans dat de Chinese toezichthouders Chinese fabrikanten gaat dwingen om kwetsbaarheden in de software niet te adresseren is i.i.g. groter dan dat de Amerikaanse overheid dat gaat doen, immers uit ervaring met het werken met Chinese bedrijven weet ik dat hoe bonafide een partner ook is, er op de achtergrond de Chinese overheid altijd meekijkt en een belang heeft.
Europese wetten zoals de Cyber Resilience Act (CRA) of de NIS2 zijn prachtige instrumenten. Europese fabrikanten moeten zich eraan houden en zullen dat ook wel gaan doen. Maar geldt dat ook voor de concurrentie uit bijvoorbeeld China of de VS ? Ik denk dat die kans is klein, dus Europese Commissie, wake-up voor het te laat is. Neem maatregelen om de eigen industrie te beschermen of dwing fabrikanten buiten de EU om de data gegenereerd door hun producten enkel op een beveiligde niet aan het Internet hangende verbinding te hangen, of nog beter laat de keus bij de eindgebruiker. Een auto waarvan de kritische systemen connected zijn hoef ik niet, dus laat die stasi-snuffelaansluiting (4G/5G) maar achterwege. Dan bedoel ik ook echt fysiek achterwege laten, dan is de noodzaak tot on the fly deployment van security updates ook weg en kan je gewoon als vanouds naar de garage.