sou · H6B316 · 2018-03-07 00:00:00 — En annan tjänst är att låsning/upplåsning av ett fordon till exempel för att en bud- firma ska kunna lägga in varor i fordonet. Exempel på tjänster relaterade till fordonsekonomi är haveri- och fordonsdiagnostik på distans samt uppdatering av mjukvara i fordo- net. Här kommer sådana tjänster in som schemaläggning av fordons- service och beställning av reservdelar. Hit hör också rangerings- tjänster, bland annat för att hantera stora fordonsflottor, men också hjälp att hantera körjournaler. Även karttjänster kan användas för att exempelvis beräkna bränsleförbrukningen och välja optimala rutter. Det finns också tjänster som är nära den personliga sfären, såsom när en lastbilstillverkare vill övervaka hur en specifik lastbilschaufför kör fordonet för att kunna erbjuda skräddarsydd utbildning efter vad just den chauffören behöver förbättra i syfte att minska bränsleför- 17eCall är en del av EU:s ITS-koncept (intelligenta transportsystem) enligt Europaparla- mentets och rådets direktiv /40/EU av om ett ramverk för införandet av intelligenta transportsystem på vägtransportområdet och för gränssnitt mot andra trans- portslag. röstade igenom förslaget att alla personbilar ska vara utrustade med eCall. 18Arbetsgruppen för skydd av enskilda med avseende på personuppgifter, inrättad enligt artikel 29. Arbetsdokument om hur initiativet eCall påverkar uppgifts- och integritetsskyd- det, antaget . brukningen eller åstadkomma en säkrare körning och färre parker- ingsskador. Exempel på tjänster relaterade till bekvämlighet, framkomlighet och underhållning är information om trafikköer och lediga parker- ingsplatser. Andra möjligheter kan vara intermodalitetstjänster för att välja färdmedel, boka biljetter till hotell eller underhållning eller möjligheter att läsa e-post, surfa på nätet, lyssna på musik, se på film etc. i fordonet. Företaget lanserade en tjänst (abonnemang) kallad Sence. Tjänsten möjliggör för en stor andel av bilflotta att bli uppkopplad.19 Tjänsten går ut på att fordonsägaren ska ansluta en telematikenhet till diagnosuttaget i fordonet. I enhe- ten finns bland annat , GPS-mottagare och accelerometer20. Enheten ska sedan skicka information till ett moln (Telias servrar). Genom en applikation i mobiltelefonen ska ägaren därefter få infor- mation om fordonet till exempel hur motorn arbetar, bränsleför- brukning och var fordonet befinner sig. Ägaren ska även få tillgång till 4G Wifi i fordonet. Det nya med Telias tjänst, jämfört med fordonstillverkarnas egna tjänster, är att planerar att i abonnemanget även knyta andra oberoende aktörer till tjänsten. I teorin kan ett stort antal företag och myndigheter anslutas till tjänsten och ett helt nytt ekosystem skapas. Det kan handla om att knyta verkstadsföretag till abonnemanget. Verkstadsföretaget skulle då kunna göra en diagnos på distans och se när det är dags för service, vilket kan vara extra värdefullt om du bor i glesbygd. Försäkringsbolag, som knyts till abonnemanget, kan möj- liggöra ett betala som du kör-koncept. Om fordonet inte överskrider gällande hastighet skulle försäkringspremien kunna bli lägre. Andra aktör skulle kunna erbjuda tjänster inom bilbesiktning eller bärg- ningshjälp eller matställen och affärer för den som så önskar. I tjäns- ten som erbjuder ska det vara valfritt för konsumenten att välja vilka tjänsteleverantörer som ska knytas till abonnemanget. Den här typen av tjänst väcker frågor om vilken kontroll konsu- menter har över informationen från fordonet och hur den används mellan olika företag eller myndigheter. Utan den extra enheten i dia- 19Tjänsten erbjuds alla bilar tillverkade efter 2001 med bensin som drivmedel samt alla bilar tillverkade efter 2004 med diesel som drivmedel. 20En accelerometer håller reda på plötsliga rörelser såsom hårda inbromsningar eller kraftiga accelerationer och kan också varna någon automatiskt om fordonet varit med om en olycka. gnosuttaget kommer informationen som fordonet genererar inte att sparas eftersom fordonstillverkaren inte har något intresse av detta. Om enheten ansluts till uttaget kommer den att läsa av informatio- nen och skicka den till ett moln där den sparas. Informationen finns sedan lagrad på servrarna oavsett vilka aktörer konsumenten väljer att ansluta till tjänsten. kan den här typen av tjänster ge konsumenterna en större valfrihet när det gäller vem som ska leve- rera tjänster till dem. De är inte längre bundna till fordonstillverka- ren. Mot bakgrund av hur liknande informationstjänster används i mobiltelefoner är det dock troligt att konsumenten ofta klickar i godkänt-rutan för att få tillgång till en tjänst utan någon större efter- tanke. Ett exempel över hur mycket information uppkopplade fordon egentligen samlar in och hur den kan användas är bråket mellan en motorjournalist och Tesla i . Motorjournalisten gav Teslas mo- dell S negativ kritik efter en provkörning. Tesla tog då fram egen information21 från provkörningen som motbevisning och menade att färdens brister berodde på att journalisten hanterat fordonet på ett (medvetet) felaktigt sätt och emot givna instruktioner. Det bråket även visade var att Tesla sparade stora mängder personlig informa- tion om färden som de sedan offentliggjorde. Fordonstillverkaren och den fysiska föraren hade i detta fall båda tillgång till information om hur fordonet egentligen hade använts och som sedan kunde an- vändas i olika syften. Historiskt har den fysiska föraren haft ett över- tag här eftersom det är han eller hon som har haft kunskap om hur fordonet faktiskt har använts.22 Tjänster för det uppkopplade fordonet handlar inte bara om applikationer utan också om informationsinsamling. Det går att samla in stora mängder information (så kallad ) om hur vi transporterar oss från olika sensorer. Informationen i sig är inte värd så mycket, men om den kan analyseras och förädlas så kan nya affärsmöjligheter hittas. Utredningen kommer att återkomma till detta i avsnittet som handlar om och profilering. 21Tesla Motors använder sig av avtal där tillgång till information regleras. 22Greenfield ’s Data Doesn’t Claims of Fakery. 8.3.3Tjänster och uppkopplade automatiserade fordon Ett automatiserat uppkopplat fordon kommer att ha tillgång till samma tjänster uppkopplade fordon har , bortsett från sådana som riktar sig direkt till en fysisk förare. Eftersom det ännu inte finns några automatiserade fordon på marknaden vet vi inte vilka tjänster som faktiskt kommer att erbjudas. Utbudet kommer att styras av vilka behov vi känner är viktiga att tillfredsställa. Hur ett automatiserade fordon kommer att se ut och vad det kommer att användas till kommer också att variera stort. Jag kan till exempel tänka mig att tjänsten låsa/låsa upp ett fordon blir viktigt för att kunna kontrollera användningen av fordonet oavsett hur det ser ut. Jag ser också att olika applikationer i kombination med en smart mobiltelefon eller rent av en smart klocka kommer att få stor betydelse, och också vara en risk ur informationssäkerhetssynpunkt. Exempelvis kan dagens fysiska nyckel bytas ut mot en mobiltelefon, som eventuellt skulle kunna manipuleras för att komma åt fordonet obehörigt. Ett annat exempel på en helt ny funktion hos ett automatiserat uppkopplat fordon skulle kunna vara att förhandla om parkering. Om fordonet släpper av mig och sedan kommer och hämtar mig när jag begär det spelar det mindre roll för mig om fordonet parkerar i parkeringshus A, B eller C. skulle fordonet i sådana situationer samla in prisinformation från de olika parkeringshusen, förhandla om priset och sedan köpa parkering eller rent av konsta- tera att det är billigare att cirkulera på olika gator än att parkera. Vilka tjänster som kommer att erbjudas kommer i hög grad att styras utifrån vilken information som finns tillgänglig. Fordon kan till exempel dela information med varandra och aktör kan erbjuda tjänster åt passerande fordon utifrån information om for- donet och de som finns ombord. Exempel på tjänster där fordonen delar data skulle kunna vara att fordon samlar data om vägytans skick och underrättar väghållaren om potthål eller skickar väderdata till exempel från vindrutetorkarna till någon vädertjänst. Ett annat användningsområde skulle kunna vara att fordon samlar in uppgifter om vägtemperatur, som en väghållare i sin tur skulle kunna ha användning för i beslutsprocessen när och var halkbekämpning ska påbörjas. med ett stort antal uppkopplade fordon kom- mer det inte att finnas brist på information utan frågan blir snarare hur informationsutbytet ska begränsas. I exemplet med potthållet kommer inte väghållaren att vara intresserad av att få information från varje fordon som åker över det utan kanske bara från ett fordon . Exempel på en tjänst som riktar sig till de som finns om- bord skulle kunna vara erbjudande om mat längs vägen utifrån tid- punkt och hur länge resan har pågått. Utmaningen i att utveckla tjänster ligger i att samla in informa- tion och göra den tillgänglig på en marknad under fri konkurrens. Frågan är vem som ska ha tillgång till personlig informationen i ett kommersiellt sammanhang. Fordonstillverkare kan avtala med for- dons köpare om hur information ska göras tillgänglig mellan parter- na, men hur ska en oberoende tjänsteleverantör få tillgång till infor- mation och vad ska gälla när fordonet säljs på begagnatmarknaden. Hur ska personlig information från passagerare ombord göras till- gänglig23? Ju mer information företag har om enskilda desto mer skräddarsydda tjänster kan de erbjuda. En annan fråga är också hur mycket information den enskilde vill dela med sig av. Jag återkom- mer till frågan under avsnittet om den enskildes integritet. Avsnittet som följer nu handlar om hur informationen från fordonen kan skyddas. Informationssäkerhet kan analyseras utifrån två aspek- ter, dels funktionssäkerhet och dels skydd av informationen i sig. 8.4.1Skydd av fordon och information Funktionssäkerhet går ut på att skydda själva fordonet från skada. Sensorer, processorer, hårdvara, nätverk och mjukvara behöver skyd- das så att fordonet kan fortsätta att fungera säkert. Här finns emel- lertid motstående intressen. I vissa situationer skulle det kunna vara motiverat att samhället får en möjlighet att stoppa fordonet utifrån, t.ex. för att förhindra terrorbrott. arbetar exempelvis på regeringens uppdrag med tester av geostaket, dvs. teknik som stoppar otillåtna fordon 23 Om t.ex. en passagerare betalar med en applikation i mobilen blir betalningen spårbar till personen till skillnad från vad som gäller vid kontant betalning. från att köra in i ett visst geografiskt område (se nedan).24 Utom- lands finns det till exempel teknik utvecklad för vissa bilmärken för att kunna fjärrstoppa ett fordon elektroniskt medan det är i rörelse. Tekniken används av polisen i vid bilkapningar där passagerare tvingats med och det finns ett regelverk kring hur detta ska gå till på ett säkert sätt. Det är också möjligt att fjärrstoppa en bil i om fordonsägaren/leasingtagaren inte sköter avbetalningen på fordonet, en metod som främst används vid försäljning av begagnade bilar. Fordonets position kan då spåras med hjälp av en sändare och ut- rustning kopplas in i fordonet som gör att det går att stänga av trådlöst. Ägaren får ett meddelande om att fordonet inte kommer att starta dagen efter, för det fall att avbetalning inte görs. Den lagliga tekniken för att stoppa fordon utifrån skulle emeller- tid även kunna användas illegalt och då utan hänsyn till om det kan ske på ett säkert sätt. I takt med att fordon allt mer klarar av att utföra vissa köruppgifter själva ökar också möjligheterna (och in- tresset) för någon utifrån att ta över kontrollen av fordonet. Ett växande problem är ransomware. Ransomware innebär att någon utomstående tar kontroll över din dator genom ett skadligt program, som låser datorn. För att du åter ska få tillgång till din dator måste du betala en lösensumma. Ransomware skulle kunna riktas både mot en enskild fordonsägare, men också mot en fordonstillver- kare. Om en fabriksdator skulle bli smittad och beroende på hur systemet är uppbyggt skulle det kunna innebära att samtliga fordon från den fordonstillverkaren slås ut i hela världen. Den stora faran är kanske inte enskilda fordonstillverkare utan underleverantörer till dessa. Säg att det finns en underleverantör som tillverkar en säker- hetskritisk enhet och som levereras till många fordonstillverkare världen över. Om en hackare då hittar en väg in för att ta över just den enheten kan så många fler fordon slås ut . Skydd av informationen handlar om uppgifter som är kopplade till fordonet. Dessa kan vara av två slag. Det kan handla om företags- hemligheter till exempel de algoritmer som används vid bildanalys (skydd mot industrispionage). Det kan även handla om uppgifter som är kopplade till en enskild individ så kallade personuppgifter. Exempel på personuppgifter är fordonets koordinater och om bilbälte används. Användarnas personliga uppgifter behöver skyddas så att de 24 ska slutredovisa uppdraget i myndighetens årsberättelse 2018. inte kommer i orätta händer. Det handlar till exempel om att skydda fordonsägaren från att andra använder hans eller hennes personliga information i kommersiellt syfte utan personens kännedom eller medgivande. Funktionssäkerhet och skydd av information hänger ihop. Ju fler som har tillgång till information och kunskap om hur fordonen fungerar desto svårare är det att upprätthålla funktionssäkerheten. Det finns inga säkra dokumenterade fall där något fordon ute i trafik blivit hackad av någon utomstående i syfte att skada någon person ombord. Däremot finns det en del försök utförda i syfte att ta kontroll över fordon. –2011 visade en grupp forskare i att de i labora- torieförsök och på väg kunde kontrollera fordon i hög fart (utom styrningen). Forskarna gick in trådlöst via porten i bilens infotain- mentsystem med en smart telefon. De kunde även använda en smit- tad cd-skiva i bilens spelare för att få in skadlig programvara. De konstaterade också att en hackare kunde smitta en bil med ett eget program, ta kontroll över fordonet och till exempel köra det i diket, för att sedan radera alla spår av hackningen. Forskarnas resultat fick inte så mycket uppmärksamhet eller konsekvenser, mycket beroende på att forskarna valde att inte publicera vilket fordon de hackade (i efterhand har det framkommit att det var en GM ) och hur de gick till väga rent praktiskt.25 demonstrerade några av forskarna, som var inblandade i det första försöket, att de kunde ta kontroll över ett fordon genom en vanlig adapter ansluten till diagnosuttaget genom att skicka sms-meddelanden. Det som användes var en adapter som till exempel försäkringsbolag använder.26 och är två datasäkerhetsexperter i som ville öka medvetenheten om informationssäkerhet i relation till fordon. De var oroade av att fordonsindustrin inte i tillräckligt hög grad reagerade på forskningsresultaten –2011. 25Koscher m.fl. Analysis of a , och – . 26Greenberg, A. Hackers cut a Corvette´s brakes via a common car gadget. egna demonstrationer som de bland annat lade ut på youtube.27 De har berättat förhållandevis mycket om hur det går till rent praktiskt att hacka ett fordon. tog de kontroll över en och en genom fordonens diagnosuttag genom att koppla en dator till porten (inte trådlöst). De två befann sig då i bilens baksäte och bilen kördes av en tredje person. I försöket visade de att de kunde ta kon- troll över bromsar, tuta och ratt. Industrin reagerade inte nämnvärt på deras demonstration, mycket beroende på att forskarna hade kopplat in sig rent fysiskt i diagnosuttaget och industrin menade att det därför inte var en så hög säkerhetsrisk. och beslöt då att ta demonstrationerna till nästa nivå. visade de att de kunde ta trådlös kontroll över en som körde på en landväg av en fysisk förare. Vägen var trafikerad och forskarna befann sig långt bort från bilen. De visade i försöket att de kunde ta trådlös kontroll över ventilationen, radion, vindrutetorkarna, gaspedalen, bromspeda- len och motorn. De kunde även övervaka fordonets koordinater och följa på en karta var det befann sig. De påstådd också att det räckte med att de kände till fordonets ip-adress av aktuellt fabrikat för att de skulle kunna ta över fordonet oavsett var det befann sig i landet (vad de antydde var att de kunde skada samtliga fordon med aktuell säkerhetsbrist). Vägen in i fordonet var genom infotain- mentingången.28 Väl inne i fordonet kunde de ta kontroll över ett chip och placera sin egen programvara där som i sin tur kontrolle- rade . och Valaseks demonstrationer har fått stor uppmärksam- het i . Bland annat återkallades ett stort antal fordon för uppdatering av informationssäkerheten. Det finns fler forskare som har visat att de kan hacka fordon.29 Även i pågår forskning för att öka informationssäker- heten i fordon. FFI-programmet (Fordonsstrategisk Forskning och Innovation) har en strategisk satsning som heter ”Fordons it- säkerhet och integritet”. Satsningen medger anslag för forsknings- 27Försöket var finansierat av the (). 28Det här är ett exempel på att en fordonstillverkare måste kontrollera att delar som en under- leverantör tillhandahåller är säkra och inte blir en ingång till fordonet. 29Denna typ av forskning är exempel på vad som kallas reverse , dvs. forskaren utgår ifrån en färdig produkt och så undersöker han eller hon produkten för att lära sig om till exempel säkerhetsbrister. Nackdelen med reverse är att det är en mer omständlig metod som tar mycket tid och ansträngning i anspråk samt att metoden inte ger fullständig information om den undersökta produkten. projekt som strävar mot att utveckla koncept, metoder och verktyg som säkerställer förståelse för säkerhets- och integritetsaspekter genom hela livscykeln inom fordonsområdet. Samarbete och gräns- överskridande initiativ uppmuntras mellan fordonstillverkare, industripartners, akademin, forskningsinstitut och andra relevanta aktörer. (2016–2019) kommer programmet bistå med statligt anslag för tillämpad forskning med en budget på . Industrin kommer att skjuta till lika mycket eller mer. Tillämpningsområdena omfattar fyra delområden; •automation, uppkopplade och automatiserade fordon, •process och teknisk hantering och •exploatering, spridning och standardisering. En amerikansk senator , inledde en egen undersökning angående informationssäkerheten i fordon genom att ställa frågor till samtliga stora fordonstillverkare i . Han publicerade sina resultat i rapporten ”Tracking and Hacking: Security and Privacy Gaps Put American Drivers at Risk.” (Rapporten utgjorde grunden till en federal lag Act, se nedan.) Sammanfattnings- vis kom han fram till följande. •Så gott som samtliga personbilar har trådlösa portar in i fordonet och har trådlös teknik ombord, vilket gör dem sårbara för hack- ning och intrång i den personliga integriteten. •De flesta biltillverkare kan inte redogöra för om deras fordon utsatts för hackning. •De säkerhetsåtgärder som fordonsindustrin vidtar för att skydda mot trådlös hackning är inte tillräckliga. De är inkonsekventa och slumpartade. •Bara två fordonstillverkare kunde redogöra för hur de kan avvärja ett pågående hackningsförsök av fordonet. •Fordonstillverkare samlar in stora mängder information om fram- förandet av fordonet och hur det presterar. •De flesta fordonstillverkare erbjuder teknik som möjliggör in- samling av information som sedan överförs trådlöst till servrar utanför fordonet. Överföring sker även till 3:e part. Fordonstill- verkare kan inte redogöra för hur data ska skyddas mot intrång vid överföring. 8.4.3Hur arbeta med informationssäkerhet För att skydda fordon behövs ytterligare tekniska system och inno- vationer. Det pågår ett aktivt arbete med att utveckla informations- säkerheten, inte minst i förhållande till automatiserade fordon. Det grundläggande problemet är att människor inte kan konstruera ett säkerhetssystem som andra människor inte kan knäcka. Ett annat problem är att hög säkerhet ofta är kostnadsdrivande. En fordons- tillverkare skulle kunna bygga ett fordon med ett helt säkert slutet system, men vad gör du då som fordonsägare när någon del i for- donet går sönder. Att byta till en reservdel innebär att det slutna systemet är slutet och därmed säkert. Att inte tillåta byte av reservdelar innebär att fordonet måste skrotas. Hur säkra fordonen ska vara är en kostnadsfråga utifrån vilka risker vi är beredda att acceptera i samhället. Det går alltså inte att konstruera ett system som är helt infor- mationssäkert. Det handlar i stället om att identifiera risker och sedan försöka på bästa sätt hantera dessa risker till en rimlig kostnad. Det gäller exempelvis för en fordonstillverkare att säkra hela kedjan av underleverantörer så att till exempel inte ett smittat chip från en underleverantör används i fordonet. Fordonstillverkare i har enats om ett antal frivilliga principer för hur de ska arbeta med infor- mationssäkerhet . Liknande överenskommelser har for- donstillverkare i träffat. För europeiska fordonstillverkare, som är medlem i ACEA, gäller följande principer i korthet för upp- kopplade fordon när det gäller informationssäkerhet30: •Fordonstillverkare ska alltid beakta informationssäkerhet vid utformandet av nya processer, tjänster och produkter. •Fordonstillverkare ska skydda kundens personliga information. Principles of data protection in relation to connected vehicles and services, . Ett annat problem är att det handlar om stora system. Det kan bli svårt att utreda om en skada beror på en hackare eller på ett tekniskt fel (misstag har begåtts). Det är också en sak att konstatera att ett intrångsförsök har skett, men en helt annan sak att veta vem som gjort detta och förhindra fortsatt intrång. Det är också viktigt att lyfta fram att funktionssäkerheten och skydd av information måste fungera under hela fordonets livslängd. Dessa problem är inte unika för automatiserade fordon utan är generella för alla moderna motor- fordon och även för säkerheten i andra datasystem. Informationssäkerhet behövs alltså i fordon och inte minst i auto- matiserade fordon. finns det hinder och begränsningar för informationssäkerheten. Det är dyrt att utveckla informationssäker- het och ofta är det dyrare att utveckla till exempel informationssäkra sensorer och andra komponenter än sådana som inte är det. Det extra utrymme och mängd energi som behövs för informationssäkerhet är också begränsat i ett fordon. Det får helt enkelt inte plats hur mycket teknik som helst. Hänsyn behöver också tas till omkostnader för programmering och underhåll av säkerhetssystemen. 8.4.4Vem vill hacka ett fordon Riskerna mot informationssäkerhet kan se olika ut. Fordon kan ut- sättas för hackning i syfte att stjäla fordonet eller gods, spionera på företagshemligheter, skada fordonet eller skada någon/något om- bord. Ett medel mot detta är att bygga så kallade brandväggar. En annan risk är att fordon kan byggas om eller ny mjukvara installeras obehörigen efter att de lämnat fabriken. Om en ny kamera eller ny mjukvara installeras kan det innebära en säkerhetsrisk för fordonet. En tredje risk kan vara att fordonsägaren ansluter en enhet på någon port utan att känna till att det finns virus på enheten. Ett medel mot detta skulle kunna vara regler eller avtal om hur fordon får användas. Det gäller också att få kontroll över mer avancerade diagnosverktyg så att de inte hamnar i orätta händer. Det finns till exempel diagnos- verktyg som kan användas för att göra en elektronisk nyckel till fordonet. En fjärde risk är obehörig användning. I ett fordon kan det finnas olika sorters information där viss information är mer skydds- värd. Här gäller det att se till så att rätt person har tillgång den infor- mationen den har behörighet för. Ett medel mot detta är att ställa högre säkerhetskrav på viktig information. ansvarar fordons- ägaren för att ingen obehörigen använder fordonet.