1.

Deskrizzjonijiet ta’ livell għoli ta’ theddid u l-metodu relatat mal-vulnerabbiltà jew l-attakk huma elenkati fit-Tabella A1. Tabella A1 Lista ta’ vulnerabbiltajiet jew metodi ta’ attakk relatati mat-theddid Deskrizzjonijiet ta’ livell għoli u ta’ sottolivell ta’ vulnerabbiltà/theddida Eżempju ta’ vulnerabbiltà jew metodu ta’ attakk 4.3.1. Theddid fir-rigward ta’ back-end servers relatati ma’ vetturi fil-qasam 1 Servers back-end użati bħala mezz biex jattakkaw vettura jew jisiltu data 1.1 Abbuż ta’ privileġġi mill-persunal (attakk minn ġewwa) 1.2 Aċċess bl-internet mhux awtorizzat għas-server (attivat pereżempju permezz ta’ backdoors, vulnerabbiltajiet tas-software tas-sistema mhux kumpressat, attakki SQL jew mezzi oħra) 1.3 Aċċess fiżiku mhux awtorizzat għas-server (imwettaq minn pereżempju USB sticks jew mezzi oħra konnessi mas-server) 2 Interuzzjoni tas-servizzi minn server back-end, li taffettwa t-tħaddim ta’ vettura 2.1 Attakk fuq server back-end li jwaqqfuh milli jiffunzjona, pereżempju ma jħallihx jinteraġixxi mal-vetturi u milli jipprovdi servizzi li jiddependu fuqhom 3 Data relatata mal-vettura miżmuma fuq servers back-end li tintilef jew tiġi kompromessa (“vjolazzjoni tad-data”) 3.1 Abbuż ta’ privileġġi mill-persunal (attakk minn ġewwa) 3.2 Telf ta’ informazzjoni fil-cloud. Data sensittiva tista’ tintilef minħabba attakki jew inċidenti meta d-data tinħażen minn fornituri terzi tas-servizzi tal-cloud 3.3 Aċċess bl-internet mhux awtorizzat għas-server (attivat pereżempju permezz ta’ backdoors, vulnerabbiltajiet tas-software tas-sistema mhux kumpressat, attakki SQL jew mezzi oħra) 3.4 Aċċess fiżiku mhux awtorizzat għas-server (imwettaq pereżempju minn USB sticks jew mezzi oħra konnessi mas-server) 3.5 Vjolazzjoni ta’ informazzjoni permezz ta’ kondiviżjoni mhux intenzjonata tad-data (eż. żbalji amministrattivi) 4.3.2. Theddid għall-vetturi fir-rigward tal-kanali ta’ komunikazzjoni tagħhom 4 Spoofing ta’ messaġġi jew ta’ data riċevuta mill-vettura 4.1 Spoofing ta’ messaġġi permezz ta’ impersonazzjoni (eż. 802.11p V2X matul il-platooning, messaġġi GNSS, eċċ.) 4.2 Attakk Sybil (sabiex isir spoofing ta’ vetturi oħra daqslikieku hemm ħafna vetturi fit-triq) 5 Il-kanali ta’ komunikazzjoni użati biex jitwettqu manipulazzjoni, tħassir jew emendi oħra mhux awtorizzati għall-kodiċi/id-data miżmuma mill-vettura 5.1 Il-kanali ta’ komunikazzjoni jippermettu injezzjoni tal-kodiċi, pereżempju, il-binarju tas-software mbagħbas jista’ jiġi injettat fil-fluss tal-komunikazzjoni 5.2 Il-kanali ta’ komunikazzjoni jippermettu manipulazzjoni tad-data/kodiċi miżmuma mill-vettura 5.3 Il-kanali ta’ komunikazzjoni jippermettu kitba fuq id-data/il-kodiċi miżmuma mill-vettura 5.4 Il-kanali ta’ komunikazzjoni jippermettu t-tħassir ta’ data/kodiċi miżmuma mill-vettura 5.5 Il-kanali ta’ komunikazzjoni jippermettu l-introduzzjoni ta’ data/kodiċi fil-vettura (kodiċi tad-data għall-ktib) 6 Il-kanali ta’ komunikazzjoni jippermettu l-aċċettazzjoni ta’ messaġġi mhux fdati/mhux affidabbli jew li huma vulnerabbli għal attakki ta’ ħtif tas-sessjoni/replay 6.1 Aċċettazzjoni ta’ informazzjoni minn sors mhux affidabbli jew mhux fdat 6.2 Attakk minn intermedjarju informatiku/ħtif tas-sessjoni 6.3 Attakk replay, pereżempju attakk fuq gateway ta’ komunikazzjoni jippermetti lill-aggressur inaqqas il-grad tas-software ta’ ECU jew firmware tal-gateway 7 L-informazzjoni tista’ tiġi żvelata faċilment. Pereżempju, permezz ta’ smigħ awdjo mhux awtorizzat dwar komunikazzjonijiet jew permess ta’ aċċess mhux awtorizzat għal fajls jew folders sensittivi 7.1 Interċettazzjoni ta’ informazzjoni /radjazzjonijiet interferenti/monitoraġġ tal-komunikazzjonijiet 7.2 Ksib ta’ aċċess mhux awtorizzat għal fajls jew data 8 Ċaħda ta’ attakki ta’ servizz permezz ta’ kanali ta’ komunikazzjoni biex ifixklu l-funzjonijiet tal-vetturi 8.1 Il-bgħit ta’ volum kbir ta’ data bla valur lis-sistema ta’ informazzjoni ta’ vettura, sabiex din ma tkunx tista’ tipprovdi servizzi bil-mod normali 8.2 Attakk black hole, sabiex tiġi mfixkla l-komunikazzjoni bejn il-vetturi, l-aggressur jista’ jimblokka l-messaġġi bejn il-vetturi 9 Utent mhux privileġġat jista’ jikseb aċċess privileġġat għas-sistemi tal-vettura 9.1 Utent mhux privileġġat jista’ jikseb aċċess privileġġat, pereżempju aċċess tar-root 10 Il-viruses inkorporati fil-mezzi ta’ komunikazzjoni huma kapaċi jinfettaw is-sistemi tal-vettura 10.1 Virus inkorporat fil-mezzi ta’ komunikazzjoni jinfetta s-sistemi tal-vettura 11 Messaġġi riċevuti mill-vettura (pereżempju X2V jew messaġġi dijanjostiċi), jew trażmessi fiha, fihom kontenut malizzjuż 11.1 Messaġġi interni (eż. CAN) malizzjużi 11.2 Messaġġi V2X malizzjużi, eż. messaġġi mill-infrastruttura għall-vettura jew mill-vettura għall-vettura (eż. CAM, DENM) 11.3 Messaġġi dijanjostiċi malizzjużi 11.4 Messaġġi proprjetarji malizzjużi (eż. dawk normalment mibgħuta minn OEM jew fornitur ta’ komponent/sistema/funzjoni) 4.3.3. Theddid għal vetturi rigward il-proċeduri ta’ aġġornament tagħhom 12 Użu ħażin jew kompromess tal-proċeduri ta’ aġġornament 12.1 Kompromess tal-proċeduri ta’ aġġornament tas-software “over the air”. Dan jinkludi l-fabbrikazzjoni tal-programm jew tal-firmware ta’ aġġornament tas-sistema 12.2 Kompromess tal-proċeduri ta’ aġġornament ta’ software lokali/fiżiku. Dan jinkludi l-fabbrikazzjoni tal-programm jew tal-firmware ta’ aġġornament tas-sistema 12.3 Is-software jiġi manipulat qabel il-proċess ta’ aġġornament (u għalhekk jiġi korrott), għalkemm il-proċess ta’ aġġornament huwa intatt 12.4 Kompromess ta’ ċwievet kriptografiċi tal-fornitur tas-software biex jippermetti aġġornament invalidu 13 Huwa possibbli li jiġu miċħuda aġġornamenti leġittimi 13.1 Ċaħda ta’ attakk tas-Servizz fuq server jew network ta’ aġġornament biex jiġi evitat it-tifrix ta’ aġġornamenti kritiċi ta’ software u/jew il-ftuħ ta’ karatteristiċi speċifiċi għall-klijent 4.3.4. Theddid għal vetturi rigward azzjonijiet umani mhux intenzjonati li jiffaċilitaw attakk ċibernetiku 15 L-atturi leġittimi huma kapaċi jieħdu azzjonijiet li jiffaċilitaw attakk ċibernetiku mingħajr ma jkunu konxji 15.1 Vittma innoċenti (eż. is-sid, l-operatur jew l-inġinier tal-manutenzjoni) tiġi mġiegħla tieħu azzjoni biex tillowdja malware b’mod mhux intenzjonat jew tippermetti attakk 15.2 Proċeduri definiti ta’ sigurtà ma jiġux segwiti 4.3.5. Theddid għall-vetturi fir-rigward tal-konnettività u l-konnessjonijiet esterni tagħhom 16 Il-manipulazzjoni tal-konnettività tal-funzjonijiet tal-vetturi tippermetti attakk ċibernetiku, dan jista’ jinkludi t-telematika; sistemi li jippermettu operazzjonijiet mill-bogħod; u sistemi li jużaw komunikazzjoni bla fili fuq medda qasira 16.1 Manipulazzjoni ta’ funzjonijiet imfassla biex is-sistemi jitħaddmu mill-bogħod, bħal ċavetta għall-kontroll mill-bogħod, immobilizzatur, u punti għall-iċċarġjar 16.2 Manipulazzjoni tat-telematika tal-vettura (eż. manipulazzjoni tal-kejl tat-temperatura ta’ oġġetti sensittivi, ftuħ mill-bogħod tal-bibien tal-merkanzija) 16.3 Interferenza ma’ sistemi jew sensuri bla fili fuq medda qasira 17 Software ta’ parti terza ospitat, eż. applikazzjonijiet ta’ divertiment, li jintużaw bħala mezz biex jiġu attakkati s-sistemi tal-vettura 17.1 Applikazzjonijiet korrotti, jew dawk b’nuqqas ta’ sigurtà tas-software, li jintużaw bħala metodu biex jiġu attakkati s-sistemi tal-vetturi 18 Apparati konnessi ma’ interfaċċi esterni eż. ports USB, port tal-OBD, li jintużaw bħala mezz biex jiġu attakkati s-sistemi tal-vetturi 18.1 Interfaċċi esterni bħal ports USB jew ports oħra li jintużaw bħala punt ta’ attakk, pereżempju permezz ta’ injezzjoni ta’ kodiċi 18.2 Mezzi infettati b’virus imqabbda ma’ sistema ta’ vettura 18.3 Aċċess dijanjostiku (eż. dongles fil-port tal-OBD) li jintuża biex jiffaċilita attakk, eż. manipulazzjoni tal-parametri tal-vettura (direttament jew indirettament) 4.3.6. Theddid għal data/kodiċi tal-vettura 19 Estrazzjoni tad-data/kodiċi tal-vettura 19.1 Estrazzjoni tad-drittijiet tal-awtur jew software proprjetarju minn sistemi ta’ vettura (piraterija ta’ prodotti) 19.2 Aċċess mhux awtorizzat għall-informazzjoni dwar il-privatezza tas-sid bħall-identità personali, l-informazzjoni dwar il-kont tal-pagamenti, l-informazzjoni dwar il-ktieb tal-indirizzi, l-informazzjoni dwar il-post, l-ID elettronika tal-vettura, eċċ. 19.3 Estrazzjoni ta’ ċwievet kriptografiċi 20 Manipulazzjoni tad-data/il-kodiċi tal-vettura 20.1 Bidliet illegali/mhux awtorizzati fl-ID elettronika tal-vettura 20.2 Frodi tal-identità. Pereżempju, jekk utent jixtieq juri identità oħra meta jikkomunika mas-sistemi ta’ pedaġġ, il-back-end tal-manifattur 20.3 Azzjoni biex jiġu evitati s-sistemi ta’ monitoraġġ (eż. hacking/tbagħbis/imblukkar ta’ messaġġi bħad-data tat-Tracker tal-ODR, jew l-għadd ta’ sessjonijiet) 20.4 Manipulazzjoni tad-data biex tiġi ffalsifikata d-data dwar is-sewqan tal-vettura (eż. kilometraġġ, veloċità tas-sewqan, direzzjonijiet tas-sewqan, eċċ.) 20.5 Bidliet mhux awtorizzati fid-data dijanjostika tas-sistema 21 Tħassir tad-data/tal-kodiċi 21.1 Tħassir/manipulazzjoni mhux awtorizzati tar-reġistru tal-avvenimenti tas-sistema 22 Introduzzjoni ta’ malware 22.2 Introduzzjoni ta’ software malizzjuż jew attività ta’ software malizzjuż 23 Introduzzjoni ta’ software ġdid jew kitba fuq software eżistenti 23.1 Manifattura ta’ software tas-sistema ta’ kontroll tal-vettura jew tas-sistema ta’ informazzjoni 24 Tfixkil tas-sistemi jew l-operazzjonijiet 24.1 Iċ-ċaħda tas-servizz, pereżempju dan jista’ jiġi attivat fuq in-network intern billi jsir flooding ta’ CAN bus, jew billi jiġu provokati ħsarat fuq ECU permezz ta’ rata għolja ta’ messaġġi 25 Manipulazzjoni tal-parametri tal-vettura 25.1 Aċċess mhux awtorizzat jew falsifikazzjoni tal-parametri tal-konfigurazzjoni tal-funzjonijiet ewlenin tal-vettura, bħad-data dwar il-brejkijiet, il-limitu użat għall-airbag, eċċ. 25.2 Aċċess mhux awtorizzat jew falsifikazzjoni tal-parametri tal-iċċarġjar, bħall-vultaġġ tal-iċċarġjar, il-potenza tal-iċċarġjar, it-temperatura tal-batterija, eċċ. 4.3.7. Vulnerabbiltajiet potenzjali li jistgħu jiġu sfruttati jekk ma jkunux protetti jew imsaħħa biżżejjed 26 It-teknoloġiji kriptografiċi jistgħu jiġu kompromessi jew ma jiġux applikati biżżejjed 26.1 Kombinament ta’ ċwievet kriptografiċi qosra u perjodu twil ta’ validità jippermetti lill-aggressur jiddeċifra l-kriptaġġ 26.2 Użu insuffiċjenti ta’ algoritmi kriptografiċi għall-protezzjoni ta’ sistemi sensittivi 26.3 Użu ta’ algoritmi kriptografiċi li ma għadhomx jintużaw jew li mhux se jibqgħu jintużaw daqt 27 Partijiet jew provvisti jistgħu jiġu kompromessi u b’hekk jippermettu li l-vetturi jiġu attakkati 27.1 Hardware jew software, maħduma biex jippermettu attakk jew jonqsu milli jissodisfaw il-kriterji tad-disinn biex iwaqqfu attakk 28 L-iżvilupp tas-software jew tal-hardware jippermetti vulnerabbiltajiet 28.1 Bugs tas-software. Il-preżenza ta’ bugs tas-software tista’ tkun bażi għal vulnerabbiltajiet potenzjali li jistgħu jiġu sfruttati. Dan huwa partikolarment minnu jekk is-software ma jkunx ġie ttestjat biex jiġi vverifikat li ma jkunx hemm kodiċi ħażin/bugs magħrufa u jitnaqqas ir-riskju li jkun hemm kodiċi ħażin/bugs mhux magħrufa 28.2 L-użu ta’ dak li jifdal mill-iżvilupp (eż. ports tad-debugs, ports tal-JTAG, mikroproċessuri, ċertifikati tal-iżvilupp, passwords tal-iżviluppaturi,...) jista’ jippermetti l-aċċess għall-ECUs jew jippermetti lill-aggressuri jiksbu privileġġi ogħla 29 Id-disinn tan-network jintroduċi vulnerabbiltajiet 29.1 Ports superfluwi tal-internet li tħallew miftuħa, u b’hekk jipprovdu aċċess għas-sistemi tan-networks 29.2 Evitar tas-separazzjoni tan-network biex jinkiseb kontroll. Eżempju speċifiku huwa l-użu ta’ gateways mhux protetti, jew punti ta’ aċċess (bħal gateways tat-trakkijiet u t-trailers), biex jiġu evitati l-protezzjonijiet u jinkiseb aċċess għal segmenti oħra tan-network biex jitwettqu atti malizzjużi, bħall-bgħit ta’ messaġġi arbitrarji ta’ CAN bus 31 Trasferiment mhux intenzjonat ta’ data jista’ jseħħ 31.1 Vjolazzjoni ta’ informazzjoni. Id-data personali tista’ tiġi żvelata meta l-karozza tibdel l-utent (eż tinbiegħ jew tintuża bħala vettura tal-kiri minn kerrejja ġodda) 32 Il-manipulazzjoni fiżika tas-sistemi tista’ tippermetti attakk 32.1 Manipulazzjoni ta’ hardware elettroniku, eż. hardware elettroniku mhux awtorizzat miżjud ma’ vettura biex jippermetti attakk minn intermedjarju informatiku Sostituzzjoni ta’ hardware elettroniku awtorizzat (eż. sensuri) b’hardware elettroniku mhux awtorizzat Manipulazzjoni tal-informazzjoni miġbura minn sensur (pereżempju, bl-użu ta’ kalamita għat-tbagħbis bis-senser tal-effett Hall imqabbad mal-gerboks)