NHTSA는 수리법에 반대하여 모호함을 통해 보안을 지지합니다.

"모호함을 통한 보안"(기술의 작동을 비밀로 유지하는 것이 공격으로부터 기술을 보호하는 수단이라는 개념)은 오래 전에 사이버 보안 전문가와 광범위한 정보 보안 산업에 의해 포기되었습니다. 역사에서 알 수 있듯이 비밀은 보안과 동일하지 않으며 영리하고 수완이 풍부하며 결단력 있는 적들에 맞서 잘 견디지 못합니다.

지난 주 22개 자동차 제조업체에 보낸 서신에서 이 개념에 대해 강력하게 찬성한 NHTSA(National Highway Traffic Safety Administration)에는 말하지 마십시오. 6월 13일자 서한은 차량 소유자에게 차량의 텔레매틱스 데이터에 대한 통제 및 액세스를 제공하는 매사추세츠 법률을 겨냥했습니다. NHTSA는 이 법이 사이버 공격을 촉진할 수 있으며 "조향, 가속, 제동과 같은 안전에 중요한 기능을 포함하여 차량의 시스템 조작을 허용"할 수 있다고 밝혔습니다. 이어 텔레매틱스 사이버 위험은 차량 안전 위험을 구성하며 1960년대 중반 제정된 법률인 국가교통 및 자동차 안전법(안전법)에 위배된다고 자동차 제조업체에 알리고 차량 텔레매틱스를 유지하도록 명령했습니다. 시스템이 폐쇄되었습니다.

"데이터 접근법에 따른 심각한 안전 위험을 고려할 때 차량 제어 시스템에 대한 통신 경로를 요구하는 해당 법에 따라 차량의 텔레매틱스 장치에 대한 원격 접근을 개방하는 조치를 취하는 것은 안전법에 따른 의무와 충돌할 수 있습니다." NHTSA가 썼습니다.

그러나 모호함을 통해 자동차 제조업체의 보안을 승인하는 과정에서 NHTSA는 자체 사이버 모범 사례와 자동차 제조업체의 텔레매틱스 시스템에 악용 가능한 보안 결함과 취약점이 가득하다는 최근 보고서를 모두 간과했습니다.

매사추세츠의 차량 텔레매틱스 수리 권리법은 자동차 수리 시장 내에서 경쟁을 촉진하여 차량 소유자가 자동차를 수리하는 것을 더 쉽고 저렴하게 만들기 위해 작성되었습니다. 3년 전, 투표 법안은 자동차 제조업체들이 증거 없이 매사추세츠 주민들에게 차량 수리 정보에 접근하면 범죄자와 스토커들이 그들의 집과 차량에 접근할 수 있다는 경고를 하는 수백만 달러의 텔레비전 광고를 게재하는 악의적인 수개월 간의 캠페인을 촉발시켰습니다. 업계를 위협하는 전술은 효과가 없었습니다. 2020년 11월 투표 법안은 유권자의 4분의 3 이상이 이를 지지하는 가운데 통과되었습니다.

하지만 그게 끝이 아니었습니다. 이 법안의 통과는 같은 달 자동차 산업 로비 단체의 소송을 촉발시켰습니다. 자동차 혁신을 위한 동맹 대 캠벨(Alliance for Automotive Innovation) 소송은 더글라스 우드록(Douglas Woodlock) 연방 판사의 법정에서 2년 넘게 아무런 결정도 내리지 못한 채 계류 중입니다. 6월 1일, 매사추세츠주 법무장관으로 새로 선출된 안드레아 조이 캠벨(Andrea Joy Campbell)은 법원의 찬성 또는 반대 판결이 없는 상황에서 법을 집행하기 시작했습니다. 2주 후 NHTSA 서신은 주정부 집행에 멍키 렌치를 던졌습니다.

단 한 가지 문제가 있습니다. 매사추세츠의 자동차 수리 권리에 관한 법률은 NHTSA의 편지에 명시된 내용을 전혀 따르지 않습니다. 매사추세츠 유권자들이 작성하고 통과시킨 이 법은 단순히 텔레매틱스 시스템을 사용하는 매사추세츠에서 판매되는 차량에 "제조업체의 모든 브랜드와 모델에 걸쳐 상호 운용 가능하고 표준화된 개방형 액세스 플랫폼"을 장착해야 한다고 명시하고 있습니다. 보안은 나중에 생각할 문제가 아닙니다. 실제로 법은 "그러한 플랫폼은 플랫폼에 대한 직접 데이터 연결을 통해 자동차에서 직접 나오는 모든 기계적 데이터를 안전하게 전달할 수 있어야 한다"고 명시하고 있습니다.

그게 다야. "개방"이라는 단어는 2020년 데이터 접근법 업데이트에서 단 한 번만 등장하며 "비보안"이 아닌 "비독점"이라는 맥락에서 사용됩니다. 법이 하는 일은 자동차 텔레매틱스 데이터에 접근할 수 있는 사람을 결정할 수 있는 문지기의 역할에서 자동차 제조업체를 제거하는 것입니다. 대신, 개인은 자신의 차량에서 생성된 텔레매틱스 데이터에 적합하다고 판단되는 대로 제3자 독립 수리 전문가를 포함하여 액세스하고 공유할 수 있다고 주장합니다.