Znanstvenici otkrili stotine novih ranjivosti u automobilima

Moderni automobili su stalno povezani s vanjskim svijetom. To ih čini ranjivima na hakere koji žele daljinski preuzeti kontrolu nad vozilom.

Istraživači sa Sveučilišta u Göteborgu i Tehnološkog sveučilišta Chalmers otkrili su da su se IT ranjivosti prebacile s računalnih sustava automobila na aplikacije i usluge u oblaku povezane s njim.

Automobil je računalo na kotačima. Komunicira s cloud uslugama proizvođača automobila, vozačevim telefonom i stanicama za punjenje, a kada djeca streamaju filmove na stražnjem sjedalu, podaci putuju internetom. Sve te veze mogu postati ulazne točke za hakere u automobil. Istraživači su proučili 413 prijavljenih sigurnosnih ranjivosti u automobilskom softveru između 2022. i 2024. te ih usporedili s prethodnim desetljećem.

„Prije deset godina, većina ranjivosti pronađena je u vlastitim sustavima automobila. Sada se udio pronađenih u aplikacijama, web stranicama i uslugama u oblaku gotovo utrostručio. Ti sustavi sadrže podatke o tome gdje živite, gdje vozite i kada, tako da rizik nije samo da netko može intervenirati u automobilu, već i da može doći do informacija o vašem životu“, kaže Srijita Basu, postdoktorska istraživačica softverskog inženjerstva na Sveučilištu u Göteborgu i Tehnološkom sveučilištu Chalmers.

Prijavljena IT ranjivost ne znači da je došlo do kršenja sigurnosti, već samo da postoji rizik od njega. U prosincu 2024. otkriveno je da su podaci iz oko 800.000 električnih automobila Volkswagena, Audija, Seata i Škode bili javno dostupni na internetu nekoliko mjeseci. Podaci su sadržavali precizne GPS informacije te adrese e-pošte, telefonske brojeve i kućne adrese vlasnika automobila. To je značilo da je bilo moguće točno vidjeti gdje i kada je određeni automobil vožen.

Ranjivost je bila u usluzi u oblaku koju je proizvođač automobila koristio za prijenos podataka iz vozila na cesti. Curenje podataka otkrila je etička hakerska skupina nakon dojave zviždača i o njemu se široko izvještavalo u medijima. Curenje je ispravljeno prije nego što se saznalo da je zloupotrijebljeno.

„Kada usporedimo s prethodnim desetljećem, možemo vidjeti da se IT ranjivosti sada najčešće nalaze u aplikacijama, web stranicama i uslugama u oblaku te da se rizici češće ocjenjuju kao ozbiljni i kritični. Iznenađeni smo koliko su neke od slabosti u tim sustavima osnovne. Mogu uključivati ​​lozinke koje nisu promijenjene od instalacije. Hakeri mogu koristiti provjerene stare trikove kako bi dobili pristup kroz stražnja vrata“, kaže Srijita Basu.

Audio i medijski sustav automobila, poznatiji kao infotainment sustav, slaba je točka. Svatko tko je spojen na Wi-Fi mrežu automobila mogao bi potencijalno dobiti pristup i drugim sustavima automobila ako nisu pravilno odvojeni.

To se dogodilo u testu koji su istraživači sigurnosti proveli na Jeep Cherokeeju 2015. godine. Putem medijskog sustava automobila mogli su pristupiti drugim sustavima u vozilu i preuzeti kontrolu nad upravljanjem, kočnicama i gasom. Nova studija pokazuje da se slične slabosti i dalje pojavljuju gotovo desetljeće kasnije. 

„Moj savjet proizvođačima automobila je da sustave koji kontroliraju vozilo drže strogo odvojenima od infotainmenta i drugih povezanih sustava, uz snažnu sigurnost oko njih. Također bi trebali učiti od svijeta weba i IT-a, gdje su mnogi od ovih nedostataka poznati godinama. Kada je automobil stalno povezan s vanjskim svijetom, on također poziva vanjski svijet u automobil“, kaže Srijita Basu.

U svom pregledu prijavljenih ranjivosti, istraživači su analizirali odakle je svaka ranjivost nastala. Je li to bilo u dizajnu IT funkcije, u programiranju ili u softveru koji se izvodi na računalnim čipovima automobila? Istraživači su otkrili da se proizvođači čipova razlikuju u tome koliko dobro štite svoje proizvode od napada i koliko otvoreno prijavljuju sigurnosne nedostatke.

Računalne čipove istog proizvođača često koristi nekoliko proizvođača automobila. To znači da bi hakeri koji su pronašli stražnja vrata u IT sustav jednog modela automobila mogli koristiti istu metodu i na drugim automobilima.

„Vlasnici automobila također imaju odgovornost otežati stvari hakerima. Važno je ažurirati softver čim vas automobil to zatraži, a snažne lozinke su i dalje važne. Danas dijelimo mnogo osobnih podataka s AI asistentima za automobile, na primjer kada planiramo dugo putovanje u električnom automobilu. Kao i drugi AI sustavi, ovi asistenti mogu biti prevareni da otkriju informacije koje su im dane, stoga je važno što dijelimo s njima i što im proizvođači automobila dopuštaju pristup“, kaže Srijita Basu.

Studiju objavljenu u časopisu Software Quality Journal možete pronaći na ovoj poveznici.