Współczesne samochody pełne luk. Badacze znaleźli setki podatnych bibliotek

O bezpieczeństwie samochodu dawno przestały decydować wyłącznie poduszki powietrzne, strefa zgniotu czy sprawność hamulców. Świeżo opublikowany raport pokazuje, że nowoczesne pojazdy są mocno narażone na ataki cybernetyczne, co stawia pod znakiem zapytania bezpieczeństwo kierowców korzystających z cyfrowych funkcji auta.

Kierowcy zagrożeni. Hakerzy wchodzą przez aplikacje w telefonie

Czasy, gdy o bezpieczeństwie pojazdu decydowały wyłącznie jego fizyczne parametry - grubość podłużnic, liczba poduszek powietrznych czy stan klocków hamulcowych - odeszły do lamusa. Współczesne samochody to w gruncie rzeczy komputery na kołach, które nieustannie wymieniają dane z siecią, wysyłając do chmury ogromne ilości informacji w zamian za wygodę integracji z aplikacjami mobilnymi i zdalne sterowanie wybranymi funkcjami ze smartfona. Pytanie brzmi, jakim kosztem przychodzi ta wygoda. Odpowiedzi szuka zespół naukowców z Uniwersytetu w Göteborgu oraz Politechniki Chalmersa w Szwecji, a ich ustalenia opublikowane w Software Quality Journal brzmią alarmująco - branża motoryzacyjna ma poważny problem z jakością i higieną tworzonego kodu.

Szwedzcy badacze przeanalizowali zbiór oficjalnie zarejestrowanych podatności oprogramowania samochodowego, korzystając z amerykańskiej bazy NVD (National Vulnerability Database). Z analizy wynika, że aż 36,2% wykrytych luk nie dotyczy samych podzespołów pojazdu, lecz zewnętrznych aplikacji mobilnych, serwisów internetowych i usług chmurowych. Zestawienie z danymi sprzed dekady pokazuje wyraźną zmianę - dziś przestępca nie musi fizycznie podłączać się do komputera pokładowego przez złącze OBD-II ani łamać zabezpieczeń modułu WiFi w samochodzie. Wystarczy luka w serwerze producenta przechowującym dane kierowców albo błąd w aplikacji mobilnej, by zdalnie namierzyć lokalizację GPS auta, otworzyć zamki, a w najgorszym scenariuszu przejąć kontrolę nad elektroniką pokładową.

Za dziurawy kod nie odpowiadają wyłącznie programiści producentów - choć częściowo tak, bo deweloperzy chętnie sięgają po gotowe rozwiązania z zasobów open-source. Pośpiech wynikający z napiętych harmonogramów premier i presji dotrzymania terminów sprawia, że jakość kodu bywa pomijana. Badacze ze Szwecji wykorzystali pięć profesjonalnych skanerów bezpieczeństwa do prześwietlenia 20 popularnych projektów open-source stosowanych w motoryzacji. Wynik zaskakuje skalą problemu - wykryto aż 827 bibliotek podatnych na zagrożenia.

Ponieważ te same biblioteki wykorzystywane są przez wielu producentów, pojedyncza wykryta luka potrafi dotknąć jednocześnie kilkanaście różnych modeli samochodów - od miejskich maluchów po luksusowe limuzyny.

Szczególnie groźna jest sytuacja, w której producent zaniedbuje podstawową zasadę segmentacji sieci wewnątrz pojazdu, czyli rozdzielenia poszczególnych systemów i modułów cyfrowymi barierami. Bez takiego podziału przełamanie zabezpieczeń systemu radiowego może otworzyć hakerom drogę do przejęcia kontroli nad układami odpowiadającymi za pracę silnika, adaptacyjny tempomat radarowy i inne kluczowe funkcje. Nie każda ze zidentyfikowanych luk prowadzi do aż tak poważnych konsekwencji, jednak skala problemu i tak jest spora - badacze wskazują, że 17 wykrytych podatności jest już aktywnie wykorzystywanych przez cyberprzestępców.

Co w tej sytuacji mogą zrobić sami kierowcy? Kilka praktycznych kroków warto wdrożyć od razu. Przede wszystkim nie należy odkładać instalacji aktualizacji oprogramowania, ponieważ kolejne łatki często usuwają istotne z punktu widzenia bezpieczeństwa luki. Dobrze jest także zadbać o mocne hasło do aplikacji powiązanej z samochodem i regularnie zmieniać je na nowe oraz unikalne. Warto również sprawdzić w aplikacji, jakim zewnętrznym usługom udzielono dostępu do danych lokalizacyjnych pojazdu.