Hakerski rizik nije samo u autu: studija upozorava na aplikacije i cloud servise povezane s vozilom

Kad se govori o zaštiti automobila od hakerskih napada, pažnja se obično usmjerava na sisteme ugrađene u samo vozilo. Nova studija pokazuje da je slika znatno šira — ranjivosti se sve češće kriju u aplikacijama, mobilnim i web servisima te cloud uslugama povezanim s automobilom.

Koliko je ovo pitanje ozbiljno pokazala je demonstracija istraživača sigurnosti iz 2015. godine, kad su daljinski upali u infotainment sistem Jeepa Cherokeea i miješali se u funkcije vožnje. Fiat Chrysler je potom najavio opoziv oko 1,4 miliona vozila u SAD-u kako bi se ugradila softverska zakrpa.

Istraživanje su proveli naučnici sa Univerziteta u Göteborgu i Chalmersovog univerziteta tehnologije u Švedskoj, a objavljeno je u časopisu Software Quality Journal. Analizirali su 413 ranjivosti automobilskog softvera prijavljenih u periodu od januara 2022. do septembra 2024, prikupljenih iz američke Nacionalne baze ranjivosti uz provjeru dodatnih sigurnosnih izvora. Eksterne aplikacije činile su najveći udio — 36,2 posto. Poređenje s ranijim istraživanjem koje je pokrivalo period 2010–2019 pokazalo je porast udjela vanjskog softvera.

„Upečatljivo je da su tehnologije široko korištene u običnim online servisima sada dio automobilskog sigurnosnog pejzaža", rekla je za ScienceAlert Srijita Basu, istraživačica softverskog inženjerstva koja radi na oba univerziteta. Ona je objasnila da aplikacije i cloud servisi povezani s automobilom mogu čuvati podatke o tome gdje vozilo putuje i kako se koristi, a ponekad i podatke o vlasniku, te da slaba sigurnost može omogućiti neovlašten pristup tim podacima.

Rizik prelaska na sisteme vožnje

Posljedice zavise i od veza unutar samog vozila. Zabavni i telematski sistemi — softver koji bilježi i prenosi podatke o radu automobila — mogu razmjenjivati podatke s drugim komponentama. „Ako se ranjivost iskoristi, a sigurnosne granice između tih sistema i funkcija kritičnih za sigurnost nisu dovoljne, napadač potencijalno može napredovati dalje od početne komponente", upozorila je Basu.

Tim je istraživao i kako greške ulaze u automobilski softver putem gotovih komponenti, takozvanih biblioteka, koje programeri koriste da ne bi pisali svaku funkciju ispočetka. Pomoću pet alata za skeniranje pregledali su 20 opijen-source projekata i identifikovali 827 ranjivih biblioteka. Budući da se neke biblioteke dijele između projekata, slabost u jednoj široko korištenoj komponenti može pogoditi više sistema. Najveća grupa ranjivosti vezana je za fazu pisanja koda, a druga po veličini za fazu dizajna.

Basu preporučuje proizvođačima da znaju koje komponente ulaze u njihov softver, redovno skeniraju biblioteke dobijene od drugih programera, prate novo prijavljene greške i imaju plan za primjenu zakrpa. Sigurnost, kako kaže, „treba biti ugrađena od početka i testirana tokom cijelog životnog vijeka vozila", a sistemi vožnje trebaju biti odvojeni od zabavnih i eksterno povezanih komponenti.

Autorka je istakla da nalazi ne znače da je svaka prijavljena greška iz daljine iskoristiva ili da omogućava pristup kontrolama vožnje, niti da studija može utvrditi koliki bi se dio automobila mogao hakirati. Samo 17 relevantnih ranjivosti iz perioda istraživanja našlo se u katalogu američke kibernetičke agencije kao grešaka za koje je poznato da su iskorištene, a većina iz skupa podataka nije se pojavila u izvorima eksploatacije koje je tim provjerio. Studija također napominje da 20 skeniranih projekata možda nije reprezentativno za cijelu industriju.

Šta mogu vlasnici

Vlasnicima je savjetovala da softver drže ažurnim, biraju jake lozinke koje se koriste samo za račune povezanog automobila, osiguraju povezane telefonske aplikacije i provjere kojim servisima daju pristup lokaciji i ličnim podacima. „Međutim, glavna odgovornost za sprječavanje i obuzdavanje softverskih ranjivosti leži na proizvođačima i njihovim dobavljačima", dodala je Basu.