Когда-то самой большой угрозой для автомобиля были проволочная вешалка и сомнительные моральные принципы. Сегодня угонщикам почти не нужно вставать с собственного дивана.
Подключённые автомобили сталкиваются с совершенно новым классом угроз безопасности. Источник изображения — newatlas.com
Современные машины — это компьютеры на колёсах: они общаются со смартфоном владельца, другими автомобилями, спутниками и облачными серверами, чтобы прокладывать маршрут, развлекать и даже ехать за водителя. Всё это очень удобно — ровно до того момента, пока кто-то с недобрыми намерениями не найдёт лазейку в этот цифровой «диалог».
Новое исследование учёных из Гётеборгского университета и Технического университета Чалмерса (Швеция) показало, что главные киберриски для современных автомобилей всё реже связаны с ключевыми системами самой машины и всё чаще — с тем, что находится за её пределами. Причём некоторые слабые места оказались до неловкости элементарными.
Исследователи изучили 413 программных уязвимостей, затронувших подключённые автомобили в период с января 2022 по сентябрь 2024 года, и сравнили результаты с проблемами безопасности, задокументированными за предыдущее десятилетие. Обнаружилась разительная перемена в том, где именно возникают проблемы.
Десятилетия назад для кражи автомобиля угонщику требовался физический доступ к нему. С тех пор схемы атак стали дистанционными. На внешние приложения — сайты, мобильные программы и облачные сервисы — теперь приходится более трети выявленных уязвимостей. Это почти втрое больше доли, зафиксированной в более ранних исследованиях.
Последствия неприятные. Уязвимости в ПО могут приводить к атакам, ставящим под угрозу саму способность автомобиля безопасно двигаться, — то есть безопасность теперь касается не только сохранности машины, но и жизни человека. Ещё в 2015 году специалисты по безопасности наглядно продемонстрировали, как можно удалённо вмешаться в управление рулём, тормозами и газом Jeep Cherokee, получив доступ через мультимедийную систему.
Спустя более десяти лет уязвимости в развлекательных и коммуникационных системах по-прежнему вызывают беспокойство. Например, одна задокументированная брешь в мультимедийной системе Škoda при определённых условиях позволяла подключённому к Wi-Fi автомобиля злоумышленнику вызвать сбой системы. Не голливудский перехват управления на шоссе, но и явно не та «функция», которую ждёшь из рекламного буклета.
Если одни преступные группировки могут ради выкупа блокировать руль или тормоза, то куда более частая цель — личные данные: адрес, перемещения, распорядок дня и даже место парковки в рабочее время. Риски не гипотетические. В декабре 2024 года исследователи сообщили, что данные о местоположении примерно 800 000 автомобилей марок концерна Volkswagen Group оказались в открытом доступе в интернете.
Злоумышленники воспользовались незащищёнными учётными данными Amazon Web Services, которые использовал сторонний подрядчик, и могли собирать точные GPS-координаты и персональные сведения, фактически восстанавливая маршруты передвижения водителей. К счастью, брешь закрыли прежде, чем ею успели воспользоваться злонамеренно.
Тревожным оказался и сдвиг в серьёзности уязвимостей: почти 45% отнесли к высокому уровню опасности, ещё 16% — к критическому. Для сравнения, в более раннем исследовании к критическим относили лишь 5%. Это не значит, что хакеры уже миллионами угоняют машины: уязвимость — это потенциальная возможность, а не доказательство успешной атаки.
Исследователи также нашли проблемы в сторонних программных библиотеках, которые используют автомобильные разработчики, — это показывает, как изъяны попадают в машины задолго до их выхода с завода. Вывод для производителей прост: безопасность нужно закладывать на каждом этапе разработки, а не прикручивать задним числом. Изоляция развлекательных систем от критически важных для безопасности узлов тоже помогла бы: тогда взломанный плейлист не превратится во взломанный автомобиль.
Водителям же советы знакомы: устанавливать обновления ПО, использовать надёжные пароли и внимательно относиться к тому, какими персональными данными делиться с подключёнными сервисами. В конце концов, автомобиль и так знает, где вы бывали, — и совсем не обязательно, чтобы об этом узнали все остальные.
Исследование опубликовано в журнале Software Quality Journal. Источник: TechXplore.
