Automobilio silpnoji vieta gali būti jūsų telefone: tyrėjai įspėja apie programėles ir kelionių duomenų saugumą

Užrakintas automobilis ir kišenėje laikomas raktelis dar nereiškia, kad visa su juo susijusi informacija saugi. Šiuolaikinės transporto priemonės nuolat keičiasi duomenimis su programėlėmis ir gamintojų serveriais, o būtent šiose išorinėse sistemose tyrėjai aptinka vis didesnę dalį saugumo spragų. Pasekmės gali paliesti tiek automobilio funkcijas, tiek savininko privatumą.

Automobilio programėlėje patogu patikrinti baterijos likutį, įjungti salono šildymą ar pasižiūrėti, kur pastatyta transporto priemonė. Vairuotojui tai atrodo kaip kelios kasdienės funkcijos telefono ekrane, tačiau už jų veikia duomenis perduodančios ir saugančios sistemos. Geteborgo universiteto ir Chalmerso technologijos universiteto mokslininkų tyrimas atkreipia dėmesį į tai, kad automobilio kibernetinį saugumą reikia vertinti kartu su visa šia infrastruktūra.

Tyrėjai išnagrinėjo 413 spragų: ką iš tikrųjų rodo šis skaičius?

Mokslininkai išanalizavo 413 pranešimų apie automobilių programinės įrangos pažeidžiamumus, užregistruotus nuo 2022 m. pradžios iki 2024 m. rugsėjo. Rezultatus jie palygino su ankstesnį dešimtmetį apėmusiu tyrimu ir nustatė ryškų pokytį: su išorinėmis programėlėmis, svetainėmis ir debesijos paslaugomis susijusių spragų dalis beveik patrigubėjo. Tai rodo, kad dėmesio reikia ne tik automobilyje sumontuotiems kompiuteriams, bet ir paslaugoms, su kuriomis jie palaiko ryšį.

Šie 413 pranešimų nėra 413 sėkmingų įsilaužimų. Pažeidžiamumas reiškia nustatytą silpną vietą, kuria tam tikromis sąlygomis būtų galima pasinaudoti. Ji gali būti aptikta saugumo specialistų ir pašalinta dar prieš nusikaltėliams ją išnaudojant. Taip pat negalima teigti, kad automobilių užpuolimų skaičius patrigubėjo: tyrėjai lygino skirtingoms sistemoms tenkančią registruotų spragų dalį. Šis skirtumas svarbus vertinant, kokią grėsmę rezultatai iš tikrųjų atskleidžia.

Tyrimas apima platesnę sritį nei vien elektromobiliai. Prie išorinių paslaugų jungiami įvairūs šiuolaikiniai automobiliai, todėl vien variklio tipas nepasako, kiek saugi jų skaitmeninė aplinka. Reikšmės turi naudojamos funkcijos, programinė įranga ir jos priežiūra. Darbo autoriai taip pat atkreipia dėmesį į programinės įrangos tiekimo grandinę: automobilio saugumui gali būti svarbūs skirtingų tiekėjų komponentai ir bendros bibliotekos, naudojamos kuriant sistemas.

Bevielė įranga automobiliuose

Kelionių istorija gali atskleisti daugiau, nei vairuotojas tikisi

Kasdieniai automobilio duomenys gali atrodyti nereikšmingi, kol nepradedami vertinti kartu. Viena sustojimo vieta pasako nedaug, tačiau pasikartojantys įrašai leidžia pastebėti įpročius. Kur automobilis stovi naktimis? Į kurią vietą atvyksta kiekvieną darbo dieną? Kada ilgesniam laikui išvažiuoja iš namų? Kelionių duomenys gali atskleisti žmogaus gyvenamąją vietą, darbovietę ir kasdienę rutiną, net jeigu pats vairuotojas šios informacijos niekur viešai neskelbia.

Tokios rizikos mastą parodė 2024 m. gruodį paviešintas „Volkswagen“ grupės duomenų nutekėjimas. Internete nepakankamai apsaugoti buvo maždaug 800 tūkst. „Volkswagen“, „Audi“, SEAT ir „Škoda“ elektromobilių judėjimo duomenys bei su savininkais susijusi kontaktinė informacija. „Chaos Computer Club“ tyrėjai pristatė, kokias išvadas apie žmonių ir organizacijų veiklą galima padaryti iš automobilių buvimo vietos įrašų. Šis atvejis aiškiai parodė, kad transporto priemonės duomenys gali būti jautrūs ir už jos salono ribų.

Spraga buvo susijusi su išorine duomenų saugojimo infrastruktūra. Ji buvo pašalinta, o tuo metu nebuvo žinoma apie nusikalstamą duomenų panaudojimą. Tai nebuvo visų šių automobilių valdymo perėmimas, tačiau privatumo problema dėl to netapo menkesnė. Vairuotojui nereikia patirti techninio automobilio gedimo, kad nukentėtų jo duomenų saugumas: transporto priemonė gali veikti įprastai, nors informacija apie jos keliones būtų prieinama pašaliniams.

Lietuvos vairuotojams ši tema aktuali naudojantis tomis pačiomis tarptautinėmis automobilių programėlėmis ir gamintojų paslaugomis. Tai savaime nereiškia, kad konkretus Lietuvoje eksploatuojamas automobilis buvo paveiktas minėto incidento. Tačiau verta suprasti, jog telefono ekrane matoma automobilio vieta ar kelionės informacija gali būti gaunama iš nuotolinių sistemų. Jų apsauga yra svarbi visos paslaugos dalis.

Atnaujinimai svarbūs, tačiau didžiausia atsakomybė tenka gamintojams

Pavojai paties automobilio viduje taip pat neišnyko. Multimedijos sistema, kuria naudojamasi muzikai, navigacijai ar interneto paslaugoms, turi būti tinkamai atskirta nuo už automobilio judėjimą atsakingos elektronikos. Dar 2015 m. saugumo tyrėjai, bandydami „Jeep Cherokee“, pademonstravo, kad per pažeidžiamą multimedijos sistemą tam tikromis sąlygomis galima pasiekti ir automobilio valdymo funkcijas. Naujajame darbe aprašomos spragos rodo, kad multimedijos bei telematikos saugumas tebėra aktualus. Vis dėlto atskiros sistemos sutrikdymas savaime dar neįrodo galimybės perimti vairo ar stabdžių kontrolę.

Todėl mokslininkai ragina gamintojus griežtai atskirti automobilio valdymo, pramogų ir kitas prie tinklo prijungtas sistemas. Vairuotojas negali pats patikrinti, kaip suprojektuotas gamintojo serveris ar automobilio elektronikos tarpusavio ryšiai. Ši atsakomybė tenka sistemas kuriantiems ir prižiūrintiems specialistams. Savininko pasirinktas slaptažodis nepataisys gamintojo infrastruktūros spragos, todėl naudotojų atsargumas turi papildyti tinkamą sistemų apsaugą.

Pats savininkas gali pradėti nuo dviejų veiksmų: neatidėlioti gamintojo siūlomų saugumo atnaujinimų ir automobilio paskyrai naudoti stiprų, kitur nenaudojamą slaptažodį. Atnaujinimo pranešimo nereikėtų automatiškai vertinti tik kaip pasiūlymo pakeisti ekrano išvaizdą ar pridėti naują funkciją. Tyrėjai programinės įrangos priežiūrą išskiria kaip vieną iš būdų apsunkinti galimybę pasinaudoti žinomomis silpnomis vietomis.

Dar viena jų rekomendacija susijusi su automobiliuose atsirandančiais dirbtinio intelekto asistentais. Prašydami suplanuoti ilgą kelionę, galime pateikti išvykimo laiką, kelionės tikslą ir kitus asmeninius planus. Verta įvertinti, kokios informacijos asistentui iš tiesų reikia užduočiai atlikti. Jos apsauga priklauso nuo paslaugos veikimo, gamintojo suteiktos prieigos ir to, kaip duomenys tvarkomi už automobilio ribų.