Najveći rizik za sigurnost modernih automobila možda ne predstavljaju samo njihovi ugrađeni elektronički sustavi, nego i aplikacije za pametne telefone te internetski servisi povezani s vozilima. Novo istraživanje švedskih znanstvenika otkrilo je stotine sigurnosnih ranjivosti, a najveći dio njih povezan je upravo s vanjskim softverom.

Istraživači sa Sveučilišta u Göteborgu i Tehnološkog sveučilišta Chalmers analizirali su 413 ranije prijavljenih sigurnosnih ranjivosti automobilskog softvera. Pokazalo se da je najveća pojedinačna skupina problema, njih 36,2 posto, povezana s vanjskim aplikacijama.

Slijede ranjivosti povezane s čipovima i ugrađenim softverom, koje čine 23,5 posto analiziranih slučajeva, dok se 14,8 posto odnosi na telematske sustave, odnosno tehnologiju koja prikuplja i prenosi podatke o radu automobila.

Istraživanje, objavljeno u znanstvenom časopisu Software Quality Journal, upućuje na promjenu u sigurnosnim rizicima automobilske industrije. Dok su se ranija istraživanja uglavnom bavila softverom ugrađenim u sama vozila, sve veći problem predstavljaju vanjski sustavi s kojima automobili komuniciraju.

Put do automobila može voditi preko mobitela

Moderni automobili sve su više povezani s aplikacijama za pametne telefone, internetskim servisima i računalnim sustavima u oblaku. Takve usluge omogućuju različite funkcije, ali istodobno otvaraju dodatne mogućnosti za potencijalne kibernetičke napade.

Povezane aplikacije i internetski servisi mogu pohranjivati podatke o tome kamo se automobil kreće i kako se koristi, a ponekad i osobne podatke njegova vlasnika. Ako takvi sustavi nisu dovoljno zaštićeni, neovlaštene osobe mogle bi doći do tih informacija.

Međutim, problem ne mora ostati ograničen samo na krađu podataka. Povezanost različitih automobilskih sustava potencijalno može omogućiti da napad na jedan dio softvera ugrozi i druge funkcije vozila.

Srijita Basu, istraživačica softverskog inženjerstva koja radi na Sveučilištu u Göteborgu i Tehnološkom sveučilištu Chalmers, upozorava da se tehnologije koje se svakodnevno koriste u običnim internetskim servisima danas nalaze i unutar sigurnosnog sustava automobilske industrije.

Kako objašnjava, multimedijski i telematski sustavi mogu razmjenjivati podatke s drugim komponentama vozila. Ako postoje sigurnosni propusti, a zaštitne granice između tih sustava i funkcija važnih za sigurnost vožnje nisu dovoljno čvrste, napadač bi potencijalno mogao doći i do drugih dijelova sustava.

Otkrili i 827 ranjivih softverskih biblioteka

Znanstvenici su analizirali sigurnosne podatke iz američke Nacionalne baze ranjivosti (National Vulnerability Database), koji obuhvaćaju razdoblje od siječnja 2022. do rujna 2024. godine. Rezultate su usporedili s ranijim istraživanjem koje je obuhvaćalo razdoblje od 2010. do 2019. godine.

Dodatno su istražili i sigurnosne probleme koji mogu nastati korištenjem gotovih softverskih komponenti, poznatih kao biblioteke. Riječ je o dijelovima koda koje programeri preuzimaju kako ne bi morali samostalno razvijati svaku pojedinu funkciju.

Analizirajući 20 projekata otvorenog koda koji se koriste u automobilskom softveru ili njegovu razvoju, primjenom pet različitih alata za skeniranje pronašli su čak 827 ranjivih biblioteka.

Poseban problem predstavljaju biblioteke koje se koriste u više različitih projekata. Sigurnosni propust u jednoj takvoj komponenti mogao bi istodobno utjecati na veći broj sustava.

Basu zato preporučuje proizvođačima da vode preciznu evidenciju svih softverskih komponenti koje ugrađuju u svoje proizvode, redovito provjeravaju preuzete biblioteke, prate nove sigurnosne propuste i imaju pripremljen plan za njihovo otklanjanje.

Hakiranje automobila nije samo teorijska mogućnost

Da sigurnosni propusti u povezanim automobilskim sustavima nisu samo teorijski problem, pokazao je slučaj iz 2015. godine. Tada su istraživači kibernetičke sigurnosti demonstrirali kako je moguće udaljenim pristupom multimedijskom sustavu automobila Jeep Cherokee utjecati i na funkcije važne za vožnju.

Nakon tog otkrića proizvođač Fiat Chrysler najavio je opoziv približno 1,4 milijuna vozila na američkom tržištu kako bi se sigurnosni problem uklonio ažuriranjem softvera.

Ipak, autori novog istraživanja naglašavaju da njihove rezultate ne treba tumačiti kao dokaz da je svaki automobil moguće hakirati na daljinu ili da svaki otkriveni propust omogućuje pristup upravljačkim funkcijama vozila.

Od ukupno analiziranih ranjivosti, samo njih 17 pojavilo se u katalogu američke agencije za kibernetičku sigurnost koji obuhvaća poznate sigurnosne propuste za koje postoje dokazi da su iskorišteni u napadima. Većina ostalih nije pronađena u izvorima koje je istraživački tim provjeravao.

Za vlasnike automobila istraživačica preporučuje redovito ažuriranje softvera, korištenje snažnih i jedinstvenih lozinki za račune povezane s automobilom te odgovarajuću zaštitu aplikacija na pametnim telefonima. Također savjetuje provjeru toga koje povezane usluge imaju dopuštenje za pristup lokaciji i osobnim podacima.

Ipak, glavna odgovornost za sprečavanje i ograničavanje posljedica softverskih ranjivosti, zaključuje Basu, ostaje na proizvođačima automobila i njihovim dobavljačima.