Η αδυναμία του infotainment μπορεί να απειλήσει τα φρένα του αυτοκινήτου

Μπορεί το σύστημα ψυχαγωγίας ενός αυτοκινήτου να ανοίξει δρόμο για τα φρένα του; Ερευνητές στο Πανεπιστήμιο του Γκέτεμποργκ και στο Τεχνολογικό Πανεπιστήμιο Chalmers στη Σουηδία εξετάζουν ακριβώς αυτό το ερώτημα, σε μελέτη που δημοσιεύτηκε στο Software Quality Journal.

Το 2015, ερευνητές ασφάλειας είχαν δείξει ότι κάτι τέτοιο ήταν δυνατό σε ένα Jeep Cherokee. Είχαν αποκτήσει απομακρυσμένη πρόσβαση στο infotainment system του οχήματος, το οποίο χειρίζεται τις λειτουργίες ψυχαγωγίας, και παρενέβησαν σε λειτουργίες οδήγησης.

Στη συνέχεια, η Fiat Chrysler ανακοίνωσε ανάκληση περίπου 1,4 εκατ. οχημάτων στις ΗΠΑ, προκειμένου να εγκαταστήσει ενημέρωση λογισμικού που διόρθωνε το πρόβλημα.

Εκείνη η επίθεση στόχευε ένα σύστημα ενσωματωμένο στο ίδιο το αυτοκίνητο. Η νέα μελέτη εξετάζει ένα ευρύτερο δίκτυο, που περιλαμβάνει τις εφαρμογές και τις online υπηρεσίες που συνδέονται με τα οχήματα.

Οι ερευνητές ανέλυσαν 413 ευπάθειες λογισμικού αυτοκινήτων που είχαν αναφερθεί προηγουμένως. Οι εξωτερικές εφαρμογές αντιστοιχούσαν στο μεγαλύτερο ποσοστό, με 36,2%.

Η μελέτη κατέγραψε επίσης μετατόπιση προς λογισμικό που συνδέεται εξωτερικά, σε σύγκριση με παλαιότερη έρευνα.

«Το εντυπωσιακό είναι ότι τεχνολογίες που χρησιμοποιούνται ευρέως στις καθημερινές online υπηρεσίες αποτελούν πλέον μέρος του τοπίου ασφάλειας των αυτοκινήτων», δήλωσε στη ScienceAlert η ερευνήτρια μηχανικής λογισμικού Σριζίτα Μπασού, η οποία εργάζεται και στα δύο ιδρύματα.

Σε αυτό το ευρύτερο δίκτυο περιλαμβάνονται εφαρμογές για κινητά και web, καθώς και υπηρεσίες cloud που αποθηκεύουν ή επεξεργάζονται δεδομένα σε απομακρυσμένους υπολογιστές.

Οι εφαρμογές και οι υπηρεσίες cloud που συνδέονται με ένα αυτοκίνητο μπορούν να αποθηκεύουν δεδομένα για το πού κινείται και πώς χρησιμοποιείται, αλλά και, σε ορισμένες περιπτώσεις, δεδομένα για τον ιδιοκτήτη του, εξήγησε η Μπασού. Η ανεπαρκής ασφάλεια θα μπορούσε να επιτρέψει σε τρίτους να έχουν πρόσβαση σε αυτά τα δεδομένα.

Οι συνέπειες εξαρτώνται και από τις συνδέσεις μέσα στο ίδιο το όχημα. Η Μπασού σημείωσε ότι τα συστήματα ψυχαγωγίας και τηλεματικής, δηλαδή το λογισμικό που καταγράφει και μεταδίδει δεδομένα για τη λειτουργία του αυτοκινήτου, μπορούν να ανταλλάσσουν δεδομένα με άλλα εξαρτήματα του οχήματος.

«Αν εκμεταλλευτεί κανείς μια ευπάθεια και τα όρια ασφαλείας ανάμεσα σε αυτά τα συστήματα και τις κρίσιμες για την ασφάλεια λειτουργίες δεν είναι επαρκή, ένας επιτιθέμενος μπορεί ενδεχομένως να προχωρήσει πέρα από το αρχικό στοιχείο», προειδοποίησε.

Για να εντοπίσουν πού συγκεντρώνονται οι αδυναμίες, οι ερευνητές συνέλεξαν καταγραφές σχετικές με τα αυτοκίνητα από τον Ιανουάριο του 2022 έως τον Σεπτέμβριο του 2024 από την αμερικανική National Vulnerability Database, διασταυρώνοντας πρόσθετες πηγές ασφάλειας.

Οι αδυναμίες κατηγοριοποιήθηκαν με βάση το λογισμικό που επηρεάζεται, τη σοβαρότητα και το στάδιο στο οποίο προέκυψαν κατά την ανάπτυξη.

Σύγκριναν επίσης τα ευρήματά τους με έρευνα που κάλυπτε την περίοδο 2010–2019. Όταν εφάρμοσαν και στα νεότερα δεδομένα τη μεθοδολογία της παλαιότερης μελέτης, προέκυψε ξανά αυξημένο ποσοστό που αφορά εξωτερικό λογισμικό.

Η ομάδα εξέτασε και έναν δεύτερο δρόμο από τον οποίο μπορούν να περάσουν αδυναμίες στο λογισμικό αυτοκινήτων: τα έτοιμα δομικά στοιχεία κώδικα, γνωστά ως βιβλιοθήκες. Οι προγραμματιστές τα χρησιμοποιούν για να εκτελούν λειτουργίες χωρίς να γράφουν κάθε τμήμα από την αρχή.

Με πέντε εργαλεία σάρωσης, οι ερευνητές εξέτασαν 20 ανοιχτού κώδικα έργα που χρησιμοποιούνται στο λογισμικό αυτοκινήτων ή στην ανάπτυξή του. Αυτή η ξεχωριστή ανάλυση εντόπισε 827 ευάλωτες βιβλιοθήκες.

Η εργασία κατέγραψε επίσης βιβλιοθήκες που μοιράζονται μεταξύ διαφορετικών έργων. Μια αδυναμία σε ένα ευρέως χρησιμοποιούμενο στοιχείο θα μπορούσε, έτσι, να επηρεάσει πολλά συστήματα.

Η Μπασού πρότεινε οι κατασκευαστές να γνωρίζουν ποια στοιχεία περιλαμβάνονται στο λογισμικό τους, να σαρώνουν τακτικά βιβλιοθήκες που προέρχονται από άλλους προγραμματιστές, να παρακολουθούν νέες ευπάθειες και να έχουν σχέδιο για την εφαρμογή διορθώσεων.

Η ανάλυση έδειξε ότι η μεγαλύτερη ομάδα ευπαθειών συνδέεται με το στάδιο κατά το οποίο γράφεται ο κώδικας. Η αμέσως επόμενη μεγαλύτερη ομάδα συνδέεται με τον σχεδιασμό.

«Η ασφάλεια πρέπει να ενσωματώνεται από την αρχή και να δοκιμάζεται σε όλη τη διάρκεια ζωής του οχήματος», είπε η Μπασού.

Στις συστάσεις της περιλαμβάνεται ο διαχωρισμός των συστημάτων οδήγησης από τα συστήματα ψυχαγωγίας και τα εξωτερικά συνδεδεμένα στοιχεία, ώστε μια παραβίαση σε ένα από αυτά να μην οδηγεί αυτόματα στις λειτουργίες οδήγησης.

Η Μπασού υπογράμμισε ότι τα ευρήματα δεν σημαίνουν πως κάθε καταγεγραμμένη αδυναμία μπορεί να αξιοποιηθεί εξ αποστάσεως ή να δώσει πρόσβαση στους χειρισμούς οδήγησης. Η έρευνα επίσης δεν μπορεί να προσδιορίσει τι ποσοστό αυτοκινήτων θα μπορούσε να παραβιαστεί.

Μόνο 17 ευπάθειες σχετικές με τα αυτοκίνητα από την εξεταζόμενη περίοδο εμφανίστηκαν στον κατάλογο της αμερικανικής υπηρεσίας κυβερνοασφάλειας για αδυναμίες που είναι γνωστό ότι έχουν αξιοποιηθεί, ενώ οι περισσότερες από το σύνολο των δεδομένων δεν εμφανίστηκαν στις πηγές αξιοποίησης που έλεγξε η ομάδα.

Η μελέτη επισημαίνει επίσης ότι τα 20 έργα που σαρώθηκαν μπορεί να μην αντιπροσωπεύουν ολόκληρο τον κλάδο.

Για τους ιδιοκτήτες, η Μπασού συνέστησε να διατηρούν το λογισμικό ενημερωμένο, να επιλέγουν ισχυρούς κωδικούς που χρησιμοποιούνται μόνο για λογαριασμούς συνδεδεμένου αυτοκινήτου, να προστατεύουν τις συνδεδεμένες εφαρμογές του τηλεφώνου και να ελέγχουν ποιες υπηρεσίες έχουν άδεια πρόσβασης στην τοποθεσία και στα προσωπικά τους δεδομένα.

«Ωστόσο, η κύρια ευθύνη για την πρόληψη και τον περιορισμό των ευπαθειών λογισμικού ανήκει στους κατασκευαστές και τους προμηθευτές τους», πρόσθεσε η Μπασού.

Πηγή: sciencealert.com.