Avtomobillərdə kiberhücum riski: Təhlükə gözlənilməz sistemlərdən qaynaqlana bilər
Avtomobilin əyləncə sistemi əyləc sisteminə müdaxilə üçün yol aça bilərmi? Təhlükəsizlik tədqiqatçıları 2015-ci ildə Jeep Cherokee markalı avtomobildə bunun mümkünlüyünü nümayiş etdiriblər. Tədqiqatçılar avtomobildəki əyləncə sistemini idarə edən multimedia-informasiya sisteminə uzaqdan daxil olaraq sürüş funksiyalarına müdaxilə ediblər.
AFN.az xəbər verir ki, Fiat Chrysler daha sonra qüsuru aradan qaldıran proqram yeniləməsini quraşdırmaq üçün ABŞ üzrə təxminən 1,4 milyon avtomobili əhatə edən geri çağırma elan edib.
Bu hücum avtomobilin daxilində yerləşən sistemi hədəfə alırdı. Yeni araşdırma isə avtomobillərə qoşulan tətbiqlər və onlayn xidmətlər də daxil olmaqla daha geniş şəbəkəni nəzərdən keçirir.
İsveçdəki Göteborq Universiteti və Çalmers Texnologiya Universitetinin tədqiqatçıları əvvəllər qeydə alınmış avtomobil proqram təminatına aid 413 təhlükəsizlik boşluğunu təhlil ediblər. Xarici tətbiqlər 36,2 faizlə ən böyük paya sahib olub.
Software Quality Journal jurnalında dərc olunan araşdırmada əvvəlki tədqiqatlarla müqayisədə xaricdən qoşulan proqram təminatına doğru dəyişiklik də müəyyən edilib.
Hər iki universitetdə çalışan proqram mühəndisliyi üzrə tədqiqatçı Sricita Basu bildirib ki, diqqətçəkən məqam adi onlayn xidmətlərdə geniş istifadə olunan texnologiyaların artıq avtomobil təhlükəsizliyi mənzərəsinin bir hissəsinə çevrilməsidir.
Daha geniş şəbəkəyə uzaq kompüterlərdə məlumatları saxlayan və ya emal edən mobil və veb tətbiqlər, eləcə də bulud xidmətləri daxildir.
Basu avtomobilə qoşulan tətbiqlərin və bulud xidmətlərinin nəqliyyat vasitəsinin haraya getdiyi, necə istifadə olunduğu və bəzən də sahibinə dair məlumatları saxlaya bildiyini açıqlayıb. Zəif təhlükəsizlik kənar şəxslərin bu məlumatlara çıxış əldə etməsinə imkan yarada bilər.
Nəticələr avtomobilin daxilindəki bağlantılardan da asılı ola bilər. Basu əyləncə və telematika sistemlərinin avtomobilin necə işlədiyinə dair məlumatları qeydə alan və ötürən proqram təminatının digər nəqliyyat vasitəsi komponentləri ilə məlumat mübadiləsi apara bildiyini qeyd edib.
Basu təhlükəsizlik boşluğundan istifadə edilməsi və bu sistemlərlə təhlükəsizlik baxımından kritik funksiyalar arasındakı qoruyucu sərhədlərin yetərli olmaması halında hücumçunun potensial olaraq ilkin komponentdən kənara çıxa biləcəyi barədə xəbərdarlıq edib.
Tədqiqatçılar zəifliklərin daha çox hansı sahələrdə cəmləşdiyini öyrənmək üçün 2022-ci ilin yanvarından 2024-cü ilin sentyabrınadək olan dövrü əhatə edən avtomobil sənayesi ilə bağlı qeydləri ABŞ-ın Milli Zəifliklər Bazasında toplayıb və əlavə təhlükəsizlik mənbələri ilə tutuşdurublar.
Qüsurlar təsirə məruz qalan proqram təminatına, ciddilik dərəcəsinə və proqram təminatının hazırlanması prosesinin hansı mərhələsində meydana çıxmasına görə kateqoriyalara ayrılıb. Nəticələr 2010-2019-cu illəri əhatə edən araşdırmalarla müqayisə edilib. Əvvəlki tədqiqatın metodunun daha yeni qeydlərə tətbiqi xarici proqram təminatı ilə bağlı boşluqların payının da artdığını göstərib.
Komanda qüsurların avtomobil proqram təminatına kitabxana adlanan hazır kod komponentləri vasitəsilə daxil ola biləcəyi başqa bir yolu da araşdırıb. Bildirilib ki, proqram tərtibatçıları hər bir funksiyanı özləri yazmadan müxtəlif tapşırıqları yerinə yetirmək üçün bu komponentlərdən istifadə edirlər.
Tədqiqatçılar beş skan alətindən istifadə edərək avtomobil proqram təminatında və ya onun hazırlanmasında istifadə olunan 20 açıq mənbəli layihəni araşdırıblar. Bu ayrıca araşdırma zamanı 827 zəif kitabxana müəyyən edilib.
Məqalədə layihələr arasında ortaq istifadə olunan kitabxanalar da müəyyən edilib. Buna görə geniş yayılmış komponentdəki zəiflik birdən çox sistemə təsir göstərə bilər.
Basu istehsalçıların proqram təminatına hansı komponentlərin daxil olduğunu bilməli, digər tərtibatçılardan əldə edilən kitabxanaları müntəzəm yoxlamalı, yeni bildirilən qüsurları izləməli və onları aradan qaldırmaq üçün plana malik olmalı olduqlarını bildirib.
Təhlil ən böyük təhlükəsizlik boşluğu qrupunun kodun yazılması mərhələsi ilə əlaqəli olduğunu müəyyən edib. Növbəti ən böyük qrupun isə dizaynla bağlı olduğu məlum olub.
Təhlükəsizliyin ilkin mərhələdən etibarən təmin edilməli və avtomobilin bütün istismar müddəti ərzində sınaqdan keçirilməli olduğunu bildirən Basunun təklifləri arasında sürüş sistemlərinin əyləncə və xaricdən qoşulan komponentlərdən ayrılması da yer alır. Beləliklə, bu sistemlərdən birində baş verən pozuntu avtomatik olaraq sürüş funksiyalarına təsir göstərməyəcək.
Basu əldə olunan nəticələrin qeydə alınmış hər bir qüsurun uzaqdan istismar edilə biləcəyi və ya sürüş idarəetmə sistemlərinə çıxış təmin etdiyi mənasına gəlmədiyini vurğulayıb. Araşdırmanın avtomobillərin nə qədərinin hücuma məruz qala biləcəyini də müəyyən edə bilmədiyi qeyd olunub.
Araşdırma dövründə avtomobil sənayesi ilə bağlı cəmi 17 təhlükəsizlik boşluğu ABŞ-ın kibertəhlükəsizlik agentliyinin istismar edildiyi məlum olan qüsurlar kataloqunda yer alıb. Məlumat bazasındakı boşluqların əksəriyyəti isə komandanın yoxladığı istismar mənbələrində görünməyib. Məqalədə həmçinin skan edilmiş 20 layihənin bütün sənayeni təmsil etməyə biləcəyi bildirilib.
Basu avtomobil sahiblərinə proqram təminatını yeniləməyi, yalnız qoşulmuş avtomobil hesablarında istifadə olunan güclü şifrələr seçməyi, əlaqəli telefon tətbiqlərinin təhlükəsizliyini təmin etməyi, eləcə də hansı xidmətlərin məkan məlumatlarına və şəxsi detallara çıxış icazəsi olduğunu yoxlamağı tövsiyə edib. Bununla belə, Basu proqram təminatındakı təhlükəsizlik boşluqlarının qarşısının alınması və nəzarətdə saxlanılması ilə bağlı əsas məsuliyyətin istehsalçıların və onların təchizatçılarının üzərinə düşdüyünü vurğulayıb.
