Автомобилите малко по малко преминаха от чиста механика към все по-усъвършенствани и с по-голям процент електроника, участваща в работата им, не само в интериора или информационно-развлекателната система, но и за управление на някои функции на двигателя, за наблюдение на параметри със сензори , а също и за прилагане на всички ADAS повиквания и най-новите ADS. Ето защо, хакване на автомобили става все по-важен.
Новите свързани и автономни автомобили са уязвими на определени атаки, поради тази причина може да бъде интересно да се знае за хакване на автомобили и извършване на одити на сигурността на превозни средства. откриване и отстраняване на пробиви в сигурността които могат да бъдат използвани от киберпрестъпници.
Какво е хакване на автомобили?
El хакване на автомобили е клон на киберсигурността, който се фокусира върху използването на уязвимости в електронните системи на превозните средства. Тъй като автомобилите стават по-свързани и автономни, те също стават по-уязвими към този тип атаки, тъй като те са основно компютърни системи на колела...
Нападателите имат достъп до системите на автомобила чрез различни методи, включително:
- Безжични мрежи- Използване на уязвимостите в Wi-Fi, Bluetooth или мобилните мрежи на превозното средство за получаване на отдалечен достъп до информационно-развлекателната система и други свързани подсистеми.
- Диагностични портове- Чрез физически достъп до OBD-II диагностичния порт за манипулиране на системите на автомобила.
- Автобуси: както в случая с CAN, стандарт в автомобилите, който може да бъде уязвим и който свързва различните ECU на автомобила.
- Софтуерни уязвимости: Използване на грешки или уязвимости в софтуера на автомобила, включително операционната система, приложенията и комуникационните протоколи.
- други: Възможно е също така да има слабости в RF-базираните системи за заключване на превозни средства, чрез които вратите могат да бъдат отворени за кражба и дори автомобилът да стартира.
Лос цели на атаки хакването на автомобили е разнообразно и може да включва от кражба на самите автомобили чрез отключване и стартиране, до шпиониране на пътниците в тях (лични данни, маршрути, текущо местоположение...) и дори саботаж чрез манипулиране на системите за задвижване на превозните средства или системите ADAS, което може да доведе до фатален инцидент.
За да получите това, атакуващи техники използвани от киберпрестъпниците, и същите, използвани от етичните хакери, за да локализират и да се опитат да подсилят системата, са от обратното инженерство на софтуерни или хардуерни елементи на модел превозно средство, идентичен на този, който те искат да атакуват, за да открият уязвимости и да ги използват. , до атаки с груба сила за получаване на достъп до услуги с парола, обратно инженерство, надушване на трафик в комуникациите, чрез инжектиране на зловреден код в системи на превозни средства, до други като релейни атаки, които прихващат и препредават сигнали безжично, за да отворят или стартират превозно средство, размиване и др. В случай на автономни автомобили, проблемът може да бъде още по-лош, тъй като уязвимостта в системата за задвижване може да даде възможност на нападателя да промени маршрута на дестинацията, да премести колата дистанционно и дори да причини инцидент.
Освен това те стават все по-важни смекчаващи техники, от прилагане на криптиране на CAN шината, до укрепване на системите за удостоверяване, чрез други техники като наблюдение на мрежи и нарушители, прилагане на мерки за мрежова защитна стена и софтуер за защита от злонамерен софтуер или дори базирани на AI системи за откриване на модели на атаки и прогнозиране на заплахи.
Примери за реални атаки
Лос реални атаки срещу превозни средства Те ни предлагат ценен урок за съществуващите уязвимости и използваните техники, както и ни предупреждават за възможни проблеми в бъдеще. Някои от най-известните случаи включват:
- Хак на Jeep Cherokee: През 2015 г. изследователи по сигурността демонстрираха как могат да управляват дистанционно Jeep Cherokee чрез неговата информационно-развлекателна система, като поемат контрола върху спирачките, кормилното управление и двигателя. Този случай подчерта уязвимостта на свързаните с интернет системи в превозните средства.
- Тесла Хак: Въпреки че Tesla е въвела силни мерки за сигурност, има докладвани случаи на хакери, които са успели да отключат превозни средства и да получат достъп до техните системи. Това подчертава колко е важно системите за сигурност да се поддържат актуални и да се следят за нови уязвимости.
- други: Има новини и за атаки срещу други известни модели и марки като BMW, Mercedes-Benz и Audi, които също са били обект на релейни атаки, кражба на информация и др.
И ако броим възможните задни врати които някои производители биха могли да внедрят в своите устройства, тогава нещата стават още по-мътни...
Правни аспекти
Нарастващата загриженост за сигурността на свързаните превозни средства доведе до прилагането на нови разпоредби и стандарти:
- UNECE R155- Регламент на ООН, установяващ изисквания за киберсигурност за свързани превозни средства.
- ISO/SAE 21434: е международен стандарт, който определя процес на управление на киберсигурността за жизнения цикъл на разработката на автомобила.
Това обаче не е единственият правен аспект, който предизвиква загриженост за бъдещето, тъй като има предизвикателства, които тепърва предстои да бъдат разрешени с напредването на технологиите. И е необходимо, както те преминават тестове за безопасност като Euro NCAP, така и да има тестване на киберсигурността преди даден модел да бъде пуснат в продажба.
Възможността автономно превозно средство да бъде хакнато и да причини инцидент с фатални последици представлява изключително сложен сценарий от правна гледна точка. Това е неизследван терен, който оспорва съществуващите правни рамки, предназначени най-вече за произшествия, причинени от човека. Тоест има закони, които да обвиняват хората в престъпления като убийство, непредумишлено убийство, атаки срещу общественото здраве и т.н. Но какво се случва в тези случаи? кой е отговорен? Производителят на превозното средство ли е, ако се установи, че е знаел за уязвимостта на сигурността и не я е поправил? Могат ли регулаторните органи, които не са създали адекватни правила за безопасност, също да бъдат съдени? Ами ако отговорният кибератака не може да бъде идентифициран?
Потенциал за опасност от CAN шина
El CAN шината е проектирана за комуникация между автомобилни компоненти, като дава приоритет на скоростта и надеждността пред безопасността. Това означава, че му липсват надеждни механизми за удостоверяване, криптиране или контрол на достъпа. От друга страна, голямо разнообразие от компоненти на превозното средство са свързани, което означава, че нападател, който компрометира едно ECU (електронен контролен блок), може да получи достъп до цялата система. И към това трябва да добавим и липсата на ограда или сегментиране между системите, които тази шина свързва, което позволява разпространението на атаката.
Ако нападател иска да се възползва от CAN шината, той може да инжектира фалшиви съобщения, за да манипулира функциите на автомобила, от управлението на двигателя до спирачните системи и т.н. Както може да се види на изображението, CAN шината свързва множество електронни подсистеми, свързани с двигателя, кормилното управление, спирачките, светлините, ADAS системите, въздушната възглавница и т.н., всички от които критични.
Инструменти за хакване на автомобили
И накрая, ако искате да започнете да проучвате хакването на автомобили и да го опитате сами, трябва да знаете, че има някои много интересни инструменти на пазара:
