Automobiliai pamažu iš grynos mechanikos tapo vis sudėtingesniais ir su didesniu elektronikos procentiniu jų veikimu ne tik salone ar informacijos ir pramogų sistemoje, bet ir kai kurių variklio funkcijų valdymui, parametrų stebėjimui jutikliais. , taip pat įdiegti visus ADAS skambučius ir naujausius ADS. Štai kodėl, automobilių įsilaužimas tampa vis svarbesnis.
Nauji prijungti ir autonominiai automobiliai yra pažeidžiami tam tikrų atakų, todėl gali būti įdomu žinoti apie įsilaužimą į automobilius ir atlikti transporto priemonių saugumo auditus. aptikti ir užtaisyti saugumo spragas kuriais galėtų pasinaudoti kibernetiniai nusikaltėliai.
Kas yra įsilaužimas į automobilį?
El automobilių įsilaužimas yra kibernetinio saugumo šaka, orientuota į transporto priemonių elektroninių sistemų pažeidžiamumo išnaudojimą. Kai automobiliai tampa vis labiau susieti ir autonomiški, jie taip pat tampa labiau pažeidžiami tokio tipo atakoms, nes iš esmės tai yra kompiuterinės sistemos ant ratų...
Užpuolikai gali pasiekti transporto priemonės sistemas per įvairius metodus, įskaitant:
- Belaidžiai tinklai- Transporto priemonės „Wi-Fi“, „Bluetooth“ ar mobiliojo ryšio tinklų pažeidžiamumų išnaudojimas, norint gauti nuotolinę prieigą prie informacijos ir pramogų sistemos ir kitų prijungtų posistemių.
- Diagnostikos prievadai- Fiziškai prisijungiant prie OBD-II diagnostikos prievado, kad būtų galima valdyti transporto priemonės sistemas.
- Autobusai: kaip ir CAN atveju, automobilių standartas, kuris gali būti pažeidžiamas ir jungiantis skirtingus transporto priemonės ECU.
- Programinės įrangos pažeidžiamumas: transporto priemonės programinės įrangos, įskaitant operacinę sistemą, programas ir ryšio protokolus, klaidų arba pažeidžiamumų išnaudojimas.
- kiti: Taip pat gali būti RF pagrįstų transporto priemonių užrakinimo sistemų trūkumų, dėl kurių durys gali būti atidarytos vagystės atveju ir netgi užvesta transporto priemonė.
Los atakų taikiniai Įsilaužimai į automobilius yra įvairūs ir gali apimti nuo pačių automobilių vagysčių atrakinant ir užvedant, iki keleivių šnipinėjimo (asmens duomenys, maršrutai, dabartinė vieta...) ir net sabotažo manipuliuojant transporto priemonių vairavimo sistemomis arba ADAS sistemomis, kuris gali sukelti mirtiną nelaimingą atsitikimą.
Norėdami tai gauti, puolimo technikos Kibernetiniai nusikaltėliai ir tie patys, kuriuos naudoja etiški įsilaužėliai, norėdami surasti ir bandyti sustiprinti sistemą, yra iš atvirkštinės inžinerijos transporto priemonės modelio programinės ar aparatinės įrangos elementų, identiškų tiems, kuriuos jie nori atakuoti, kad aptiktų pažeidžiamumus ir juos išnaudotų. , siekiant žiaurios jėgos atakų prieigai prie paslaugų su slaptažodžiu, atvirkštine inžinerija, ryšių srauto uostymu, kenkėjiško kodo įvedimu į transporto priemonių sistemas, kitiems, pvz., perdavimo atakoms, kurios perima ir persiunčia signalus belaidžiu ryšiu, kad atidarytų arba paleistų transporto priemonė, fuzzing ir kt. Autonominių automobilių atveju problema gali būti dar blogesnė, nes vairavimo sistemos pažeidžiamumas gali suteikti užpuolikui galimybę pakeisti paskirties maršrutą, perkelti automobilį nuotoliniu būdu ir net sukelti avariją.
Be to, jie tampa vis svarbesni švelninimo būdai, pradedant šifravimu CAN magistralėje ir baigiant autentifikavimo sistemų stiprinimu, naudojant kitus metodus, tokius kaip tinklų ir įsibrovėlių stebėjimas, tinklo ugniasienės priemonių ir kenkėjiškų programų apsaugos programinės įrangos įdiegimas ar net dirbtiniu intelektu pagrįstas sistemas, skirtas atakų modeliams aptikti ir grėsmėms numatyti.
Tikrų išpuolių pavyzdžiai
Los realių išpuolių prieš transporto priemones Jie mums suteikia vertingos pamokos apie esamus pažeidžiamumus ir naudojamus metodus, taip pat įspėja apie galimas problemas ateityje. Kai kurie iš labiausiai žinomų atvejų yra šie:
- Jeep Cherokee Hack: 2015 m. saugumo tyrinėtojai pademonstravo, kaip jie gali nuotoliniu būdu valdyti Jeep Cherokee per informacinę pramogų sistemą, perimdami stabdžių, vairo ir variklio valdymą. Šis atvejis išryškino prie interneto prijungtų sistemų transporto priemonėse pažeidžiamumą.
- Tesla Hack: Nors Tesla įdiegė griežtas saugumo priemones, buvo pranešta apie atvejus, kai įsilaužėliai sugebėjo atrakinti transporto priemones ir pasiekti jų sistemas. Tai pabrėžia, kad svarbu nuolat atnaujinti saugos sistemas ir ieškoti naujų pažeidžiamumų.
- kiti: Taip pat buvo naujienų apie kitų žinomų modelių ir markių, tokių kaip BMW, Mercedes-Benz ir Audi, atakas, kurios taip pat buvo perduotos atakų, informacijos vagysčių ir kt.
O jei skaičiuotume galimus galinės durys kai kurie gamintojai galėtų įdiegti savo padaliniuose, tada viskas tampa dar niūresnė...
Teisiniai aspektai
Didėjantis susirūpinimas prijungtų transporto priemonių saugumu paskatino įgyvendinti naujų taisyklių ir standartų:
- UNECE R155- Jungtinių Tautų reglamentas, nustatantis prijungtų transporto priemonių kibernetinio saugumo reikalavimus.
- ISO/SAE 21434: yra tarptautinis standartas, apibrėžiantis kibernetinio saugumo valdymo procesą transporto priemonės kūrimo gyvavimo ciklo metu.
Tačiau tai nėra vienintelis teisinis aspektas, keliantis susirūpinimą ateičiai, nes technologijų pažanga dar turi būti išspręsta. Taip pat būtina, kad jiems būtų atliekami saugos testai, tokie kaip Euro NCAP kibernetinio saugumo testavimas prieš pradedant parduoti modelį.
Galimybė, kad autonominė transporto priemonė gali būti įsilaužta ir sukelti mirtinų padarinių turinčią avariją, teisiniu požiūriu yra labai sudėtingas scenarijus. Tai neištirtas reljefas prieštarauja esamoms teisinėms bazėms, skirtos daugiausia žmonių sukeltoms avarijoms. Tai yra, yra įstatymai, kaltinantys žmones nusikaltimais žmogžudyste, žmogžudyste, kėsinimais į visuomenės sveikatą ir pan. Bet kas atsitinka tokiais atvejais? kas atsakingas? Ar tai transporto priemonės gamintojas, jei paaiškėja, kad jis žinojo apie saugos pažeidžiamumą ir jo nepašalino? Ar reguliavimo institucijos, kurios nenustatė tinkamų saugos taisyklių, taip pat galėtų būti paduotos į teismą? Ką daryti, jei negalima nustatyti atsakingo kibernetinio užpuoliko?
CAN autobuso pavojus
El CAN magistralė buvo skirta ryšiui tarp automobilių komponentų, pirmenybę teikiant greičiui ir patikimumui, o ne saugai. Tai reiškia, kad jai trūksta patikimų autentifikavimo, šifravimo ar prieigos kontrolės mechanizmų. Kita vertus, yra prijungta daugybė transporto priemonių komponentų, o tai reiškia, kad užpuolikas, pažeidžiantis vieną ECU (elektroninį valdymo bloką), gali gauti prieigą prie visos sistemos. Prie to taip pat turėtume pridėti tvoros ar segmentacijos tarp sistemų, kurias sujungia ši magistralė, trūkumą, o tai leidžia atakai plisti.
Jei užpuolikas nori pasinaudoti CAN magistrale, jis gali įvesti klaidingus pranešimus, kad galėtų manipuliuoti transporto priemonės funkcijomis – nuo variklio valdymo iki stabdžių sistemų ir kt. Kaip matyti paveikslėlyje, CAN magistralė jungia daugybę elektroninių posistemių, susijusių su varikliu, vairu, stabdžiais, žibintais, ADAS sistemomis, oro pagalve ir kt., kurios visos yra labai svarbios.
Įrankiai įsilaužimui į automobilį
Galiausiai, jei norite pradėti tyrinėti automobilių įsilaužimą ir patys tai išbandyti, turėtumėte žinoti, kad tokių yra keletas labai įdomių įrankių rinkoje:
