Учёные обнаружили сотни уязвимостей в современных автомобилях: под угрозой не только личные данные

Современный автомобиль можно атаковать не только через его собственные электронные системы, но и через приложения на смартфоне или подключённые интернет-сервисы. Причём при недостаточной защите последствия взлома теоретически могут выйти далеко за пределы утечки личных данных. К такому выводу пришли исследователи из двух шведских университетов, изучившие сотни уязвимостей автомобильного программного обеспечения.

Насколько серьёзной может быть подобная угроза, стало понятно ещё в 2015 году. Тогда специалисты по кибербезопасности продемонстрировали, как можно дистанционно проникнуть в мультимедийную систему Jeep Cherokee и через неё вмешаться в работу функций управления автомобилем. После этого компания Fiat Chrysler объявила об отзыве примерно 1,4 миллиона машин в США для установки обновления, устраняющего уязвимость.

Однако с тех пор автомобили стали ещё теснее связаны с цифровыми сервисами. Сегодня их программное обеспечение взаимодействует с мобильными приложениями, удалёнными серверами и другими внешними системами. Именно эти связи оказались в центре нового исследования.

Учёные из Гётеборгского университета и Технологического университета Чалмерса проанализировали 413 ранее зарегистрированных уязвимостей, связанных с автомобильным программным обеспечением. Данные охватывали период с января 2022 года по сентябрь 2024 года.

Выяснилось, что наибольшая доля проблем — 36,2% — приходилась на внешние приложения. Ещё 23,5% были связаны с микросхемами и встроенным программным обеспечением, а 14,8% — с телематическими системами, которые собирают и передают сведения о работе автомобиля.

Сравнение с исследованиями за 2010–2019 годы показало, что доля уязвимостей, связанных с внешним программным обеспечением, увеличилась. Другими словами, потенциальные точки проникновения злоумышленников всё чаще находятся за пределами самого автомобиля.

Опасность таких уязвимостей заключается не только в возможном доступе к управлению машиной. Подключённые приложения и облачные сервисы могут хранить сведения о маршрутах поездок, особенностях использования автомобиля и его владельце. При недостаточной защите эта информация способна оказаться в чужих руках.

Но существует и более серьёзный сценарий. Мультимедийные и телематические системы могут обмениваться информацией с другими электронными компонентами автомобиля. Если между ними и системами, отвечающими за безопасность движения, нет надёжного разграничения доступа, злоумышленник потенциально способен продвинуться от первоначально взломанного компонента к более важным функциям.

При этом исследователи подчёркивают, что далеко не каждая обнаруженная уязвимость позволяет дистанционно взломать автомобиль или вмешаться в его управление.

Отдельную проблему представляет использование готовых программных компонентов. Разработчики автомобилей не пишут весь код самостоятельно: многие функции реализуются с помощью так называемых библиотек — наборов готовых программных решений, которые можно использовать в разных проектах.

Исследователи проверили 20 проектов с открытым исходным кодом, связанных с автомобильным программным обеспечением или его разработкой. С помощью пяти инструментов проверки они выявили 827 библиотек с известными уязвимостями.

Некоторые библиотеки использовались сразу в нескольких проектах. Это означает, что ошибка в одном распространённом компоненте потенциально способна затронуть множество различных систем.

Анализ также показал, что наибольшее количество изученных уязвимостей было связано с этапом написания программного кода. Следующим по значимости источником проблем оказались ошибки проектирования.

По мнению авторов работы, производителям необходимо учитывать безопасность ещё на ранних стадиях разработки автомобилей, а не ограничиваться устранением проблем после их обнаружения. Особое внимание следует уделять разделению систем управления движением и компонентов, взаимодействующих с интернетом. В таком случае взлом мультимедийной системы не должен автоматически открывать доступ к критически важным функциям машины.

Впрочем, результаты исследования не означают, что современные автомобили массово подвергаются успешным атакам. Из всех уязвимостей, рассмотренных за исследуемый период, только 17 фигурировали в американском каталоге проблем безопасности, эксплуатация которых была подтверждена. Для большинства остальных исследователи не обнаружили свидетельств практического использования в проверенных источниках.

Кроме того, изученные проекты не обязательно отражают состояние всей автомобильной промышленности. Поэтому определить, какая доля реально эксплуатируемых машин подвержена взлому, на основании этих данных невозможно.

Владельцам автомобилей специалисты рекомендуют своевременно устанавливать обновления, использовать надёжные уникальные пароли для связанных с машиной учётных записей и следить за безопасностью мобильных приложений. Также стоит проверять, каким сервисам предоставлен доступ к местоположению и персональным данным.

Однако основная ответственность за защиту автомобилей, подчёркивают исследователи, лежит на производителях и поставщиках программного обеспечения. Ведь даже осторожный водитель не может самостоятельно исправить уязвимости, заложенные в электронные системы его машины.