Avtomobili so postopoma prešli iz čiste mehanike v vse bolj izpopolnjene in z večjim odstotkom elektronike, ki sodeluje pri njihovem delovanju, ne samo v notranjosti ali infotainment sistemu, ampak tudi za nadzor nekaterih funkcij motorja, za spremljanje parametrov s senzorji , in tudi za implementacijo vseh ADAS klicev in najnovejših ADS. zato, vdor v avto postaja vedno bolj pomembna.
Novi povezani in avtonomni avtomobili so ranljivi za določene napade, zato je lahko zanimivo poznavanje vdorov v avtomobile in izvajanje varnostnih pregledov vozil. odkrivanje in odpravljanje kršitev varnosti ki bi jih lahko izkoristili kibernetski kriminalci.
Kaj je vdiranje v avtomobile?
El vdor v avto je veja kibernetske varnosti, ki se osredotoča na izkoriščanje ranljivosti v elektronskih sistemih vozil. Ko postajajo avtomobili bolj povezani in avtonomni, postanejo tudi bolj ranljivi za te vrste napadov, saj so v bistvu računalniški sistemi na kolesih ...
Napadalci lahko dostopajo do sistemov vozila z različnimi metodami, vključno z:
- Brezžična omrežja- Izkoriščanje ranljivosti v Wi-Fi, Bluetooth ali mobilnih omrežjih vozila za pridobitev oddaljenega dostopa do infotainment sistema in drugih povezanih podsistemov.
- Diagnostična vrata- S fizičnim dostopom do diagnostičnih vrat OBD-II za manipulacijo sistemov vozila.
- Avtobusi: kot v primeru CAN, standard v avtomobilih, ki je lahko ranljiv in povezuje različne ECU-je vozila.
- Ranljivosti programske opreme: Izkoriščanje hroščev ali ranljivosti v programski opremi vozila, vključno z operacijskim sistemom, aplikacijami in komunikacijskimi protokoli.
- drugi: Obstajajo lahko tudi slabosti v sistemih za zaklepanje vozil, ki temeljijo na RF, pri čemer bi se lahko vrata odprla zaradi kraje in celo zagnala vozilo.
P tarče napadov vdori v avtomobile so različni in lahko vključujejo od kraje samih avtomobilov z odklepanjem in zagonom, do vohunjenja za potniki v njih (osebni podatki, poti, trenutna lokacija ...) in celo sabotaže z manipulacijo voznih sistemov vozil ali sistemov ADAS, kar bi lahko povzročilo smrtno nesrečo.
Če želite to dobiti, napadalne tehnike ki jih uporabljajo kibernetski kriminalci, in isti, ki jih uporabljajo etični hekerji, da locirajo in poskušajo okrepiti sistem, izvirajo iz obratnega inženiringa elementov programske ali strojne opreme modela vozila, identičnega tistemu, ki ga želijo napasti, da odkrijejo ranljivosti in jih izkoristijo. , do napadov s surovo silo za pridobitev dostopa do storitev z geslom, povratnega inženiringa, vohanja prometa v komunikacijah, z vbrizgavanjem zlonamerne kode v sisteme vozil, do drugih, kot so relejni napadi, ki prestrežejo in ponovno brezžično oddajajo signale za odpiranje ali zagon vozilo, fuzzing itd. Pri avtonomnih avtomobilih je težava lahko še hujša, saj lahko ranljivost v voznem sistemu povzroči napadalcu možnost, da spremeni ciljno pot, premakne avto na daljavo in celo povzroči nesrečo.
Poleg tega postajajo vse pomembnejši tehnike ublažitve, od izvajanja šifriranja na vodilu CAN do krepitve sistemov za preverjanje pristnosti prek drugih tehnik, kot je nadzor omrežij in vsiljivcev, izvajanje ukrepov omrežnega požarnega zidu in programske opreme za zaščito pred zlonamerno programsko opremo ali celo sistemov, ki temeljijo na AI za odkrivanje vzorcev napadov in predvidevanje groženj.
Primeri resničnih napadov
P pravi napadi na vozila Ponujajo nam dragoceno lekcijo o obstoječih ranljivostih in uporabljenih tehnikah ter nas opozorijo na možne težave v prihodnosti. Nekateri najbolj znani primeri vključujejo:
- Jeep Cherokee Hack: Leta 2015 so varnostni raziskovalci pokazali, kako lahko na daljavo upravljajo Jeep Cherokee prek njegovega informacijsko-razvedrilnega sistema, pri čemer prevzamejo nadzor nad zavorami, krmiljenjem in motorjem. Ta primer je poudaril ranljivost internetno povezanih sistemov v vozilih.
- Tesla Hack: Čeprav je Tesla uvedla stroge varnostne ukrepe, so poročali o primerih hekerjev, ki jim je uspelo odkleniti vozila in dostopati do njihovih sistemov. To poudarja pomen posodabljanja varnostnih sistemov in iskanja novih ranljivosti.
- drugi: Pojavile so se tudi novice o napadih na druge znane modele in znamke, kot so BMW, Mercedes-Benz in Audi, ki so bili prav tako predmet relejskih napadov, kraje informacij itd.
In če štejemo možne zadnja vrata ki bi jih nekateri proizvajalci lahko implementirali v svoje enote, potem postanejo stvari še bolj nejasne ...
Pravni vidiki
Vse večja zaskrbljenost glede varnosti povezanih vozil je pripeljala do uvedbe novih predpisov in standardov:
- UNECE R155- Uredba Združenih narodov, ki določa zahteve glede kibernetske varnosti za povezana vozila.
- ISO/SAE 21434: je mednarodni standard, ki opredeljuje proces upravljanja kibernetske varnosti za življenjski cikel razvoja vozila.
Vendar to ni edini pravni vidik, ki je zaskrbljujoč za prihodnost, saj obstajajo izzivi, ki jih je treba rešiti z napredkom tehnologije. In nujno je, da tako kot opravijo varnostne teste, kot je Euro NCAP, tudi obstaja testiranje kibernetske varnosti preden gre model v prodajo.
Možnost vdora v avtonomno vozilo in povzročitve nesreče s smrtnimi posledicami je s pravnega vidika izjemno zapleten scenarij. Gre za neraziskan teren, ki izziva obstoječe pravne okvire, zasnovan predvsem za nesreče, ki jih povzroči človek. To pomeni, da obstajajo zakoni, ki ljudi obtožujejo kaznivih dejanj umora, umora, napadov na javno zdravje itd. Toda kaj se zgodi v teh primerih? kdo je odgovoren? Ali je proizvajalec vozila, če se ugotovi, da je vedel za varnostno ranljivost in je ni odpravil? Ali bi lahko bili toženi tudi regulativni organi, ki niso vzpostavili ustreznih varnostnih predpisov? Kaj pa, če odgovornega kibernetskega napadalca ni mogoče identificirati?
Potencial nevarnosti vodila CAN
El Vodilo CAN je bilo zasnovano za komunikacijo med avtomobilskimi komponentami, pri čemer daje prednost hitrosti in zanesljivosti pred varnostjo. To pomeni, da nima robustnih mehanizmov za preverjanje pristnosti, šifriranje ali nadzor dostopa. Po drugi strani pa je med seboj povezana široka paleta komponent vozila, kar pomeni, da lahko napadalec, ki ogrozi posamezen ECU (Electronic Control Unit), pridobi dostop do celotnega sistema. In k temu je treba dodati tudi pomanjkanje ograj ali segmentacije med sistemi, ki jih to vodilo povezuje, kar omogoča širjenje napada.
Če želi napadalec izkoristiti vodilo CAN, lahko vbrizga lažna sporočila za manipulacijo funkcij vozila, od krmiljenja motorja do zavornih sistemov itd. Kot je razvidno iz slike, vodilo CAN povezuje množico elektronskih podsistemov, povezanih z motorjem, krmiljenjem, zavorami, lučmi, sistemi ADAS, zračnimi blazinami itd., ki so vsi kritični.
Orodja za vdiranje v avtomobile
Nazadnje, če želite začeti raziskovati vdiranje v avtomobile in poskusiti sami, morate vedeti, da obstajajo nekaj zelo zanimivih orodij na trgu: