Зависают, шпионят, боятся хулиганов: уязвимости современных автомобилей
В современных автомобилях всё увязано в единую электронную систему, а ее доступ к интернету открывает преступникам и просто хулиганам не окно, а широченные ворота возможностей. Раз машина способна рулить и тормозить сама, значит, есть и возможности «помочь» ей в этом.
Совсем необязательно подавать четкую команду, которую штатная электроника поймет и выполнит. Например, на поворот руля или резкое ускорение. Достаточно забить канал «мусорным» трафиком. Из-за него замедлится работа системы, она может зависнуть или просто не увидеть законную команду от водителя.
Требует проверки
Всё это хорошо известно и автопроизводителям, и независимым экспертным организациям. Внесены соответствующие процедуры в законодательство. На регулярной основе автопроизводители и независимые лаборатории проводят тесты отдельных электронных компонентов, автомобилей. В России уже разработана методика CyberNCAP, которая станет частью национального рейтинга безопасности RuNCAP.
В составе отечественной методики шесть пакетов испытаний. В каждом определен стандартный набор сценариев, через которые прогоняют тестовую машину.
Задача «вскрыть» ее любой ценой не стоит, главное – проверить на возможные уязвимости стандартные каналы взаимодействия со сторонними гаджетами и объектами. Эксперты пробуют различные варианты подключения и передачи команд, оценивают степень защиты против них штатного программного обеспечения (ПО) автомобиля. Проверяются как безобидные мелкие настройки, так и системы, вмешательство в которые может привести к аварии.
Оценка CyberNCAP войдет в общий рейтинг RuNCAP. Общая часть становится публичной. Подробный технический отчет направляется производителю, у которого будет 90 дней на их анализ и выпуск ПО с исправлениями.
ЧТО ИСПЫТЫВАЮТ
В программу российской методики CyberNCAP входят шесть тестов с разным весом в итоговой оценке. За каждое испытание выставляется одна из трех оценок: неудовлетворительная защита (0 баллов), надежная защита (100% баллов) и приемлемая защита с некритичными уязвимостями (50% баллов).
| Что проверяется | Вес в итоговой оценке |
1 | Физические порты и носители: USB, SD, OBD-II, диагностические разъемы | 15% |
2 | Беспроводные интерфейсы ближнего действия: Wi-Fi, Bluetooth | 20% |
3 | Диагностический доступ и сервисные функции: OBD/UDS | 25% |
4 | Телематика и удаленные сервисы: мобильное приложение, облачное хранилище | 25% |
5 | Связь с дорожной инфраструктурой и другими машинами: V2V, V2X | 10% |
6 | Прочие беспроводные интерфейсы: RFID, NFC, бесключевой доступ, радиоканалы | 5% |
ПЕРВЫЕ ЛАСТОЧКИ
Пока тесты на кибербезопасность не запущены официально (как и весь рейтинг RuNCAP), однако первые машины их уже прошли. В специальной лаборатории на Дмитровском автополигоне НАМИ эксперты прогнали по утвержденной программе два электромобиля – кроссовер Tesla Model Y и седан Xiaomi SU7.
Tesla показала высокий уровень стойкости к кибератакам, получив четыре звезды из пяти возможных. Ее рейтинг – 72%. Отмечена недостаточная защита CAN-шины при неавторизованном физическом подключении через диагностический разъем OBD-II и возможность перехвата управления бесключевым доступом по каналу Bluetooth с последующей ретрансляцией сигнала.
Xiaomi заработал три звезды и 60‑процентный рейтинг. Как и у Теслы, возможен неавторизованный доступ к CAN-шине через порт OBD-II. Испытателям удалось отправить команды для управления тормозами и рулем.
Есть пробелы в протоколах защиты телематики, удаленных сервисов, системы диагностики и сервисных функций, алгоритмах доступа по Bluetooth и с помощью ключ-карты.
Я всё вижу
В некоторых странах вводят ограничения на движение машин (чаще всего китайских) в отдельных зонах. Обычно это касается военных объектов: есть опасения, что камеры работают не только на бортовые системы автомобиля, а отправляют записанное видео на сторону.
Такой вывод не требует каких-то сверхъестественных знаний. У многих машин есть встроенный видеорегистратор, то есть изображение записывается на носитель, а не просто транслируется в режиме реального времени. Сами производители не скрывают, что удаленно собирают данные с ездящих по дорогам машин. Официально – строго обезличенно и только в целях дальнейшего развития систем автомобиля. А на самом деле?
В НАМИ тесты на кибербезопасность проводят в изолированной «стерильной» камере. Никакого стороннего трафика данных в ней нет. Эксперты заметили на некоторых машинах значительный исходящий поток данных, которому, если исходить из официально декларируемых функций автомобиля, взяться неоткуда.
Рядовому водителю до этого, конечно, нет дела: Tesla или Xiaomi точно не перешлют данные о его поездках жене. Однако с точки зрения глобальной безопасности этот аспект требует всестороннего изучения.
Масштаб проблемы
Проблема отнюдь не надуманная. Факты вмешательства в управление и ПО машин фиксируют не первый год по всему миру. Пока – достаточно безобидные. Но ведь это только начало.
О 4 ситуациях, когда зимние шины лучше поставить пораньше, «За рулем» уже рассказывал.
- «За рулем» теперь можно смотреть на RuTube