Kyberochrana: Odhalte slabiny Vašeho auta
S tím, jak automobilový průmysl přidává do vozidel stále více softwaru a připojení, se zároveň zvyšuje pravděpodobnost kybernetických útoků v důsledku zranitelností. V současné době má průměrný automobil přibližně 100 milionů řádků softwarového kódu a 100 elektronických řídících jednotek (ECU), což obojí poskytuje hackerům rozsáhlý prostor pro útoky. A očekává se, že tato dvě čísla se v příštích několika letech ještě rozšíří, což nakonec vynese kybernetickou bezpečnost automobilů do popředí zájmu výrobců i spotřebitelů.
Rychlý pohled do zpětného zrcátka
V roce 2015 provedli výzkumníci v oblasti kybernetické bezpečnosti Chris Valasek a Charlie Miller první široce sledovanou veřejnou ukázku zneužití vozidla na dálku (prostřednictvím informačního a zábavního systému). Ti ohromili přihlížející tím, že ze vzdálenosti 10 kilometrů převzali kontrolu nad funkcemi palubní desky, řízením, převodovkou a brzdami vozidla Jeep, které pokračovalo v jízdě po dálnici. Netřeba dodávat, že tato událost vedla k reportážím na titulních stranách novin po celém světě.
Potenciál, že by se tato chyba mohla opakovat na kterémkoli z 1,4 milionu vozidel Fiat Chrysler Automobile (FCA) na silnicích, vedl k prvnímu stažení kybernetické bezpečnosti na světě. O rok později výzkumná dvojice navázala lokálním zneužitím vozidla (prostřednictvím sběrnice USB a CAN), které ukázalo, že nepřipojená vozidla mají zranitelnosti i při dálničních rychlostech. Toto odhalení odpovědělo mnoha odpůrcům, kteří se snažili bagatelizovat šíři útočných ploch ve starších vozidlech (a zúžit zaměření průmyslu pouze na ochranu budoucích modelových let).
Výzkumníci popsali svou práci jako „extrémně obtížnou, časově náročnou a nákladnou“, ale svých průlomových objevů dosáhli sami a převážně s vlastním financováním, z čehož pravděpodobně vyvozovali, že zkušení protivníci na plný úvazek by mohli podobné útoky snadno provést.
Hackeři objevili zranitelnosti v mnoha značkách a modelech vozidel
Od této první veřejné demonstrace hackerských útoků na vozidla bylo nalezeno mnoho nových zranitelností u různých výrobců. Například u společností Tesla a General Motors (GM); v užitkových vozidlech, u zlodějů automobilů používajících notebooky; a nejnověji v aplikacích pro chytré telefony používaných pro bezklíčové odemykání… Hackeři nepotřebují budovat vlastní odborné znalosti nebo zkušenosti, místo toho se spoléhají na nástroje vytvořené mnohem menší skupinou odborníků, stahují exploity nebo je spouštějí jako software jako službu (SaaS) z temného webu.
V posledních letech se také projevila rizika pro komerční vozové parky. Je to proto, že komerční vozové parky sdružují velké skupiny podobných modelů vozidel, což z nich činí relativně homogenní cíle. Asymetrie hackerské ekonomiky znamená, že obránci se musí bránit všem vektorům útoku, ale útočníkovi stačí najít jen jednu zranitelnost a může ji využít přímo nebo ji sdílet s ostatními.
Stojí propojená auta za rizika kybernetické bezpečnosti?
Připojený automobil má z definice více řídicích jednotek, výpočetního výkonu, řádků kódu a bezdrátových připojení než „nepřipojený“ automobil – to vše jej činí náchylnějším k útokům. Zneužitím slabého místa může hacker převzít kontrolu nad brzdovým systémem nebo řízením, zobrazit nesprávné informace na číselnících na palubní desce nebo získat údaje o řidiči.
Společnost Frost & Sullivan odhaduje, že automobily budou v blízké budoucnosti vyžadovat 200-300 milionů řádků kódu. Vytvořit software bez chyb je obtížné i za nejlepších okolností, natož když se jedná o takové množství kódu, které je nutné pro pohon autonomních vozidel. Více kódu znamená více příležitostí k chybám a omylům, například přetečení bufferu, které lze zneužít. Za zmínku také stojí, že neexistuje jediný řídicí subjekt, který by měl přehled o zdrojovém kódu všech komponent. Kód píší různí vývojáři, testuje jej řada subjektů a instalují různí dodavatelé. Škodlivý software může být součástí kteréhokoli kroku tohoto dodavatelského řetězce.
Navíc zvýšené využívání aplikací pro chytré telefony ke spouštění určitých funkcí prostřednictvím propojení s připojenými automobily přináší zranitelnosti a výzkumníci již prokázali řadu slabých míst, která mohou umožnit škálování útoků. Dále je zde potřeba neustálých aktualizací softwaru, který spouští různé komponenty a systémy. Takové aktualizace mohou být přehlíženy, a známé závady tak zůstávají neopravené. Ale i když je veškerý software aktuální, hackeři jsou dostatečně zkušení, aby dokázali infikovat i běžné aktualizace.
Roste počet krádeží aut
V letech 2016 až 2019 vzrostl počet krádeží aut o 20 %. Všechny ty vymoženosti, které máme rádi, jako je bezklíčové odemykání vozu a vestavěná navigace, zvyšují riziko kybernetických hrozeb. Proto je kybernetická bezpečnost automobilů důležitým aspektem vlastnictví vozidla.
Čím více chytré auto, tím větší riziko
Vozidla mají zabudované bezpečnostní systémy, které nabízejí ochranu, ale to nestačí k zajištění úplného pokrytí. S tím, jak se naše vozidla stávají více „chytrými“ wi-fi, budou mít hackeři větší šanci prolomit zabezpečení vozidla. Vymoženosti výrobců, jako je například systém Uconnect od společnosti Chrysler nebo SYNC Connect od společnosti Ford, činí váš vůz zranitelným.
Vaše vozidlo může být zranitelné na velkou vzdálenost
Hackeři mohou být schopni napadnout vaše vozidlo na dálku pomocí svého notebooku doma, zatímco vy jedete kilometry daleko. Manipulací s vaším navigačním systémem a ovládáním vozidla, jako je řízení, brzdění a vypínání motoru, činí zranitelným jak vaše vozidlo, tak vás.
Při řešení kybernetické bezpečnosti je třeba brát v úvahu tři hlavní aspekty:
- Detekce a reakce na incidenty: identifikace, hlášení a reakce na hrozby a útoky;
- Ochrana před vnějšími útoky: Ochrana dat a komunikace, prevence malwaru a neautorizovaných kontrol;
- Autentizace a řízení přístupu: udržování kontroly nad tím, kdo má přístup a k čemu má přístup.
Abyste zabránili invazi, musíte porozumět metodám, které hackeři používají k přístupu do vašeho vozidla.
Metody kybernetických útoků
Aby hacker získal přístup k vašemu vozidlu, musí najít slabý článek, který mu umožní přístup do vašeho automobilového systému.
Fyzický útok
K němu dochází v okamžiku, kdy má hacker fyzický přístup k vašemu automobilu. Může to být v servisním středisku nebo když se do něj někdo vloupá. Hacker nainstaluje software nebo hardware, který mu umožní ovládat váš vůz na dálku, zatímco jste v něm. Pokud nic jiného, pak by to měl být dostatečně dobrý důvod k tomu, abyste si vyhledali nebo použili platformu třetí strany a našli schválený autoservis,, který provede veškeré potřebné opravy automobilu kvalifikovanými automechaniky.
Zranitelnost bezdrátového připojení
Při tomto typu útoku nepotřebuje hacker fyzický přístup k vašemu vozidlu. K získání přístupu k systémům automobilu může použít technologii wi-fi, Bluetooth, GPS nebo mobilní telefon.
Nepřímá fyzická zranitelnost
Tento typ útoku využívá určitý typ média, například aktualizace firmwaru, SD karty nebo USB zařízení, které umožňuje instalaci malwaru do systému vozidla. Ačkoli se zdá, že výrobci automobilů by měli pro zajištění kybernetické bezpečnosti udělat více, čas potřebný k provedení výzkumu a testování jim stále neumožní dohnat zločince.
Bezpečnostní opatření
V letech 2017 a 2018 se technikům z Keen Security Lab podařilo nabourat do různých vozidel Tesla. V roce 2019 se jinému týmu etických hackerů podařilo získat přístup k počítači Tesla Model 3. V roce 2020 se technikům podařilo nainstalovat škodlivý kód do vozu Lexus NX300.
Bezpečnostní opatření jsou nejvyšší prioritou při zajišťování bezpečnosti automobilů:
- Změňte výchozí heslo ve vozidle na jedinečné;
- Aktualizujte software v automobilu a ujistěte se, že máte nejnovější ochranné záplaty;
- Vypněte GPS, abyste zabránili „GPS spoofingu“ prostřednictvím rádiového signálu; GPS zapínejte pouze v případě potřeby;
- Seznamte se s autonomními systémy vozidla, abyste si uvědomili, že něco nefunguje normálně.
Nápověda k jednoduchým krokům
Klíčenka je zranitelná vůči hackerům. Uložením klíčenky do Faradayova vaku ochráníte datové signály před hackery. Můžete si také nainstalovat imobilizér s ochranou proti krádeži. Tento systém zabrání zlodějům v řízení vašeho vozidla. K aktivaci využívá tlačítka, která již máte na volantu.
