Araç hackleme: Yazılım açıkları azaldı, saldırılar uygulama ve buluta kaydı

Otomobillerdeki bilinen yazılım güvenlik açıklarının sayısı 2019'dan beri düşüyor, ancak rahatlamak için neden yok. Göteborg ve Chalmers üniversitelerinden araştırmacılara göre açıkların niteliği de değişti.

Araştırmacılar yalnızca 2022–2024 dönemi için belgelenmiş 413 güvenlik açığı tespit etti. Bu çok görünse de, daha eski bir araştırmaya göre yalnızca 2019 yılında 363 açık belgelenmişti.

Saldırı kapıları değişiyor

Çalışmanın ilk yazarı Srijita Basu, “On yıl önce açıkların çoğu aracın kendi sistemlerinde bulunuyordu. Bugün uygulamalarda, web sitelerinde ve bulut hizmetlerinde bulunan açıkların payı neredeyse üç katına çıktı” diyor.

Bu verilerden yaşanılan yer, iş yeri, hobiler ya da çocukların okulu gibi çok sayıda kişisel bilgi okunabiliyor. 2024'te Volkswagen'de tam olarak bu yaşandı.

Eğlence sistemi normalde ABS, ESP ya da sürüş destek sistemleri gibi güvenlik açısından kritik işlevlerden kesin biçimde ayrılmalı. Ancak durum her zaman böyle değil: 2015'te güvenlik araştırmacıları bir Jeep Cherokee'nin multimedya sistemi üzerinden fren, gaz pedalı ve kapı kilitlerini uzaktan kontrol etmeyi başarmıştı. Makaleye göre eğlence ve telematik sistemleri çoğu zaman araçtaki daha hassas ağlara köprü görevi görüyor; açıklar ağırlıklı olarak üçüncü taraf yazılımlardan kaynaklanıyor.

Basu, bazı açıkların ne kadar temel olduğuna şaşırdıklarını, örneğin kurulumdan beri değiştirilmemiş parolaların bulunduğunu söylüyor. En savunmasız ürün açık kaynaklı Grafana oldu; en sık saldırı yöntemleri ise SQL injection ve cross-site scripting.

Saldırı yüzeyi büyüyor

Araçlar film akışı ya da şarj istasyonuyla iletişim gibi yollarla çevreyle ne kadar bağlantılı olursa, saldırı yüzeyi de o kadar büyüyor. Sürücü destek sistemlerine güven arttıkça, bir saldırının sonuçları da ağırlaşıyor. Yalnızca daha iyi şifreleme bu açıkları kapatmaz; asıl sorun eksik yetki denetimi. Giriş yapmak yalnızca kimlik doğrulaması anlamına geliyor, kişinin o araca erişip istenen işlevi tetikleyip tetikleyemeyeceği ise belirsiz kalıyor.

Basu, üreticilere bu açıkların yıllardır bilindiği web ve BT dünyasından ders almalarını öneriyor. Sürücülere ise güçlü parolalar kullanmaları ve yazılım güncellemelerini düzenli yapmaları tavsiye ediliyor.