Автомобильная индустрия тотально переходит на цифровые системы управления автомобилем, количество электроники в современном автомобиле постоянно увеличивается

Центр кибербезопасности ФГУП «ЗащитаИнфоТранс» сообщает: автомобильная индустрия тотально переходит на цифровые системы управления автомобилем, количество электроники в современном автомобиле постоянно увеличивается, так же как и растет разнообразие программного обеспечения. Современные автомобили в шутку называют «Windows на колёсах».

Второе поколение автомобилей с электроникой появилось с внедрением CAN-шины (Controller Area Network Bus), разработанной компанией Robert Bosch GmbH в середине 80-х. CAN-шина позволила избавиться от километров проводов, объединив все электронные автокомпоненты в единый канал обмена данными и управления. Из бортовой электроники, управляющей критическими функциями автомобиля, можно назвать головное устройство (head unit, HU) и электронные блоки управления (electronic control unit, ECU). Последние образуют в автомобиле сеть контроллеров - это блоки управления двигателем, трансмиссией, подвеской, рулевым механизмом и т.д.

На сегодняшний день в полном разгаре переход к 3-му поколению - Connected Car, или автомобилю, подключенному к интернету (обычно с Wi-Fi-точкой доступа). Доступ в сеть предоставляет различные дополнительные сервисы как для водителя и пассажиров, так и для автопроизводителя и сторонних компаний. Фирменные технологии есть у всех ведущих автопроизводителей, например: Volvo On Call, Chrysler UConnect, General Motors OnStar и др. С точки зрения кибербезопасности, между Auto 2.0 и 3.0 разница просто огромная — к внутренним системам автомобиля появился удаленный доступ со всеми вытекающими последствиями.

В 2011 году специалисты Калифорнийского университета в Сан-Диего и Вашингтонского университета провели эксперименты и опубликовали отчёт «Полный экспериментальный анализ способов атаки на автомобили». Определены четыре класса уязвимостей в системе защиты автомобиля:

1. Непосредственный физический доступ при подключении неспециализированного девайса к диагностическому порту OBD-II (имеется во всех современных авто), что даёт прямой доступ к автомобильному компьютеру.

2. Непрямой физический доступ через USB (PassThru), а также CD с модифицированной прошивкой или с вредоносным кодом в WMA-файле. Таким способом можно изменить прошивку аудиосистемы, что открывает «черный ход» для дальнейших модификаций программно-аппаратного комплекса автомобиля.

3. Беспроводной доступ на ближней дистанции по Bluetooth (10-30м): либо методом атаки с переполнением буфера с использованием Android-приложения либо путём перехвата MAC-адреса автомобильного сетевого устройства, брутфорса PIN.

4. Беспроводной доступ на дальней дистанции по сетям 3G сотовой связи. Поскольку современные автомобили поддерживают подключение к удалённым сервисам через интернет, возможно использовать стандартные методики сетевых атак для получения контроля над автомобильными контроллерами.

Всего было описано более десятка подтвержденных на практике способов взлома автомобилей.

В 2015 году исследователи Чарли Миллер и Крис Валасек наделали много шума, опубликовав отчет об успешном удаленном взломе систем управления автомобиля Jeep: водитель не мог управлять кондиционером, радио и стеклоочистителями, а потом и самим автомобилем – педали газа и тормоза слушались только находящихся где-то вдали экспериментаторов. Проделать все это позволила уязвимость в фирменной системе Uconnect, отвечающей за связь с внешними системами через инфраструктуру сотового оператора Sprint в автомобилях автоконцерна FCA (Chrysler, Dodge, Fiat, Jeep и Ram). Достаточно было узнать внешний IP-адрес жертвы, для того чтобы перезаписать код в головном устройстве машины. Концерн FCA отреагировал и отозвал более 1.4 млн. автомобилей для устранения уязвимости.



Это был не первый прецедент, показывающий недостатки базовых механизмов безопасности, встроенных в современные автомобили по умолчанию. До этого уже были и локальный перехват управления через диагностический порт OBD-II, и подмена обновлений ПО.



Говоря о безопасности автомобиля, мы, в первую очередь, подразумеваем системы пассивной и активной функциональной (или технологической) безопасности: жесткость кузова, тормоза, систему курсовой устойчивости, ремни и подушки безопасности, а также системы защиты от угона. О кибербезопасности вспоминаем в последнюю очередь.



К сожалению, автопроизводители рассуждают почти так же. Промышленные протоколы обмена данными и управления как и во многих АСУ ТП не предусматривают встроенных средств защиты от несанкционированного доступа и перехвата управления. В древней CAN-архитектуре до сих пор обнаруживаются критические уязвимости.



Не отстают и мобильные приложения для управления различными марками автомобилей: как выяснили эксперты, у большинства приложений отсутствует обфускация (защита от декомпиляции) кода, защита от перекрытия, а также нет функции проверки на наличие прав суперпользователя и контроля целостности. Кроме того, почти все приложения хранят учетные данные в незашифрованном виде.



Производителей автомобилей и электронных автокомпонентов можно понять: внедрение новых протоколов и интерфейсов взаимодействия потребует гигантских затрат.



Тем не менее, кое-что для защиты от киберугроз все-таки делается. Автопроизводители все больше осознают степень риска и призывают не давать стороннему ПО доступа к системе управления автомобилей, предпочитая разделять загружаемые приложения и управляющее самой машиной ПО.



По прогнозам специалистов, на разработку полностью защищенных в плане кибербезопасности автомобилей понадобится около 3 лет.



Автопромышленникам есть чем заняться в ближайшие три года, а вот что делать в такой ситуации бедным автовладельцам, ведь автомобильная электроника – не домашний ПК: операционку не заменить, файрвол и антивирус не установить, да и не выключить вообще?



Для начала, ознакомьтесь с разделами руководства по эксплуатации, содержащими описание бортовых электронных устройств и мер защиты, задайте вопросы персоналу авторизованного дилера. Не стесняйтесь по данному поводу обращаться к автопроизводителям через их официальные сайты.



При любых неполадках с электроникой немедленно обращайтесь в авторизованный автосервис.



Постарайтесь следить за обновлениями прошивок и своевременно их устанавливайте с помощью специалистов автосервиса.



Не устанавливайте самостоятельно в мультимедийных устройствах автомобиля непроверенные приложения.



Установите надежный пароль Wi-Fi (если имеется точка доступа), отключайте сеть, когда не пользуетесь ею. Имейте в виду, что в случае приобретения автомобиля на вторичном рынке, его бывший владелец может иметь доступ к бортовой сети, поэтому смените все доступные пароли и идентификаторы.



Подключайте к автомобилю только защищенные мобильные девайсы (смартфоны, планшеты и т.п.) с установленными и настроенными файрволами и антивирусами.



Добавьте к известному напутствию автомобилистам «ни гвоздя, ни жезла» слова - «и ни хакера».



P.S. Не пытайтесь блокировать работу бортовых устройств ЭРА-ГЛОНАСС – в случае тяжелого ДТП они могут спасти жизнь Вам и Вашим пассажирам!