Програмне забезпечення автомобілів має сотні вразливостей: де вчені виявили слабкі місця

Шведські вчені встановили, що 36,2% досліджених "вразливостей" стосуються мобільних і веб-додатків, а також хмарних сервісів, які зберігають і обробляють дані на віддалених комп’ютерах. Про це повідомляє ресурс Science Alert.

Додатки та хмарні сервіси, пов’язані з автомобілем, можуть зберігати дані про те, куди рухається транспортний засіб і як його використовують, а іноді й дані про його власника, розповів дослідник у галузі розробки програмного забезпечення Шріджита Басу, який працює в обох установах.

Крім того, розважальні та телематичні системи можуть обмінюватися даними з іншими компонентами транспортного засобу, а низький рівень безпеки може дозволити стороннім особам отримати доступ до цих даних.

Щоб з’ясувати, де саме були зосереджені недоліки, дослідники зібрали записи, пов’язані з автомобілями, за період із січня 2022 року по вересень 2024 року в Національній базі даних вразливостей США, порівнявши свої результати з дослідженнями, що охоплюють 2010–2019 роки.

Аналіз показав, що найбільші групи вразливостей пов’язані з написанням коду та дизайном.

Також команда перевірила, як вразливості потрапляють до автомобільного програмного забезпечення через готові компоненти коду, які називаються бібліотеками. Розробники використовують ці блоки, не пишучи кожну функцію самостійно. У підсумку, в ході окремого розслідування було виявлено 827 вразливих бібліотек.

Тому фахівці пропонують виробникам вивчати, які компоненти входять до складу їхнього програмного забезпечення, регулярно сканувати бібліотеки, отримані від інших розробників, стежити за повідомленнями про помилки та мати план застосування виправлень.

За словами Басу, безпека "має бути вбудована з самого початку та перевірятися протягом усього терміну експлуатації транспортного засобу", при цьому він рекомендує відокремлювати системи, що відповідають за керування, від розважальних.

Фахівець порадив автовласникам оновлювати програмне забезпечення, обирати надійні паролі, які використовуються виключно для облікових записів автомобілів, захищати мобільні додатки та перевіряти, які служби мають дозвіл на доступ до місцезнаходження та особистих даних.

Водночас Басу наголосив, що отримані результати не означають, що кожна з виявлених вразливостей може бути використана зловмисником під час віддаленого доступу або забезпечує доступ до систем керування автомобілем. Дослідження також не дозволяє встановити, яка частка автомобілів може бути зламана.

Дослідження було опубліковано в "Журналі якості програмного забезпечення".

Нагадаємо, хакерам вдалося проникнути в систему Shark 6 автовиробника BYD. Фахівці Fortify Labs отримали доступ до даних про місцезнаходження автомобіля та телефонні дзвінки, здійснені з нього, а також продемонстрували можливість дистанційного керування фарами та "двірниками".

Також Фокус писав про 4 недорогі автомобілі, які можуть проїхати сотні тисяч кілометрів