Šiuolaikiniai automobiliai nuolat keičiasi duomenimis su išoriniais serveriais, gauna programinės įrangos atnaujinimus ir leidžia dalį funkcijų valdyti nuotoliniu būdu. Visa tai vairuotojams suteikia daugiau patogumo, tačiau kartu atsiranda ir naujų grėsmių. Australijoje surengtas eksperimentas parodė, kad įsilaužus į „BYD Shark 6“ sistemas galima nuotoliniu būdu valdyti ne tik multimediją ar durų užraktus, bet ir važiuojant išjungti automobilio žibintus.
Australijos ABC laidos „Four Corners“ žurnalistai „BYD Shark 6“ perdavė Kanberoje veikiančios kibernetinio saugumo bendrovės „Fortify Labs“ bendraįkūrėjui Danui Hreszczukui. Automobilių elektroninių sistemų saugumu besispecializuojantis ekspertas dvi savaites ieškojo būdų patekti į automobilio skaitmenines sistemas.
Ši aplinkybė svarbi – tai nebuvo atvejis, kai nepažįstamas žmogus tiesiog iš kitos gatvės pusės per kelias minutes perėmė automobilio valdymą. Tyrėjas turėjo patį automobilį, galėjo išsamiai nagrinėti jo elektroninę architektūrą ir tik tada parengė nuotolinės prieigos demonstraciją.
Vis dėlto jo išvados privertė sunerimti. D. Hreszczuko teigimu, viena iš prieigų, kuria pasinaudota patenkant į automobilio sistemas, apskritai nebuvo apsaugota slaptažodžiu. Ekspertas teigė tikėjęsis gerokai sudėtingesnės apsaugos.
Važiuojant išjungė priekinius žibintus
Gavęs prieigą prie dalies automobilio sistemų D. Hreszczukas galėjo nuotoliniu būdu užrakinti duris, valdyti garso sistemą ir pagrindiniame ekrane rodyti pasirinktus vaizdus.
Tačiau eksperimento metu paaiškėjo, kad nuotolinė prieiga neapsiribojo komforto funkcijomis. Žurnalistui važiuojant užmiesčio keliu netoli Kanberos, ekspertas iš nešiojamojo kompiuterio įjungė valytuvus ir langų apiplovimą, kelis kartus įjungė bei išjungė automobilio šviesas, o galiausiai visiškai užgesino priekinius žibintus.
Bandymas buvo atliekamas kontroliuojamomis sąlygomis ir nedideliu greičiu, tačiau tokios funkcijos perėmimas realiame eisme galėtų kelti tiesioginį pavojų.
Automobilį pavertė nuotoliniu mikrofonu
Dar didesnių klausimų sukėlė ne automobilio valdymas, o jo surenkamų duomenų apsauga. Ekspertui pavyko realiuoju laiku stebėti „Shark 6“ buvimo vietą ir nuotoliniu būdu įjungti salone esantį mikrofoną. Taip buvo galima klausytis automobilyje vykstančių pokalbių.
Demonstracijos metu ABC žurnalistas važiuodamas paskambino savo motinai ir garsiai aptarė internetinės bankininkystės duomenis. D. Hreszczukas pokalbį įrašė.
Vėliau eksperimentas buvo pratęstas palikus atrakintą telefoną automobilyje. Iš žurnalisto balso įrašo buvo paimta frazė „Hey Siri“, ji sujungta su eksperto įrašytais klausimais ir per automobilio garsiakalbius paleista šalia telefono. Taip „Siri“ buvo priversta atskleisti telefone saugomą asmeninę informaciją.
BYD pradėjo vidinį tyrimą
Po „Four Corners“ tyrimo BYD Australijos padalinys paskelbė pradėjęs vidinį patikrinimą. Prie jo dirba tiek Australijos, tiek bendrovės centrinės būstinės Kinijoje specialistai, o ABC tyrėjams perduoda techninę informaciją apie atliktą bandymą.
BYD Australijos operacijų vadovas Stephenas Collinsas pareiškė, kad bendrovė rimtai vertina automobilių saugumą ir tiria pranešimus apie neteisėtą nuotolinę prieigą prie kai kurių nekritinių automobilio funkcijų. Bendrovė žada išsamiau pakomentuoti situaciją baigusi tyrimą.
Gamintojas taip pat pabrėžia, kad Australijoje BYD automobilių generuojami asmens duomenys saugomi šioje šalyje esančiuose serveriuose. Bendrovė teigia pati raginanti Australiją priimti specialias prijungtiesiems automobiliams skirtas kibernetinio saugumo taisykles, kurios vienodai galiotų visiems gamintojams.
ABC tyrimas savaime neįrodo, kad BYD ar Kinijos institucijos naudojasi tokia prieiga automobilių savininkams sekti ar klausytis jų pokalbių. Eksperimentas parodė kitą problemą – kokias galimybes galėtų suteikti nepakankamai apsaugota nuotolinė prieiga, jeigu ja pasinaudotų pašalinis asmuo.
Europoje gamintojams jau taikomi kibernetinio saugumo reikalavimai
Australijos valdžios institucijos pačios pripažįsta, kad didėjantis prie interneto prijungtų automobilių skaičius kelia naujų kibernetinio saugumo ir privatumo rizikų. Šalyje rengiama bendra prijungtųjų ir automatizuotų transporto priemonių reguliavimo sistema.
Europos Sąjungoje situacija kitokia. Kibernetinio saugumo priemonės įtrauktos į privalomus naujų automobilių saugos reikalavimus, o nuo 2024 m. liepos 7 d. jie taikomi visiems naujiems automobiliams, patenkantiems į atitinkamas kategorijas.
JT EEK taisyklė Nr. 155 gamintojams numato ne vien konkretaus automobilio apsaugos priemones. Jie turi turėti ir kibernetinio saugumo valdymo sistemą, vertinti automobilio elektroninės architektūros pažeidžiamumą, valdyti tiekėjų keliamą riziką bei prieš tipo patvirtinimą tikrinti pasirinktų apsaugos priemonių veiksmingumą.
„BYD Shark 6“ eksperimentas gerai parodo, kodėl tokie reikalavimai tampa vis svarbesni. Kuo daugiau automobilio funkcijų priklauso nuo programinės įrangos, interneto ryšio, mikrofonų ir nuotolinio valdymo, tuo didesnę reikšmę įgauna ne tik mechaninė ar eismo sauga, bet ir automobilio elektroninių sistemų apsauga.
