Зависают, шпионят, боятся хулиганов: уязвимости современных автомобилей
Эксперт «За рулем» рассказал, как проверяют на кибербезопасность «гаджеты на колесах».
В современных автомобилях всё увязано в единую электронную систему, а ее доступ к интернету открывает преступникам и просто хулиганам не окно, а широченные ворота возможностей. Раз машина способна рулить и тормозить сама, значит, есть и возможности «помочь» ей в этом.
Совсем необязательно подавать четкую команду, которую штатная электроника поймет и выполнит. Например, на поворот руля или резкое ускорение. Достаточно забить канал «мусорным» трафиком. Из-за него замедлится работа системы, она может зависнуть или просто не увидеть законную команду от водителя.
Всё это хорошо известно и автопроизводителям, и независимым экспертным организациям. Внесены соответствующие процедуры в законодательство. На регулярной основе автопроизводители и независимые лаборатории проводят тесты отдельных электронных компонентов, автомобилей. В России уже разработана методика CyberNCAP, которая станет частью национального рейтинга безопасности RuNCAP.
В составе отечественной методики шесть пакетов испытаний. В каждом определен стандартный набор сценариев, через которые прогоняют тестовую машину.
Задача «вскрыть» ее любой ценой не стоит, главное – проверить на возможные уязвимости стандартные каналы взаимодействия со сторонними гаджетами и объектами. Эксперты пробуют различные варианты подключения и передачи команд, оценивают степень защиты против них штатного программного обеспечения (ПО) автомобиля. Проверяются как безобидные мелкие настройки, так и системы, вмешательство в которые может привести к аварии.
Оценка CyberNCAP войдет в общий рейтинг RuNCAP. Общая часть становится публичной. Подробный технический отчет направляется производителю, у которого будет 90 дней на их анализ и выпуск ПО с исправлениями.
Пока тесты на кибербезопасность не запущены официально (как и весь рейтинг RuNCAP), однако первые машины их уже прошли. В специальной лаборатории на Дмитровском автополигоне НАМИ эксперты прогнали по утвержденной программе два электромобиля – кроссовер Tesla Model Y и седан Xiaomi SU7.
Tesla показала высокий уровень стойкости к кибератакам, получив четыре звезды из пяти возможных. Ее рейтинг – 72%. Отмечена недостаточная защита CAN-шины при неавторизованном физическом подключении через диагностический разъем OBD-II и возможность перехвата управления бесключевым доступом по каналу Bluetooth с последующей ретрансляцией сигнала.
Xiaomi заработал три звезды и 60‑процентный рейтинг. Как и у Теслы, возможен неавторизованный доступ к CAN-шине через порт OBD-II. Испытателям удалось отправить команды для управления тормозами и рулем.
Есть пробелы в протоколах защиты телематики, удаленных сервисов, системы диагностики и сервисных функций, алгоритмах доступа по Bluetooth и с помощью ключ-карты.
В некоторых странах вводят ограничения на движение машин (чаще всего китайских) в отдельных зонах. Обычно это касается военных объектов: есть опасения, что камеры работают не только на бортовые системы автомобиля, а отправляют записанное видео на сторону.
Такой вывод не требует каких-то сверхъестественных знаний. У многих машин есть встроенный видеорегистратор, то есть изображение записывается на носитель, а не просто транслируется в режиме реального времени. Сами производители не скрывают, что удаленно собирают данные с ездящих по дорогам машин. Официально – строго обезличенно и только в целях дальнейшего развития систем автомобиля. А на самом деле?
В НАМИ тесты на кибербезопасность проводят в изолированной «стерильной» камере. Никакого стороннего трафика данных в ней нет. Эксперты заметили на некоторых машинах значительный исходящий поток данных, которому, если исходить из официально декларируемых функций автомобиля, взяться неоткуда.
Рядовому водителю до этого, конечно, нет дела: Tesla или Xiaomi точно не перешлют данные о его поездках жене. Однако с точки зрения глобальной безопасности этот аспект требует всестороннего изучения.
Проблема отнюдь не надуманная. Факты вмешательства в управление и ПО машин фиксируют не первый год по всему миру. Пока – достаточно безобидные. Но ведь это только начало.
О 4 ситуациях, когда зимние шины лучше поставить пораньше, «За рулем» уже рассказывал.