Automobilių kibernetinis saugumas: naujoji automobilių pramonės fronto linija

Šiuolaikinis automobilis – tai nebe tik variklis ir ratai. Tai dešimtys valdiklių, programinė įranga, SIM kortelė, Wi‑Fi, Bluetooth, mobilioji programėlė ir nuotoliniai atnaujinimai. Kitaip tariant – kompiuteris ant ratų, kuris gali būti nulaužtas taip pat, kaip ir bet kuris kitas išmanus įrenginys.

Būtent todėl automobilių kibernetinis saugumas 2024–2025 m. tampa viena svarbiausių temų automobilių pramonėje. Gamintojai jau privalo laikytis naujų JT ir ES kibernetinio saugumo reikalavimų, o vairuotojams tenka išmokti rūpintis ne tik technine, bet ir skaitmenine savo automobilio būkle.

Kodėl automobilių kibernetinis saugumas tapo kritiškai svarbus?

Per pastarąjį dešimtmetį automobiliai iš esmės pasikeitė. Juose atsirado:

• nuolatinis interneto ryšys (4G/5G modemai),
• nuotolinės diagnostikos ir valdymo funkcijos,
• over-the-air (OTA) programinės įrangos atnaujinimai,
• išmanios pagalbos sistemos ir dalinis autonominis vairavimas,
• integracija su mobiliosiomis programėlėmis ir debesijos paslaugomis.

Kiekvienas iš šių elementų – tai naujas atakos vektorius. Jei anksčiau vagims reikėjo fizinio rakto ar signalizacijos blokavimo, šiandien dalį automobilių galima atrakinti ir net užvesti per programinę skylę ar silpną autentifikaciją.

Pagrindinės kibernetinės grėsmės šiuolaikiniams automobiliams

1. Nuotolinis automobilio valdymas

Laboratoriniai ir realūs atvejai jau parodė, kad įmanoma nuotoliniu būdu:

• atrakinti ir užrakinti duris,
• įjungti arba išjungti variklį,
• valdyti klimato kontrolę,
• kartais – net paveikti vairo stiprintuvą ar stabdžių sistemas.

Tokios atakos dažniausiai vykdomos per pažeidžiamas infotainment sistemas, mobilias programėles arba netinkamai apsaugotus ryšio modulius.

2. Atakos prieš CAN bus ir valdiklius

Automobilio viduje dešimtys elektroninių valdymo blokų (ECU) bendrauja tarpusavyje per CAN bus tinklą. Jei piktavalis gauna prieigą prie šios vidaus magistralės (pvz., per OBD-II jungtį ar pažeistą modulį), jis gali siųsti klaidingas komandas:

• keisti greičio ar apsukų rodmenis,
• išjungti saugos sistemas (ABS, ESP),
• trikdyti variklio darbą.

Nors naujesniuose modeliuose CAN tinklas vis dažniau segmentuojamas ir saugomas vartais (gateway), senesni automobiliai dažnai lieka neapsaugoti.

3. Raktų ir „keyless“ sistemų klonavimas

Populiariausia reali grėsmė Europos miestuose – keyless entry sistemų atakos. Vagys naudoja signalo stiprintuvus ir retransliatorius, kad „prailgintų“ jūsų rakto signalą:

• vienas įrenginys priartinamas prie namų, kur guli raktelis,
• kitas – prie automobilio,
• automobilis „mano“, kad raktas šalia, ir atrakina duris.

Tokiu būdu automobilis pavagiamas per keliasdešimt sekundžių, be jokio langų daužymo ar spynų laužymo.

4. Duomenų vagystė ir sekimas

Prijungti automobiliai renka daug duomenų:

• kelionių maršrutus ir buvimo vietą,
• vairavimo įpročius (greičiai, stabdymas, pagreitėjimai),
• multimedijos naudojimą, kontaktus, kartais net pranešimus.

Jei šie duomenys nuteka (per pažeidžiamą serverį, programėlę ar trečiųjų šalių paslaugą), jie gali būti panaudoti stebėjimui, šantažui ar tikslinėms vagystėms.

5. Įkrovimo stotelių ir EV infrastruktūros pažeidžiamumas

Elektromobiliai priklausomi nuo įkrovimo infrastruktūros. Pažeista stotelė ar jos programinė įranga gali:

• trikdyti įkrovimą arba sugadinti akumuliatorių,
• perimti vartotojo autentifikacijos duomenis,
• tapti tiltu į automobilio vidinį tinklą.

Europos kibernetinio saugumo agentūra (ENISA) jau kelis metus įspėja, kad EV ir įkrovimo tinklai turi būti laikomi kritine infrastruktūra, su atitinkamu apsaugos lygiu.

Kaip į kibernetinį saugumą reaguoja automobilių pramonė?

Nauji JT ir ES reikalavimai gamintojams

Nuo 2024 m. nauji modeliai ES rinkoje turi atitikti JT R155 ir R156 reglamentus, kurie reikalauja:

• įdiegti kibernetinio saugumo valdymo sistemą (CSMS),
• užtikrinti programinės įrangos atnaujinimų valdymą (SUMS),
• nuolat vertinti rizikas ir reaguoti į naujas grėsmes viso modelio gyvavimo ciklo metu.

Praktiškai tai reiškia, kad automobiliai turi būti projektuojami pagal principą „security by design“, o ne „paskui kažką prilipdysime“.

Automobilių „bug bounty“ ir saugumo tyrimai

Didieji gamintojai vis dažniau bendradarbiauja su nepriklausomais saugumo tyrėjais. Atsiranda „bug bounty“ programos, kuriose už rastas ir atsakingai atskleistas spragas mokamos premijos. Tai padeda:

• greičiau aptikti kritinius pažeidžiamumus,
• pagerinti OTA atnaujinimų kokybę,
• kurti atviresnę ir skaidresnę saugumo kultūrą.

Segmentuota architektūra ir šifravimas

Naujesniuose modeliuose vis dažniau naudojama:

• zoninė architektūra – kritinės sistemos atskirtos nuo infotainment ir ryšio modulių,
• šifruota komunikacija tarp valdiklių ir serverių,
• sertifikatų pagrindu veikianti autentifikacija OTA atnaujinimams ir nuotolinėms komandoms.

Taip mažinama rizika, kad per vieną pažeidžiamą modulį pavyks perimti viso automobilio kontrolę.

Ko gali imtis pats vairuotojas?

Nors daug kas priklauso nuo gamintojo, vairuotojas taip pat turi nemažai galimybių sumažinti riziką.

1. Atnaujinkite programinę įrangą

• Neatidėliokite oficialių OTA atnaujinimų.
• Jei automobilis jų nepalaiko, reguliariai tikrinkite atstovybėje, ar nėra naujos programinės įrangos versijos.
• Venkite neoficialaus „čipavimo“ ar modifikuotų firmware, jei jos nepatikrintos saugumo specialistų.

2. Apsaugokite keyless raktelius

• Laikykite raktelius Faradėjaus dėkle ar metalinėje dėžutėje, kad būtų blokuojamas signalas.
• Jei automobilis leidžia, išjunkite „keyless“ funkciją meniu.
• Namie nepalikite raktelių prie durų ar langų – kuo toliau nuo išorės, tuo geriau.

3. Atsargiai su mobiliosiomis programėlėmis

• Atsisiųskite tik oficialias gamintojo programėles iš patikimų parduotuvių (Google Play, App Store).
• Naudokite stiprius, unikalius slaptažodžius ir, jei įmanoma, dvejopo faktoriaus autentifikaciją.
• Jei parduodate automobilį, būtinai atsijunkite nuo paskyros ir ištrinkite automobilį iš programėlės.

4. Saugus prijungtų įrenginių naudojimas

• Nepalikite automobilyje prijungtų neaiškios kilmės OBD-II adapterių.
• Venkite jungti USB laikmenas, kurių kilmės nesate tikri.
• Viešose vietose išjunkite nereikalingus ryšius (Wi‑Fi hotspot, Bluetooth), jei jais nesinaudojate.

5. Privatumo nustatymai ir duomenų valdymas

• Patikrinkite automobilio privatumo nustatymus – kartais galima apriboti duomenų siuntimą gamintojui.
• Reguliariai trinkite sinchronizuotus kontaktus ir navigacijos istoriją.
• Jei nuomojatės automobilį ar naudojatės dalijimosi paslauga, po kelionės atsijunkite nuo savo paskyrų (Spotify, Google, Apple ir kt.).

Elektriniai ir autonominiai automobiliai: dar didesni saugumo iššūkiai

Elektromobiliai ir autonominiai automobiliai dar labiau priklauso nuo programinės įrangos ir ryšio su debesijos paslaugomis. Todėl jų kibernetinis saugumas – dvigubai svarbus.

EV specifinės grėsmės

• Atakos prieš akumuliatoriaus valdymo sistemas (BMS),
• įkrovimo seansų klastojimas ir apmokėjimo duomenų vagystė,
• nuotolinis įkrovimo galios valdymas, galintis perkrauti tinklą ar pakenkti baterijai.

Autonominio vairavimo rizikos

• Jutiklių (lidarų, kamerų, radarų) apgaulė,
• melagingi žemėlapių ar kelio infrastruktūros duomenys,
• algoritmų manipuliavimas, galintis paveikti sprendimų priėmimą.

Dėl to autonominių sistemų gamintojai vis dažniau taiko „defense in depth“ principą – kelių sluoksnių apsaugą, kur kiekvienas lygis nepriklausomai tikrina duomenų patikimumą.

Kaip atpažinti, kad automobilis galėjo būti nulaužtas?

Nors dauguma atakų lieka nematomos, yra ženklų, į kuriuos verta atkreipti dėmesį:

• durys atrakintos, nors esate tikri, kad jas užrakinote,
• keičiasi nustatymai (sėdynės, veidrodėliai, klimato kontrolė) be jūsų įsikišimo,
• multimedijos sistema dažnai persikrauna ar elgiasi neįprastai,
• nepaaiškinamai greitai eikvojamas akumuliatorius,
• programėlėje matote keliones ar veiksmus, kurių neatlikote.

Pastebėję tokius simptomus, kreipkitės į autorizuotą servisą, patikrinkite paskyrų prisijungimus ir, jei reikia, pasikeiskite slaptažodžius bei atjunkite nereikalingas integracijas.

Automobilių kibernetinis saugumas – bendra atsakomybė

Automobilių kibernetinis saugumas – nebe nišinė tema, o kasdienė realybė. Gamintojai turi kurti saugesnę architektūrą ir greitai taisyti spragas, reguliuotojai – nustatyti aiškias taisykles, o vairuotojai – sąmoningai rūpintis skaitmenine savo transporto priemonės higiena.

Kuo anksčiau priimsime mintį, kad automobilis yra toks pat skaitmeninis įrenginys kaip telefonas ar kompiuteris, tuo mažiau nemalonių staigmenų mūsų lauks ateities keliuose.

DUK: automobilių kibernetinis saugumas

Ar tik nauji automobiliai pažeidžiami kibernetinėms atakoms?

Ne. Nors nauji modeliai turi daugiau ryšio modulių ir funkcijų, senesni automobiliai taip pat gali būti pažeidžiami – ypač jei į juos montuojami neaiškios kilmės OBD-II įrenginiai, GPS sekimo sistemos ar papildomi signalizacijos moduliai. Skiriasi tik atakos būdai ir tikėtinas poveikis.

Ar verta išjungti interneto ryšį automobilyje dėl saugumo?

Jei neturite poreikio nuotolinėms funkcijoms (programėlei, realaus laiko eismo duomenims, OTA atnaujinimams), interneto ryšio išjungimas sumažina atakos paviršių. Tačiau kartu neteksite ir saugumo pataisų per orą, todėl geriausia – išlaikyti balansą ir naudoti oficialius, laiku diegiamus atnaujinimus.

Ką daryti, jei įtariu, kad mano automobilio paskyra nulaužta?

Pirmiausia nedelsdami pakeiskite paskyros slaptažodį ir, jei įmanoma, įjunkite dviejų faktorių autentifikaciją. Tada patikrinkite prijungtus įrenginius ir atjunkite nepažįstamus. Kreipkitės į gamintojo klientų aptarnavimą ir paprašykite peržiūrėti neįprastą veiklą. Jei matote realios vagystės ar saugumo grėsmę, informuokite ir policiją.