Bezpieczeństwo w motoryzacji (automotive cybersecurity): Jak chronić nowoczesne, połączone pojazdy?

Nowoczesny samochód ma więcej linijek kodu niż myśliwiec F-35. Składa się z ponad stu elektronicznych jednostek sterujących (ECU), które zarządzają wszystkim, od pracy silnika i hamulców, po klimatyzację i system multimedialny. Jest on wyposażony w cały arsenał czujników, radarów i kamer, a dzięki wbudowanym modemom komórkowym, ma stałe połączenie z internetem. Pojazd przestał być urządzeniem czysto mechanicznym. Stał się zaawansowanym, jeżdżącym centrum danych – skomplikowanym „komputerem na kołach”. Ta cyfrowa transformacja, choć napędza rewolucję w dziedzinie autonomicznej jazdy i usług online, jednocześnie otworzyła puszkę Pandory z zupełnie nową klasą zagrożeń.

Cyberbezpieczeństwo w motoryzacji (automotive cybersecurity) przestało być teoretycznym problemem, a stało się jednym z największych wyzwań dla całej branży. Możliwość zdalnego przejęcia kontroli nad hamulcami, układem kierowniczym czy pracą silnika, zademonstrowana przez badaczy bezpieczeństwa już wiele lat temu, uświadomiła wszystkim, że stawka w tej grze jest bezprecedensowa. Nie chodzi już tylko o kradzież danych czy pieniędzy. Chodzi o fizyczne bezpieczeństwo, zdrowie i życie kierowców, pasażerów i innych uczestników ruchu drogowego.

Dlaczego nowoczesny samochód stał się „komputerem na kołach” i celem dla hakerów?

Ewolucja samochodu jest odzwierciedleniem ewolucji całej technologii. Każda nowa funkcja – od systemu ABS, przez nawigację, aż po asystentów parkowania i adaptacyjny tempomat – wymagała dodania kolejnej elektronicznej jednostki sterującej (ECU) i kolejnych tysięcy linijek kodu. Wszystkie te rozproszone „mózgi” muszą się ze sobą komunikować, tworząc skomplikowaną sieć wewnętrzną, najczęściej opartą na magistrali CAN.

Jednocześnie, oczekiwania klientów wymusiły na producentach podłączenie tej wewnętrznej, zamkniętej sieci do świata zewnętrznego. Systemy infotainment muszą mieć dostęp do internetu, aby pobierać mapy i muzykę. Aplikacje mobilne pozwalają na zdalne uruchomienie klimatyzacji czy sprawdzenie stanu naładowania baterii. Aktualizacje oprogramowania (OTA – Over-the-Air) są wysyłane bezpośrednio do pojazdu.

Każdy z tych punktów styku ze światem zewnętrznym – modem komórkowy, moduł Bluetooth, Wi-Fi, a nawet port USB – staje się potencjalnym wektorem ataku. Haker, który znajdzie lukę w jednym z tych interfejsów, może uzyskać pierwszy przyczółek, a następnie spróbować przedostać się do wewnętrznej sieci pojazdu i wpłynąć na działanie krytycznych komponentów.

Jakie są kluczowe wektory ataków na pojazdy połączone z siecią (connected cars)?

Powierzchnia ataku nowoczesnego pojazdu jest ogromna i obejmuje zarówno ataki zdalne, jak i te wymagające fizycznej bliskości.

Ataki zdalne:

• Kompromitacja systemów telematycznych i infotainment: To najczęstszy wektor. Podatności w systemie multimedialnym, jego przeglądarce internetowej lub w aplikacjach firm trzecich mogą pozwolić na zdalne wykonanie kodu.
• Ataki na infrastrukturę backendową producenta: Hakerzy mogą zaatakować serwery producenta, z którymi komunikują się samochody, aby masowo wysłać do całej floty złośliwą aktualizację oprogramowania.
• Ataki na aplikacje mobilne: Podatności w aplikacji mobilnej służącej do zdalnego zarządzania pojazdem mogą pozwolić na przejęcie kontroli nad funkcjami takimi jak otwieranie drzwi czy uruchamianie silnika.

Ataki lokalne / z bliskiej odległości:

• Ataki na interfejsy bezprzewodowe: Podatności w implementacji protokołów Bluetooth czy Wi-Fi mogą zostać wykorzystane do ataku, gdy atakujący znajduje się w pobliżu pojazdu.
• Kradzież „na walizkę” (relay attack): Atak na systemy dostępu bezkluczykowego.
• Ataki na porty fizyczne: Podłączenie złośliwego urządzenia do portu diagnostycznego OBD-II lub portu USB.

Na czym polega atak „na walizkę” (relay attack) i jak działa w systemach bezkluczykowych?

Atak „na walizkę” to jedna z najpopularniejszych i najbardziej medialnych metod kradzieży nowoczesnych samochodów, która w brutalny sposób wykorzystuje sposób działania systemów dostępu bezkluczykowego (keyless entry).

System ten opiera się na ciągłej, niskiej mocy komunikacji radiowej między kluczykiem a samochodem. Gdy właściciel, mając kluczyk w kieszeni, zbliża się do auta i pociąga za klamkę, samochód wysyła sygnał „czy jesteś w pobliżu?”. Kluczyk odbiera ten sygnał i odsyła odpowiedź, co pozwala na odblokowanie drzwi. Zasięg tej komunikacji jest celowo ograniczony do około jednego metra, aby uniemożliwić otwarcie auta z dużej odległości.

Atak „na walizkę” wymaga współpracy dwóch złodziei, wyposażonych w specjalne urządzenia (walizki), które działają jak wzmacniacze i przekaźniki sygnału radiowego.

1. Złodziej A podchodzi z jedną „walizką” jak najbliżej domu lub budynku, w którym znajduje się właściciel z oryginalnym kluczykiem (np. staje pod oknem lub drzwiami wejściowymi). Jego urządzenie przechwytuje słaby sygnał emitowany przez kluczyk.
2. Sygnał ten jest wzmacniany i retransmitowany do złodzieja B, który stoi z drugą „walizką” tuż przy samochodzie.
3. Urządzenie złodzieja B „udaje” przed samochodem, że jest oryginalnym kluczykiem, przesyłając mu przechwycony i wzmocniony sygnał.
4. Samochód „myśli”, że kluczyk znajduje się tuż obok, i pozwala na otwarcie drzwi i uruchomienie silnika.

Obrona przed tym atakiem polega na stosowaniu przez producentów kluczyków z czujnikami ruchu (które wyłączają się, gdy kluczyk leży nieruchomo) oraz na przechowywaniu kluczyków w domu w specjalnych, ekranujących etui (tzw. klatkach Faradaya).

Czym jest magistrala CAN i dlaczego jej kompromitacja jest tak niebezpieczna?

Magistrala CAN (Controller Area Network) to standard sieci komunikacyjnej, który od lat jest de facto systemem nerwowym każdego pojazdu. Jest to sieć, za pomocą której komunikują się ze sobą wszystkie elektroniczne jednostki sterujące (ECU) – od sterownika silnika, przez system ABS i poduszki powietrzne, aż po moduł sterujący radiem i klimatyzacją.

Z historycznych powodów, magistrala CAN została zaprojektowana z myślą o niezawodności i niskich kosztach, a nie o bezpieczeństwie. W swojej podstawowej formie, nie posiada ona żadnych mechanizmów uwierzytelniania ani szyfrowania. Oznacza to, że każde urządzenie podłączone do magistrali może „rozmawiać” z każdym innym i wysyłać dowolne polecenia. Panuje tu pełne, domyślne zaufanie.

Kompromitacja CAN jest tak niebezpieczna, ponieważ daje atakującemu bezpośredni dostęp do systemów krytycznych dla bezpieczeństwa jazdy. Atakujący, który uzyskał dostęp do sieci wewnętrznej (np. poprzez podatność w systemie infotainment), może zacząć wysyłać do magistrali CAN sfałszowane komunikaty, które udają polecenia z legalnych sterowników. Może w ten sposób wysłać polecenie „aktywuj hamulce”, „wyłącz silnik” lub „skręć kierownicą”, prowadząc do potencjalnie katastrofalnej w skutkach utraty kontroli nad pojazdem przez kierowcę. Zabezpieczenie i segmentacja magistrali CAN jest dziś jednym z największych wyzwań dla inżynierów.

Czym jest standard ISO/SAE 21434 i jaką rolę odgrywa w budowaniu bezpiecznych pojazdów?

W odpowiedzi na rosnące zagrożenia i presję regulatorów (zwłaszcza w Europie i Japonii), branża motoryzacyjna opracowała pierwszy, kompleksowy, międzynarodowy standard poświęcony w całości inżynierii cyberbezpieczeństwa dla pojazdów drogowych: ISO/SAE 21434 „Road vehicles — Cybersecurity engineering”.

Ten standard nie jest listą konkretnych, technicznych zabezpieczeń, które należy wdrożyć. Jest to standard procesowy, który definiuje ramy (framework) dla zarządzania ryzykiem w cyberbezpieczeństwie przez cały cykl życia pojazdu – od koncepcji, przez projektowanie i produkcję, aż po fazę eksploatacji i wycofania z użytku.

ISO/SAE 21434 wymaga od producentów i ich dostawców wdrożenia Systemu Zarządzania Cyberbezpieczeństwem (CSMS – Cybersecurity Management System). Wymusza on na organizacjach m.in.:

• Posiadanie formalnych polityk i procesów w zakresie cyberbezpieczeństwa.
• Przeprowadzanie analizy zagrożeń i oceny ryzyka (TARA – Threat Analysis and Risk Assessment) na każdym etapie projektu.
• Wdrażanie zasad „security by design”.
• Walidację i testowanie bezpieczeństwa produktów.
• Zarządzanie incydentami i podatnościami w produktach, które są już na rynku.

Standard ten staje się de facto obowiązkowy, ponieważ jest on kluczowym narzędziem do wykazania zgodności z nowymi, prawnie wiążącymi regulacjami, takimi jak UNECE WP.29.

W jaki sposób nFlo wspiera branżę motoryzacyjną w testowaniu i zabezpieczaniu produktów?

Branża motoryzacyjna (automotive) to unikalny ekosystem, w którym świat zaawansowanego oprogramowania spotyka się ze światem inżynierii mechanicznej i rygorystycznych wymogów bezpieczeństwa fizycznego. W nFlo posiadamy specjalistyczne kompetencje, które pozwalają nam wspierać producentów pojazdów i ich dostawców (Tier 1, Tier 2) w sprostaniu nowym wyzwaniom związanym z cyberbezpieczeństwem.