Aracınızın eğlence sistemi, frenlerine ulaşmanın bir yolu olabilir mi? Bu soru, güvenlik araştırmacılarının 2015'te bir Jeep Cherokee'de ortaya koyduğu bir ihtimal. O dönemde araştırmacılar, aracın araç içi eğlence sistemini uzaktan kontrol ederek sürüş fonksiyonlarına müdahale edebildiklerini göstermişti. Fiat Chrysler, bu zafiyeti gidermek için yaklaşık 1.4 milyon aracı kapsayan bir geri çağırma kampanyası başlatarak bir yazılım güncellemesi yayınlamıştı.
Bu saldırı, aracın içine entegre edilmiş bir sistemi hedef alıyordu. Ancak son yapılan bir çalışma, araçlarla bağlantılı uygulamalar ve çevrimiçi hizmetler de dahil olmak üzere daha geniş bir ağı mercek altına aldı.
İsveç'teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesi'nden araştırmacılar, daha önce raporlanmış 413 otomotiv yazılımı açığını analiz etti. Bu açıkların %36.2'sini harici uygulamalar oluşturuyordu. Araştırmanın Software Quality Journal'da yayınlanan sonuçları, önceki araştırmalara kıyasla harici olarak bağlı yazılımlara doğru belirgin bir kayma olduğunu da ortaya koydu.
Her iki kurumda da görev yapan yazılım mühendisliği araştırmacısı Srijita Basu, "Vurgulanması gereken nokta, sıradan çevrimiçi hizmetlerde yaygın olarak kullanılan teknolojilerin artık otomotiv güvenliği alanının bir parçası olması," şeklinde konuştu. Bu geniş ağ, mobil ve web uygulamalarını, ayrıca verileri uzak bilgisayarlarda saklayan veya işleyen bulut hizmetlerini de kapsıyor.
Basu'ya göre, bir araçla bağlantılı uygulamalar ve bulut hizmetleri, aracın gittiği yerler, nasıl kullanıldığı ve bazen de sahibine dair bilgileri saklayabiliyor. Yetersiz güvenlik önlemleri, bu verilere dışarıdan erişilmesine yol açabilir. Sonuçlar, araç içindeki bağlantılara da bağlı olarak değişebiliyor. Basu, eğlence ve telematik sistemlerinin (araçla ilgili verileri kaydedip ileten yazılımlar) diğer araç bileşenleriyle veri alışverişi yapabileceğini belirtti.
Basu, "Bir zafiyet istismar edilirse ve bu sistemler ile güvenliği kritik fonksiyonlar arasındaki güvenlik sınırları yetersizse, bir saldırgan başlangıç bileşeninin ötesine geçebilir," uyarısında bulundu. Zafiyetlerin nerede yoğunlaştığını incelemek için araştırmacılar, Ocak 2022 ile Eylül 2024 arasındaki otomotivle ilgili kayıtları ABD Ulusal Güvenlik Açığı Veritabanı'ndan topladı ve ek güvenlik kaynaklarıyla karşılaştırdı.
Bulgular, yazılımdan etkilenen alan, ciddiyet ve yazılım geliştirme sırasında kaynaklandığı yerlere göre kategorize edildi. Araştırmacılar, bulgularını 2010-2019 dönemini kapsayan önceki araştırmalarla karşılaştırdığında, harici yazılımlarla ilgili açıkların oranında bir artış olduğunu gözlemledi.
Ekip, açıkların otomotiv yazılımlarına girme yollarından birini de inceledi: Kütüphaneler. Bunlar, geliştiricilerin her fonksiyonu kendileri yazmadan görevleri yerine getirmek için kullandığı hazır kod bileşenleri. Beş tarama aracı kullanarak, otomotiv yazılımlarında veya geliştirilmesinde kullanılan 20 açık kaynak projesini inceleyen araştırmacılar, bu ayrı incelemede 827 güvensiz kütüphane tespit etti. Raporda, projeler arasında paylaşılan kütüphaneler de belirtildi. Bu durum, bir projede bulunan zayıflığın, geniş çapta kullanılan bir bileşen olması halinde birden fazla sistemi etkileyebileceği anlamına geliyor.
Basu, üreticilerin yazılımlarında hangi bileşenlerin bulunduğunu bilmeleri, diğer geliştiricilerden alınan kütüphaneleri düzenli olarak taramaları, yeni bildirilen zafiyetleri takip etmeleri ve düzeltmeleri uygulamak için bir planları olması gerektiğini öneriyor. Analizler, en büyük zafiyet grubunun kod yazma aşamasıyla ilişkili olduğunu gösterdi. Bunu tasarım aşaması izledi.
Basu, "Güvenlik, en başından itibaren yerleştirilmeli ve bir aracın kullanım ömrü boyunca test edilmelidir," dedi. Önerileri arasında, sürüş sistemlerini eğlence ve harici olarak bağlı bileşenlerden ayırmak yer alıyor. Böylece bir bileşendeki ihlal, otomatik olarak sürüş fonksiyonlarına ulaşamaz.
Basu, bu bulguların her raporlanan zafiyetin uzaktan istismar edilebileceği veya sürüş kontrollerine erişim sağladığı anlamına gelmediğini vurguladı. Araştırmanın, hangi araçların ne ölçüde hacklenebileceğini de belirleyemediğini ekledi. Araştırma dönemiyle ilgili otomotivle ilgili yalnızca 17 zafiyet, ABD siber güvenlik ajansının istismar edildiği bilinen açıklar kataloğunda yer aldı ve veri setindeki çoğu, ekibin kontrol ettiği istismar kaynaklarında bulunamadı. Rapor, incelenen 20 projenin tüm sektörü temsil etmeyebileceğini de belirtiyor.
Araç sahipleri için Basu, yazılımları güncel tutmayı, bağlı araç hesapları için yalnızca güçlü parolalar kullanmayı, bağlantılı telefon uygulamalarını güvence altına almayı ve hangi hizmetlerin konum ve kişisel detaylara erişim iznine sahip olduğunu kontrol etmeyi önerdi. Ancak Basu, "Yazılım zafiyetlerini önleme ve kontrol etme konusundaki asıl sorumluluk üreticiler ve tedarikçilerine aittir," diye ekledi.
Kaynakça: sciencealert.com
