Исследование, проведённое в Швеции двумя университетами — Гётеборгским и Технологическим университетом Чалмера — подчёркивает, что более широкий набор цепочек взаимодействия в современных автомобилях может создавать новые отверстия для проникновения: помимо исправной начинки внутри машины, к угрозам добавляются внешние приложения и облачные сервисы, связанные с автомобилем. Ранее в 2015 году уже демонстрировали, что развязка между развлекательной системой и тормозами может быть установлена удалённо на примере Jeep Cherokee; теперь авторы работы смотрят на более широкий контекст и фиксируют, что технологии, широко применяемые в онлайн-сервисах, становятся частью автомобильной кибербезопасности. Эти выводы цитируются как часть обзора в Software Quality Journal, и подчёркнуто, что технология может выходить за рамки одной внутренней системы автомобиля.

В исследовании анализировали 413 ранее сообщённых уязвимостей в автомобильном ПО и признавали, что наибольший объём приходится на внешнее ПО. Также отмечено, что в сравнении с ранними исследованиями происходит сдвиг в сторону большей роли внешне подключённых программ — к такому выводу приводят данные об уязвимостях, связанных с доступом к приложениям и облачным сервисам, а не только к «железу» внутри машины.

Уральные и светские данные также указывают на то, что киберугрозы могут распространяться через связанный с автомобилем набор сервисов: мобильные и веб-приложения, облачный сервис, где хранится или обрабатывается информация о маршрутах, использовании машины и иногда данные о владельце. В таких случаях слабая защита может позволить сторонним получить доступ к данным, а последствия зависят от того, какие внутренние компоненты автомобиля контактируют с внешними сервисами: развлекательная система и телематические модули обмениваются данными с другими компонентами авто, что может увеличить риск перехода атаки к критически важным функциям.

По словам социоинженера Сриджиты Басу, если уязвимость эксплуатируется и границы безопасности между системами и безопасностью движущих функций недостаточно жёстко разделены, злоумышленник может потенциально выйти за пределы исходного компонента. Исследование подчёркивает необходимость структурного разделения систем: отдельно — водителя, развлечений и внешне подключённых компонентов, чтобы нарушение одной области не автоматически затрагивало управляемые функции.

Чтобы понять, где сосредоточены слабые места, авторы собрали записи об уязвимостях автомобильного ПО за период с января 2022 года по сентябрь 2024 года из Национальной базы уязвимостей США и сопоставили данные с дополнительными источниками безопасности. Их методика учитывала характеристики ПО, степень серьёзности и происхождение ошибок в процессе разработки.

Исследование также рассмотрело другой путь попадания ошибок в ПО автомобилей: готовые библиотечные компоненты, которые производители используют для упрощения задач без написания каждой функции заново. В рамках пятимерного сканирования было исследовано 20 открытых проектов, связанных с автомобильным ПО, и выявлено 827 уязвимых библиотек, а также обнаружено, что некоторые библиотеки используются повторно в нескольких проектах, из-за чего слабость в одном компоненте может затронуть сразу несколько систем.

Басу призывает производителей знать, какие компоненты входят в их ПО, регулярно сканировать библиотеки на предмет известных ошибок и оперативно исправлять выявленные проблемы. Она подчёркивает, что выводы не означают, будто каждая найденная уязвимость можно удалённо эксплуатировать или что все автомобили можно взломать, и что сам объём данных об эксплуатации в открытых источниках не всегда однозначен.

Чтобы оборона работала надёжнее, авторы подчёркивают, что построение кибербезопасности должно идти с нуля — «от начала и до конца» — и включать разделение систем управления и развлечений, а также внешне подключённых компонентов. В публикации также указано, что около 17 уязвимостей, связанных с автомобилями, из исследовательского периода попали в каталоги в США как случаи эксплуатации, и что приведённые данные не охватывают весь сектор индустрии.

Глава рекомендаций для собственников сводится к обновлению ПО, использованию надёжных паролей, применяемых только для подключённых-car аккаунтов, усилению безопасности приложений на телефоне и контролю за тем, какие сервисы имеют доступ к геолокации и персональным данным. В финале подчёркнуто: основная ответственность за предотвращение и ликвидацию уязвимостей лежит на производителей и их поставщиках.

Статья опубликована в Software Quality Journal. Редакционная редакция и факт-чек выполнены, как и следует, и если читатель заметит ошибку, просьба сообщить. Об этом говорится в заключительной заметке материала.