Компания Trend Micro Incorporated представила результаты нового крупного исследования безопасности подключённых автомобилей — технологии, которая является частью интернета вещей. В исследовании Cyber Security Risks of Connected Cars («Риски кибербезопасности для подключённых автомобилей») описано несколько сценариев, в которых водители могут столкнуться с атаками, угрожающими их безопасности и безопасности окружающих.
Чтобы оценить риски кибербезопасности исследователи Trend Micro изучили уже осуществлённые попытки атак. За последние годы было опубликовано множество работ на эту тему, но основное внимание компания уделила проведённым удалённо атакам, в результате которых был взломан как минимум один электронный блок управления в автомобиле. В частности, компания использовала четыре хорошо изученных случая:
1. В 2015 году злоумышленники обнаружили лёгкий способ отправлять команды на автомобили Jeep американского производителя Chrysler при помощи технологии Telnet через незащищённый порт. Это привело к отзыву 1,4 миллиона машин.
2. В 2016 году стало известно о возможности вмешаться в работу компьютерной системы автомобиля Tesla Model S. Обнаружили это эксперты лаборатории Tencent Keen Security Lab, благодаря работе которых производитель исправил ошибки.
3. Спустя год, в 2017 году, ситуация повторилась уже с двумя моделями Tesla: Model S и Model X. Производитель вновь исправил ошибки, обнаруженные сотрудниками Tencent Keen Security Lab.
4. В 2018 году Tencent Keen Security Lab удалось успешно атаковать подключённые автомобили BMW.
В докладе раскрывается масштаб изученных рисков кибербезопасности. Исследователи оценили 29 реальных сценариев атаки согласно модели угроз DREAD, которая позволяет провести качественный анализ рисков. Такие атаки могут удалённо осуществляться против транспортных средств-жертв и/или из них. Вот несколько примеров:
- DDoS-атаки на интеллектуальные транспортные системы (ИТС) могут нарушить связь с автомобилями, и риск этого очень высок;
- открытые и уязвимые подключённые автомобильные системы легко обнаружить, что повышает риск злоупотреблений;
- более 17% всех исследованных векторов атак относились к группе высокого риска: они требуют лишь ограниченного понимания технологии подключённых автомобилей и могут быть выполнены даже злоумышленником с низкой квалификацией.
«Наше исследование показывает, что у злоумышленников есть широкие возможности для злоупотребления технологией подключённых автомобилей, — говорит Райнер Фосселер (Rainer Vosseler), менеджер по исследованию угроз компании Trend Micro. — К счастью, сейчас возможности для атак ограничены, а преступники не нашли надёжных способов их монетизировать. C недавним появлением новых регламентов ООН, предписывающих, чтобы все подключённые автомобили имели встроенные решения для кибербезопасности, а также с подготовкой нового стандарта ISO сегодня настало время для заинтересованных сторон в отрасли обеспечить лучшее выявление и устранение киберрисков, поскольку уже приближается будущее, в котором подключённые и автономные автомобили будут встречаться повсеместно».
По прогнозам, в период с 2018 по 2022 год по всему миру будет поставлено более 125 миллионов легковых автомобилей со встроенными возможностями для подключения к интернету, а также продолжит развиваться направление полностью автономных транспортных средств. Подобный прогресс приведёт к появлению сложной экосистемы, которая будет включать облачные решения, интернет вещей, 5G и другие ключевые технологии. Значительно увеличится и поверхность атаки, которая потенциально будет состоять из миллионов конечных точек и конечных пользователей.
По мере развития отрасли появятся многочисленные возможности для монетизации и саботажа для киберпреступников, хактивистов, террористов, национальных государств, инсайдеров и даже недобросовестных операторов, предупреждает отчёт. Во всех 29 исследованных векторах атак общий риск успешности кибератак был оценен как средний. Однако по мере того, как приложения SaaS встраиваются в электрическую/электронную архитектуру транспортных средств, а киберпреступники создают новые стратегии монетизации, риски могут значительно возрасти.
Чтобы снизить риски, описанные в исследовании, система безопасности подключённых автомобилей должна охватывать все критические области для защиты сквозной цепочки поставки данных. Компания Trend Micro предлагает такие общие рекомендации по защите подключённых автомобилей:
