Старший брат следит за тобой. Как защитить себя в цифровом мире - [177]
Примечание. Уязвимости обнаруживаются не только в интерфейсах в самом автомобиле, но и в связанных с ними приложениях и на сайтах, предназначенных для управления машиной. Например, в 2016 г. были обнаружены две опасные бреши на портале ConnectedDrive, позволяющем удаленно управлять автомобилями марки BMW. В роли идентификатора пользователя на сайте используется VIN-номер автомобиля, и злоумышленник, узнав его, может изменить настройки в машине с соответствующим VIN-номером. Хакер может заблокировать и разблокировать авто, получить доступ к электронной почте жертвы, перехватить информацию о трафике и маршрутах в реальном времени, управлять системой климат-контроля, освещением и сигнализацией и т. п. Вторая проблема допускает XSS– и CSRF-атаки с последующей кражей персональных данных[1201].
Схожие проблемы выявили исследователи с факультета компьютерных наук и инженерии Университета Калифорнии в Сан-Диего. Они обнаружили в модулях управления телематикой (TCU, Telematics Control Unit) C4E французской компании Mobile Devices уязвимости, с помощью которых сумели получить локальный доступ к системе через USB-порт устройства; удаленный доступ через сотовую систему передачи данных, используемую для соединения с интернетом, и даже доступ через SMS-интерфейс. В итоге фактически удалось перехватить управление автомобилем, включить стеклоочистители и даже заблокировать тормоза, управляя процессом с помощью SMS-сообщений[1202].
Аналогичные бреши выявлены[1203] и в модулях TCU производства компании Continental AG, установленных в некоторых моделях автомобилей марок BMW, Ford, Infiniti и Nissan 2009–2016 гг. выпуска[1204].
Подключенные автомобили
Подключенными автомобилями, или connected cars, можно считать транспортные средства, обменивающиеся данными с другими автомобилями или удаленными (сетевыми) программами и службами, например автопроизводителей. К таким сервисам можно отнести внедренные в программное обеспечение автомобиля службы навигации и загрузки дорог, а также дистанционного управления, например запуска двигателя[1205].
Среди исследований[1206] о системах безопасности автомобилей следует отметить работу уже упоминавшейся лаборатории Keen китайской телекоммуникационной компании Tencent, продолжавшуюся с января 2017 г. по февраль 2018-го. Результаты показали, что в автомобилях BMW серий i, X, 3, 5 и 7 14 уязвимостей. Специалисты получили локальный и удаленный доступ к информационным системам и CAN-шинам современных моделей этой марки.
Современные автомобили, чаще из премиум-сегмента, напичканы электроникой, формирующей настоящие локальные сети из электронных блоков управления (ECU-модулей), подключенных к интернету. Каждый из этих модулей выполняет свою часть работы – управляет стеклоподъемниками, следит за давлением воздуха в шинах, блокирует двери и работает под управлением специального программного обеспечения. По оценкам экспертов, 98 % всех протестированных программных приложений в автомобилях (а они обеспечивают до 90 % всех инноваций) имеют серьезные дефекты. По мнению Алексея Лукацкого, специалиста в области информационной безопасности и бизнес-консультанта компании Cisco, в некоторых таких приложениях их десятки[1207]. В современных автомобилях все чаще применяются методы автоматического управления. Это позволяет машинам взаимодействовать с «умными» дорогами (речь идет о таких проектах, как EVITA, сеть VANET, simTD[1208]). Благодаря развитию технологий автомобиль может без участия человека выстраивать наименее загруженные маршруты, самостоятельно парковаться, снижать скорость в случае опасности и т. п. Все виды взаимодействия «умного» автомобиля с дорогами и работа с информацией о маршрутах и пробках происходят в практически незащищенном режиме, позволяя злоумышленникам или спецслужбам перехватывать и изменять информацию. Те могут захватить управление автомобилем и спровоцировать ДТП (в том числе и массовые, например с целью террористических атак), изменить маршрут и направить машину в любое место, заблокировать геолокационную информацию (пресекая попытки определить местонахождение автомобиля в случае угона) и сделать многое другое. Такие атаки могут вестись непосредственно, с использованием физического доступа к интерфейсам автомобиля, например через скомпрометированные внешние устройства или измененные прошивки и диагностические инструменты, либо без прямого доступа: через интерфейсы NFC, Wi-Fi или Bluetooth – или через интернет.
КЕЙС Согласно документам, опубликованным на сайте WikiLeaks[1209], ЦРУ рассматривало уязвимости систем управления в легковых и грузовых автомобилях, в частности в платформе QNX, активно используемой не только в так называемых подключенных (connected) и беспилотных автомобилях, но и в роботизированной, медицинской и прочей технике
