خودروهای امروزی فقط مجموعه‌ای از قطعات مکانیکی و سامانه‌های الکترونیکی داخلی نیستند؛ آن‌ها از طریق اپلیکیشن‌های موبایل، سرویس‌های ابری و شبکه‌های ارتباطی با دنیای بیرون در ارتباط‌اند. پژوهشی تازه نشان می‌دهد همین ارتباطات، در کنار امکاناتی که برای رانندگان فراهم می‌کنند، به یکی از مهم‌ترین مسیرهای احتمالی حملات سایبری علیه خودروها تبدیل شده‌اند.
پژوهشگران دانشگاه گوتنبرگ و دانشگاه فناوری چالمرز در سوئد با بررسی صدها آسیب‌پذیری نرم‌افزاری گزارش‌شده در صنعت خودرو، به این نتیجه رسیده‌اند که بخش قابل‌توجهی از مشکلات امنیتی دیگر در نرم‌افزارهای داخلی خودرو قرار ندارند و به برنامه‌ها و سرویس‌هایی مربوط می‌شوند که از بیرون با آن ارتباط برقرار می‌کنند.
اپلیکیشن‌ها و سرویس‌های ابری؛ مسیر تازه نفوذ به خودروها
محققان در این مطالعه ۴۱۳ آسیب‌پذیری نرم‌افزاری مرتبط با خودروها را بررسی کردند که بین ژانویه ۲۰۲۲ تا سپتامبر ۲۰۲۴ گزارش شده بودند. نتایج نشان داد اپلیکیشن‌های خارجی، از جمله برنامه‌های موبایل و وب، با سهم ۳۶٫۲ درصدی بزرگ‌ترین گروه آسیب‌پذیری‌ها را تشکیل می‌دهند.
پس از آن، سیستم‌های مرتبط با تراشه‌ها و نرم‌افزارهای تعبیه‌شده با سهم ۲۳٫۵ درصدی قرار دارند. سامانه‌های تلماتیک، یعنی بخش‌هایی که اطلاعات مربوط به عملکرد و وضعیت خودرو را ثبت و منتقل می‌کنند، نیز ۱۴٫۸ درصد از آسیب‌پذیری‌های بررسی‌شده را به خود اختصاص داده‌اند.
این آمار از تغییر الگوی تهدیدهای امنیتی خودروها حکایت دارد. در گذشته، بخش عمده مشکلات در سامانه‌های داخلی خودرو متمرکز بود؛ اما اکنون ارتباط خودرو با اپلیکیشن‌ها و زیرساخت‌های آنلاین، سطح حمله احتمالی را گسترش داده است.
هک اپلیکیشن خودرو فقط به سرقت اطلاعات محدود نمی‌شود
اپلیکیشن‌ها و سرویس‌های ابری متصل به خودرو ممکن است اطلاعاتی مانند موقعیت مکانی، مسیرهای طی‌شده، الگوی استفاده از خودرو و برخی داده‌های شخصی مالک را ذخیره کنند. اگر این سرویس‌ها به‌درستی ایمن‌سازی نشده باشند، مهاجمان می‌توانند به اطلاعاتی دسترسی پیدا کنند که حریم خصوصی راننده را به خطر می‌اندازد.
بااین‌حال، خطر احتمالی به افشای اطلاعات محدود نمی‌شود. برخی سامانه‌های خودرو، از جمله سیستم سرگرمی و بخش تلماتیک، با دیگر اجزای الکترونیکی ارتباط دارند. اگر مرزهای امنیتی میان این بخش‌ها به‌درستی طراحی نشده باشد، نفوذ به یک سامانه ممکن است مسیر دسترسی به قسمت‌های حساس‌تر خودرو را هموار کند.
نمونه شناخته‌شده این خطر در سال ۲۰۱۵ آشکار شد؛ زمانی که پژوهشگران امنیتی توانستند از طریق سیستم سرگرمی یک جیپ گرند چروکی به بخش‌هایی از سامانه خودرو دسترسی پیدا کنند و عملکرد ترمز، فرمان و شتاب‌دهنده را تحت تأثیر قرار دهند. در پی این اتفاق، شرکت فیات کرایسلر برای حدود ۱٫۴ میلیون خودرو در آمریکا فراخوان نرم‌افزاری صادر کرد.
البته پژوهش جدید به این معنا نیست که تمام آسیب‌پذیری‌های شناسایی‌شده امکان کنترل از راه دور خودرو را فراهم می‌کنند. محققان نیز تأکید کرده‌اند که داده‌های بررسی‌شده نشان نمی‌دهند چه تعداد خودرو واقعاً در معرض چنین حملاتی قرار دارند.
کتابخانه‌های نرم‌افزاری آسیب‌پذیر، تهدیدی فراتر از یک خودرو
بخش دیگری از تحقیق به کتابخانه‌های نرم‌افزاری اختصاص دارد؛ اجزای آماده‌ای که توسعه‌دهندگان برای پیاده‌سازی قابلیت‌های مختلف در نرم‌افزار خود از آن‌ها استفاده می‌کنند. این کتابخانه‌ها می‌توانند در پروژه‌های متعدد به کار گرفته شوند و وجود یک نقص امنیتی در آن‌ها، چندین محصول را به‌طور هم‌زمان تحت تأثیر قرار دهد.
پژوهشگران با استفاده از پنج ابزار اسکن امنیتی، ۲۰ پروژه متن‌باز مرتبط با صنعت خودرو یا توسعه نرم‌افزارهای آن را بررسی کردند. در این بررسی، ۸۲۷ کتابخانه آسیب‌پذیر شناسایی شد.
اهمیت این موضوع در آن است که یک ضعف امنیتی ممکن است پیش از نصب نرم‌افزار روی خودرو و حتی در مراحل توسعه محصول وارد زنجیره نرم‌افزاری آن شده باشد. بنابراین، خودروسازان تنها با بررسی کدهای اختصاصی خود نمی‌توانند از امنیت کامل محصولاتشان مطمئن شوند.
خودروسازان و رانندگان چگونه می‌توانند خطر را کاهش دهند؟
پژوهشگران توصیه می‌کنند شرکت‌های خودروسازی از همان مراحل ابتدایی طراحی، امنیت سایبری را در ساختار نرم‌افزارها لحاظ کنند. بررسی مداوم کتابخانه‌های مورد استفاده، شناسایی آسیب‌پذیری‌های تازه و انتشار به‌موقع به‌روزرسانی‌های امنیتی نیز از اقداماتی است که می‌تواند احتمال نفوذ را کاهش دهد.
یکی از پیشنهادهای مهم، جداسازی سخت‌گیرانه سامانه‌های مرتبط با رانندگی از بخش‌های سرگرمی و ارتباطی خودرو است. به این ترتیب، نفوذ احتمالی به سیستم چندرسانه‌ای یا یک اپلیکیشن متصل نباید به‌صورت خودکار دسترسی به عملکردهای حیاتی خودرو را ممکن کند.
رانندگان نیز می‌توانند با به‌روزرسانی منظم نرم‌افزار خودرو و اپلیکیشن‌های متصل، استفاده از گذرواژه‌های قوی و منحصربه‌فرد و بررسی مجوز دسترسی برنامه‌ها به اطلاعات شخصی و موقعیت مکانی، بخشی از خطر را کاهش دهند.
بااین‌حال، مسئولیت اصلی ایمن‌سازی زیرساخت‌های نرم‌افزاری بر عهده خودروسازان و تأمین‌کنندگان آن‌هاست. افزایش قابلیت‌های متصل در خودروهای جدید، بدون توجه هم‌زمان به امنیت این ارتباطات، می‌تواند امکانات رفاهی را به مسیرهای تازه‌ای برای حملات سایبری تبدیل کند.
این پژوهش در نشریه علمی Software Quality Journal منتشر شده است.
منبع:
-
ScienceAlert
