Jeszcze niedawno, mówiąc o zabezpieczaniu samochodu przed włamaniami, mieliśmy na myśli zamykanie okien, blokowanie drzwi, ukrywanie cennych rzeczy czy włączanie alarmu. Teraz, w nowoczesnej motoryzacji pojawiło się nowe zagrożenie, o którym wiele osób nie ma nawet pojęcia – hackowanie samochodów.
W dzisiejszym Świecie praktycznie każde urządzenie, które jest „smart” może zostać przejęte przez cyberprzestępców lub złamane za pomocą ataku hackerskiego. Dotyczy to również inteligentnych samochodów. Pojazdy produkowane dzisiaj są właściwie ogromnymi komputerami na kołach, podatnymi na bugi, wirusy, exploity, tak samo jak laptopy czy smartfony. Funkcje takie jak autopilot, kontrola pasa ruchu czy asystent parkowania są obarczone największym ryzykiem. ale nawet jak ich w aucie nie masz to i tak każdy samochód wyprodukowany w ciągu ostatnich kilku lat może być celem ataku hackerskiego.
W tym artykule opisaliśmy podstawowe słabości dzisiejszych nowoczesnych samochodów oraz metody zapobiegania atakom cyberprzestępców, a także działania, które powinniśmy wykonać post factum.
Najpierw trochę statystyki
Ilość ataków hackerskich na samochody w ciągu ostatnich kilku lat rośnie w zastraszającym tempie. O większości z nich jednak wcale nie wiadomo, gdyż właściciele aut nie są ich świadomi. Kiedy zauważą, że z samochodem dzieje się coś nie tak, zwykle oddają go do serwisu, a tam reinstalacja systemu i zamiatanie problemu pod dywan. Istnieją statystki z publicznie zgłaszanych incydentów zhackowania samochodów w USA. Przedstawiamy je poniżej.
Dzisiejsze samochody wyposażone są w liczne systemy i usługi czyniące je bardziej „smart”. Należy pamiętać, że każda usługa zdalnie połączona z pojazdem, jest potencjalnym wektorem ataku. Dodatkowo systemy takie jak dostęp bez kluczyka czy sensory działające z dużej odległości zawierają swoje podatności software’owe i sprzętowe – pisaliśmy o tym na przykładzie Tesli tutaj. Przy tym samym badaniu w USA, stworzono statystki najczęstszych wektorów ataku na inteligentne samochody.
Można się zastanowić, co zyskują cyberprzestępcy włamując się do systemów informatycznych samochodów, oczywiście oprócz satysfakcji. Przede wszystkim mają możliwość przejęcia zdalnej, nieautoryzowanej kontroli nad niektórymi funkcjami pojazdu. Jeśli części mechaniczne w samochodzie nie są odpowiednio odseparowane od systemów elektronicznych, to skutki takiej kontroli mogą być tragiczne. Oprócz tego w grę wchodzi kradzież pojazdu, kradzież prywatnych danych, śledzenie lokalizacji czy nawet fraudy.
Pokaz możliwości hackerów
Jednym z najbardziej spektakularnych incydentów zdalnego włamania się do systemu samochodowego i przejęcia kontroli było zaprezentowane na filmie z lipca 2015 roku hackowanie Jeep’a Cherokee. Za całą sprawę odpowiedzialni są specjaliści security Charlie Miller oraz Chris Valasek.
Wykorzystując swoje umiejętności hackerskie byli oni w stanie bez fizycznego dostępu do samochodu, włamać się do jego systemów elektronicznych i przejąć kontrolę nad systemem multimedialnym, klimatyzacją, sterowaniem, hamulcami oraz automatyczną skrzynią biegów! Wszystko to, używając Internetu i siedząc wygodnie ponad 15 kilometrów od samochodu.
Całość eksperymentu przedstawiono na filmie:
Zastanawiacie się jak to możliwe? Otóż para specjalistów zajmuje się hackowaniem różnego rodzaju pojazdów od lat i ma przygotowany do tego specjalny, własny programik, który wgrywa do systemu elektronicznego pojazdu i nim przełamuje zabezpieczenia i wykonuje komendy zrozumiałe przez pojazd. Do tej pory niezbędny był im fizyczny dostęp do samochodu i użycie na przykład pendrive. W przypadku Jeep’a znaleziono podatność pozwalającą na przeprowadzenie całego ataku zdalnie.
Autorzy tłumaczą, że problem niekoniecznie występuje (występował) tylko w koncernie Chrysler i w konkretnym modelu samochodu. Akurat w tym pojeździe został przez nich dokładnie przetestowany. Problem jest bardziej globalny i pojawił się, gdy producenci aut zaczęli projektować systemy elektroniczne i sieci komputerowe samochodów, tak aby działały na wzór dzisiejszych smartfonów i były ciągle podłączone do Internetu.
Badacze zabezpieczeń ocenili 24 samochody pod kątem 3 czynników, które determinują podatności na taki rodzaj zdalnego przejęcia kontroli:
- liczba i typ usług, które łączą się z Internetem
- czy komputer pokładowy jest odpowiednio odizolowany od krytycznych systemów jezdnych
- czy cyfrowe polecenia mogą wywoływać fizyczne akcje w pojeździe
Cała akcja z pokazem hackowania Jeep’a Cherokee miała swoje konsekwencje. Właściciel marki Jeep, czyli Fiat Chrysler Automobiles, został zmuszony do wycofania 1,4 miliona egzemplarzy pojazdu z rynku i przeprojektowaniu swojego systemu Infotainment.
Jak się chronić?
Od 2015 roku minęło trochę czasu i po tym niechlubnym incydencie, producenci aut z pewnością przykładają większą uwagę do cyberbezpieczeństwa nowych samochodów. Możemy założyć, że w 99% przypadków nic nam nie grozi, jeśli nie udostępnimy hackerowi dostępu do naszego pojazdu bezpośrednio. Chodzi na przykład o podpięcie urządzenia przez port USB czy przechwycenie sygnału naszego inteligentnego kluczyka (patrz artykuł z Teslą).
Jednak istnieje kilka metod i schematów postępowania, które pozwolą nam dodatkowo zabezpieczyć się przed włamaniem:
- Bądź w stałym kontakcie z producentem/dostawcą samochodu i na bieżąco wykonuj przeglądy diagnostyczne oraz aktualizuj oprogramowanie komputera pokładowego
- Wyłącz Bluetooth oraz Wi-Fi w swoim samochodzie, jeśli aktualnie z nich nie korzystasz
- Jeśli twój samochód wyposażony jest w zdalny kluczyk i system „keyless entry”, przechowuj go w zabezpieczonym pudełku/miejscu, które działa jak klatka faraday’a. Dzięki temu zapobiegniesz atakom takim jak przejęcie sygnału skanerami RFID czy zwiększenie amplitudy sygnału kluczyka leżącego bezpiecznie w domu
- Jeśli twój samochód wyposażony jest w moduł Wi-Fi i może udostępniać własną sieć, używaj skomplikowanego hasła i nie zostawiaj go zapisanego na kartce w środku
- Nie podłączaj niezaufanych urządzeń USB do portów w samochodzie
- Nie zapamiętuj adresu domowego w GPS w swoim samochodzie. Jeśli twój samochód zostanie skradziony, przestępca od razu pozna twoje miejsce zamieszkania. Często zdarza się, że w samochodzie znajduje się dodatkowo pilot/kod dostępu do garażu domowego, a wtedy kolejna katastrofa gotowa
- Korzystaj tylko z autoryzowanych serwisów, do których masz zaufanie. Nigdy nie wiesz, co zostanie zrobione z twoim autem u mechanika
- Nie używaj przeglądarki internetowej wbudowanej w system multimedialny. Zwykle nie są one odpowiednio zabezpieczone i zawierają wiele bugów. Nie pobieraj także nic z Internetu bezpośrednio do samochodu
- Jeśli twój samochód integruje się ze smartfonem, to jest to zdecydowanie dobra praktyka w celu poprawy poziomu bezpieczeństwa. Skonfiguruj powiadomienia push za każdym razem, gdy ktoś oprócz Ciebie otwiera samochód lub uruchamia silnik
Co zrobić, gdy podejrzewamy najgorsze?
Jeśli podejrzewamy, że nasz samochód został zhackowany, powinniśmy w kolejności:
- Wyłączyć silnik i odłączyć na kilka sekund zaciski od akumulatora. Spowoduje to restart komputera pokładowego.
- Wyłączyć wszystkie połączenie sieciowe Bluetooth, Wi-Fi i sprawdzić czy objawy nadal występują.
- Sprawdzić czy nie pojawiły się żadne informacje o wykrytych podatnościach w naszym aucie oraz nowe aktualizacje oprogramowania.
- Skontaktować się z naszym dealerem i wyjaśnić zauważony problem.
- Powiadomić odpowiednie służby.
- Opowiedzieć o problemie komuś bliskiemu na wypadek kradzieży, oszustwa lub dalszych problemów.
Zapraszamy i zachęcamy do czytania innych artykułów z kampanii Apteczka Security, które publikowane będą cotygodniowo w piątki.