Новейшие технологии Новейшие технологии
Автомобильная киберпреступность растет угрожающими темпами: за прошедший год в одном только Лондоне преступники, создав дубликат «хозяйского» радиобрелка для разблокировки иммобилайзера, похитили более 6 тысяч автомобилей и микроавтобусов. По статистике столичной полиции, это 42% от всех краж транспортных средств в городе. Число угонов с применением высокотехнологичных средств растет пропорционально тому, как автомобили «умнеют».
Современные машины — уже давно не просто транспортное средство, а настоящие компьютеры со сложной электронной начинкой. Они все чаще оснащаются продвинутыми информационно-развлекательными системами — к примеру, OnStar в продукции General Motorls, которая разрешает дистанционно открывать двери, включать «аварийку» и свет фар. Она же отвечает за непроизвольный вызов медслужб при аварии, уведомляет водителя о неисправностях, отслеживает такие параметры, как скорость, размещение и использование ремня безопасности.
Думается, совсем не так долго осталось ждать автомобили и вовсе обучатся ездить при минимальном вмешательстве человека — или вовсе без его участия. Этим летом самоуправляемые «гугломобили», тестировавшиеся с 2009 года, в первоначальный раз вышли на автострады неспециализированного пользования (и уже успели попасть в первое ДТП с пострадавшими), а корейский концерн Hyundai Motor стал первым автопроизводителем, интегрировавшим в свою продукцию Android Auto. «Автомобильная» версия платформы Гугл, показавшаяся в седане Hyundai Sonata 2015 года выпуска, обладает интерфейсом в стиле «карточек» Гугл Now и осознаёт голосовые команды. Не убирая руки с руля, водители смогут звонить, отвечать на сообщения, прокладывать маршруты на карте, отслеживать дорожную обстановку (пробки и ДТП), и искать в сети.
Неустанно совершенствуют «подключенные» автомобили и ведущие производители. Ранее в этом месяце альянс из германских концернов (BMW, Audi и Daimler) выкупил за $3 миллиарда у Nokia онлайн-карты HERE, каковые дадут им открыть «высокоавтоматизированный класс опыта вождения». Навигационные разработки — неотъемлемый элемент для машин-беспилотников. С их помощью «умные» автомобили смогут не только самостоятельно ездить, но и взять на себя отдельные задачи, такие как парковка, торможение или обнаружение препятствий на дороге.
С каждым годом все больше машин «выходит в онлайн». Очень оптимистично настроены на этот счет аналитики японской компании Hitachi. По их прогнозу, к 2020 году около 90% всех транспортных средств будут подключены к Интернету. Но «умнея», авто преобразовываются в лакомую мишень для преступников: так как их уязвимость к кибератакам делается выше, а взломана, как мы знаем, допустимо любая «подключенная» к Сети вещь — от дверного замка до яхты или самолета. «Область, до которой смогут дотянуться хакеры, зависит от того, какие конкретно конкретно нюансы автомобиля осуществляет контроль интернет-подключение», — говорит Стюар Хайд, бывший начальник полиции графства Камбрии (Англия).
Уязвимый 3G-модуль
Показательную демонстрацию того, как хакеры смогут дистанционно забрать под контроль фактически все функции транспортного средства, в июле совершили эксперты по безопасности Чарли Крис и Миллер Валасек. Они посадили за руль Jeep Cherokee журналиста Wired Энди Гринберга и всячески мешали управлению внедорожником, в то время, в то время, когда тот двигался со скоростью более 110 км/ч по автомагистрали в Сент-Луисе (США). Удаленно подключившись к джипу, Миллер и Валасек имели возможность делать все что угодно: руководить системой климат-контроля и стеклоочистителями, отслеживать скорость и GPS-координаты, переключать радиостанции, включать звук на полную громкость и быстро тормозить.
Уникальность метода, найденного «белыми» хакерами, заключалась в том, что авто необязательно должно быть подключено к Интернету. В уязвимости был виноват Uconnect — мультимедийный комплекс, которым оснащаются довольно много тысяч автомобилей , грузовиков и внедорожников Chrysler, — другими словами встроенный в него 3G-модуль. «Дыра» в компоненте, который отвечает за сотовое подключение, разрешает любому человеку, умелому IP-адрес автомобиля (а вычислить его не так уж сложно), забрать к нему полный доступ из любой точки страны.
По словам экспертов, уязвимости подвержена не только модель Jeep Cherokee, а любой автомобиль Chrysler с Uconnect, выпущенный с конца 2013 по начало 2015 года. Закрыть брешь в системе безопасности допустимо только вручную, загрузив исправленную прошивку с USB-накопителя. Демонстрация Миллера и Валасека была фальшивой атакой, а контролируемым опытом, не мнившим водителю никакой угрозы. Но, потенциальный риск настоящего взлома был такими высоким, что в конце прошлого месяца Fiat Chrysler «в качестве меры безопастности» решил отозвать 1,4 миллиона автомобилей для исправления уязвимости (в их числе — пикапы Ram 2015 года выпуска, внедорожники Jeep и Grand Cherokee, спортивные купе Dodge Challenger и суперкары Viper).
Клонирование электронного ключа
На данный момент многие автомобили оснащаются иммобилайзером — противоугонной системой, которая обездвиживает машину до тех пор, пока не заберёт сигнал от RFID-брелка. Не обращая внимания на то что отсылаемый им в зашифрованном виде код имеется неповторимым, преступники смогут легко подделать беспроводной сигнал при помощи оборудования для перепрограммирования электронных ключей.
Как правило, хакерам нужно только купить в сети «болванку» брелка (стоит около $30) и забрать физический доступ к автомобилю. Они смогут попасть в салон, разбив стекло, подключить устройство к диагностическому порту, который как правило находится около пассажирского сиденья или под «бардачком», и, создав дубликат электронного ключа,запустить двигатель.
Как пишет Bloomberg, в зоне риска находится множество моделей, включая BMW, Mercedes, Audi, Land Rover и Saab, а видеоинструкцию по получению доступа к порту легко найти YouTube. И без оглядки на то, что производители неизменно совершенствуют системы безопасности, автовладельцам рекомендуют подстраховаться невысокотехнологичными мерами — к примеру, ставить механический замок на рулевое колесо.
Уязвимости, которые связаны с RFID-чипом иммобилайзеров, исследователи нашли еще в 2012 году, но опубликованы они были только в этом месяце. Задержка разъясняется тем, что громаднейшие производители, в частности Volkswagen, в течение последних лет мешали публикации докладов и судились с их авторами, опасаясь кражи своих машин. Запрет был снят совсем относительно недавно, а на конференции USENIX, прошедшей в августе, эксперты в подробностях поведали о способах аутентификации протокола и взлома шифрования, который употребляется в широкого распространенном транспондере Megamos Crypto (его допустимо найти в «люксовых» марках Audi, Porsche, Bentley и Lamborghini, а также в некоторых моделях Fiat, Honda, Volvo и Maserati).
Кроме этого, на USENIX была показала уязвимость, которая связана с недорогим OBD2-ключом производства Mobile Devices, которым пользуются страховые компании для диагностики транспортных средств. Подключив такое устройство к бортовому компьютеру Corvette 2013 года выпуска, исследователи забрали контроль над частью функций автомобиля, и над «дворниками» и тормозами.
OBD2-ключ
Команды передавались CAN-шине (внутренней сети, управляющей некоторыми компонентами машины) способом собирается составленных СМС-сообщений, каковые отправлялись со смартфона. Вправду, из-за ограничений, накладываемых автоматизированными компьютерными функциями, исследователи смогли включить тормоза только в то время, в то время, когда Corvette двигался на низкой скорости.
Взлом информационно-развлекательной системы
Взлом Jeep Cherokee, о котором шла обращение выше, произошёл не без участия «дырявой» мультимедийной системы. Сама неприятность содержится в «воистину глупо открытых дверях» бортового компьютера, который употребляется для диагностики и навигации. По словам Дженса Хинричсена, главного менеджера компании NXP, создающей микрочипы для подключенных к Интернету автомобилей, производителям направляться лучше продумывать архитектуру безопасности, разделяя развлекательные системы, телематику и другие критические функции фаерволлом и шифруя все коммуникации между ними.
«Как правило сети автомобилей — это как дом, в котором вы имеете возможность вольно перемещаться из одной помещения в другую. Производители автомобилей должны реализовать систему безопасности так, чтобы каждая помещение запиралась на ключ, а для спецкомнат были предусмотрены спецзамки. В спальне допустимо помимо этого поставить сейф и сложить в него самые нужные вещи», — говорит Хинричсен.
Последнюю громкую уязвимость, связанную с информационно-развлекательной системой OnStar в автомобилях Genral Motors, показал исследователь Сэми Камкар на конференции DefCon в конце Июля. Он создал устройство именующиеся OwnStar, гениальное перехватывать данные, которой обмениваются между собой мобильное приложение RemoteLink и бортовая система машины. «Дыра», по словам Камкара, содержится в программе для iOS-устройств, которая не осуществляет контроль подобающим образом сертификат для надёжного подключения к серверу OnStar.
Более того, данной же уязвимости подвержены iOS-приложения вторых производителей, включая BMW Remote, Mercedes-Benz mbrace и Chrysler Uconnect. Хакер, разместив «подслушивающий» гаджет рядом с автомобилем (к примеру, под капотом), может дистанционно отслеживать его перемещения, открывать двери и запускать двигатель. Камкар уже уведомил концерны о бреши, и посоветовал временно не пользоваться их приложениями, пока она не будет устранена.
GPS-спуфинг
Сверхнадежная навигационная система — критически важный элемент самоуправляемых машин, разработку которых ведут и Гугл, Toyota, Mercedes-Benz и Дженерал моторс. Если не обезопасисть GPS-сигнал, поступающий со спутника на околоземной орбите, хакеры смогут подделать координаты (метод известен как GPS-спуфинг) и сбить автомобиль с начального курса.
«Хактивисты смогут изрядно повеселиться, создав пробки, а террористические группы, возможно, захотят направить машину к месту засады или с целью похищения человека», — говорит Тим Уотсон, директор Центра кибербезопасности при Уорикском университете (Англия). Такие сценарии — не просто предположения. Ранее исследователям из Техасского университета в Остине (США) удалось передать фальшивые координаты яхте ценой $80 миллионов, направив судно по страшному маршруту.
По словам экспертов, риски допустимо снизить, , если объединить GPS с другими методами позиционирования — к примеру, счислением пути или перекрестной сверкой с сетями Wi-Fi.
Источники: Bloomberg, Wired, ArsTechnica, CNN, аккумуляторная
