Kdo upravlja povezane avtomobile brez vednosti njihovih lastnikov?

22.02.2017
Objavil: Dare Gliha

Raziskovalci Kaspersky Laba so preučili varnost aplikacij za oddaljeno upravljanje avtomobilov znanih proizvajalcev jeklenih konjičkov. Strokovnjaki so ugotovili, da se vse aplikacije soočajo z varnostnimi zagatami, ki bi kibernetskim kriminalcem lahko omogočile povzročitev velike škode lastnikom povezanih avtomobilov.

V zadnjih nekaj letih avtomobili vse bolj postajajo povezani na internet. Povezanost pa ni značilna le za tako imenovane »infotainment« sisteme za informiranje in zabavo. Prek spleta je omogočen dostop tudi do kritičnih sistemov vozila, denimo ključavnice in sistema za vžig. S pomočjo mobilnih aplikacij je sedaj možno pridobiti lokacijske koordinate vozila, pa tudi spremljati pot. Še več, možno je odpreti vrata, zagnati motor in upravljati dodatne naprave v vozilu. Po eni strani so to zelo uporabne funkcije, a odprto vprašanje ostaja: kako proizvajalci zagotavljajo varnost teh aplikacij pred kibernetskimi napadi?

Da bi odgovorili na to vprašanje, so raziskovalci Kaspersky Laba preizkusili sedem aplikacij za oddaljen nadzor nad vozilom. Aplikacije, ki so jih razvili veliki proizvajalci avtomobilov, je po statističnih podatkih spletne trgovine Google Play preneslo na deset tisoče uporabnikov, nekatere aplikacije so zabeležile celo več kot pet milijonov prenosov. Raziskava je pokazala, da je vsako preizkušeno aplikacijo pestilo več varnostnih težav.

Seznam najvidnejših varnostnih tveganj:

• Aplikacija ni varna pred postopki obratnega inženirstva: posledično lahko nepridipravi spoznajo delovanje aplikacije in najdejo pomanjkljivosti, ki jim omogočijo dostop do strežniške infrastrukture ali multimedijskega sistema avtomobila.
• Ni preverjanja celovitosti kode: to omogoča kriminalcem vgraditev njihove lastne kode v aplikacijo in zamenjavo originalnega programa z lažnim.
• Ni tehnik za zaznavo pridobitve korenskega dostopa (angl. rooting): takšne pravice omogočijo trojancem skoraj neskončne zmožnosti, medtem pa aplikacija postane povsem brez možnosti obrambe.
• Pomanjkanje zaščite pred tehnikami prekrivanja aplikacije (angl. overlaying techniques): to pomaga zlonamernim aplikacijam prikazovati okna za ribarjenje in krajo uporabnikovih podatkov.
• Shranjevanje uporabniških imen in gesel v golem besedilu: takšen pristop uporabnikov k shranjevanju podatkov za dostop do računov lahko kibernetski kriminalci razmeroma preprosto izkoristijo za krajo osebnih podatkov.

Napadalec lahko po uspešnem prodoru v sistem pridobi nadzor nad avtomobilom, odpre vrata, izključi varnostni alarm in celo ukrade vozilo. Uspešen napad bi sicer terjal še nekaj dodatnega dela kibernetskih kriminalcev, kot je denimo zvabljanje lastnikov aplikacij, da prenesejo posebej prilagojene zlonamerne aplikacije, ki bi nato omogočile korenski dostop do naprave in pridobile dostop do avtomobilske aplikacije. Kot so strokovnjaki Kaspersky Laba spoznali pri preučevanju številnih drugih zlonamernih aplikacij, usmerjenih na krajo bančnih podatkov in drugih pomembnih informacij, ta dodaten »angažma« ne predstavlja problema za tehnike socialnega inženiringa, ki bi jih uporabili kibernetski kriminalci, če bi želeli napasti lastnike povezanih avtomobilov.

»Glavni zaključek naše raziskave trenutnega stanja je, da aplikacije za povezane avtomobile niso pripravljene na način, da bi onemogočile napade kibernetskih kriminalcev. Razmišljanje o varnosti povezanih avtomobilov bi moralo preiti tudi onstran varnosti strežniške infrastrukture. Pričakujemo, da se bodo morali proizvajalci avtomobilov podati na isto pot kot banke s svojimi aplikacijami. Po naših podatkih aplikacije za spletno bančništvo sprva niso imele vseh potrebnih varnostnih lastnosti. Sedaj pa so po številnih napadih na bančne aplikacije, banke izboljšale varnost svojih produktov. Na srečo še nismo zaznali primera napada na mobilne aplikacije za povezane avtomobile, kar pomeni, da imajo ponudniki še čas za ukrepanje. Koliko časa je to, ostaja neznanka. Sodobni trojanci so zelo fleksibilni – sprva delujejo kot običajna oglaševalska programska oprema (angl. adware), nato pa s preprosto nadgradnjo napadejo aplikacije. Področje za napad je tako zares široko,« pojasnjuje Victor Chebyshev, varnostni strokovnjak pri Kaspersky Labu.

Raziskovalci Kaspersky Laba svetujejo uporabnikom aplikacij za povezane avtomobile naslednje ukrepe za zaščito avtomobilov in zasebnih podatkov pred potencialnimi kibernetskimi napadi:

• Ne omogočite korenskega dostopa na svoji napravi z operacijskim sistemom Android, saj bi tako zlonamernim aplikacijam omogočili skoraj neomejene zmožnosti.
• Onemogočite namestitev aplikacij iz virov, ki niso uradne spletne trgovine.
• Poskrbite za nenehno posodabljanje svojega operacijskega sistema in tako zmanjšajte ranljivosti v programski opremi in tveganje za napad.
• Namestite zanesljivo varnostno rešitev, ki bo napravo varovala pred kibernetskimi napadi.