Magánélet, szoftverfrissítések és az autókra specializált mobil app-ok: három terület, ahol a kiberbűnözők támadásokat indíthatnak. A Kaspersky Lab és az IAB, hogy elkészült úttörő kutatásuk eredménye, a First Annual Connected Cars Study című tanulmány.
A kutatás fő célja, hogy áttekintést adjon az okosautók piacáról, összegyűjtve az összes rendelkezésre álló információt néhány égetően fontos kérdés megválaszolásához, valamint az, hogy segítsen eligazodni a gyártók által jelenleg kínált változatos szoftver ökoszisztémák között. Vicente Diaz, a Kaspersky Lab vezető biztonsági fejlesztőjének feladata volt egy proof of concept tesztprojekt kidolgozása, melynek segítségével elemezték az internetre kapcsolódó autók biztonsági vonatkozásait.
Az autósok immár nem hagyhatják figyelmen kívül a „kapcsolt járművek” új generációjának kommunikációs és internetes szolgáltatásaival kapcsolatban felmerülő biztonsági aggályokat. Ezek a szolgáltatások már nem csupán a biztonságos parkolásban segítenek, hanem hozzáférést nyújtanak a közösségi hálózatokhoz, az e-mailekhez, valamint az útvonaltervező és más, az utazást támogató alkalmazásokhoz. Ezen technológiák óriási előnyöket kínálnak az autósoknak, ugyanakkor használatuk korábban nem tapasztalt kockázatokkal jár együtt. Ezért alapvető fontosságú azoknak a tényezőknek a vizsgálata, amelyek kibertámadásokhoz, balesetekhez vagy a járművek informatikai rendszerének manipulálásához vezethetnek.
A magánélet, a frissítések és az ezekhez az autókhoz készült okostelefonos app-ok három, jól körülhatárolható támadási felületet kínálnak a kiberbűnözők számára. „Az okosautók olyan fenyegetéseknek vannak kitéve, amelyek régóta léteznek a PC-k és okostelefonok világában. Így például a tulajdonosok szembesülhetnek jelszavuk ellopásával. Ennek révén beazonosítható a jármű tartózkodási helye, és lehetővé válik az ajtók távolról történő kinyitása. A személyes adatok ellopása komoly veszélyekkel járhat, és a mai autósoknak tisztában kell lenniük a korábban egyáltalán nem létező kockázatokkal,” mondta Diaz.
A Kespersky Lab proof of concept tesztprojektje, amely a BMW-féle ConnectedDrive rendszert elemezte, számos lehetséges támadási felületet talált:
Ellopott azonosítók: A BMW webhelyére való belépésre használt azonosító ellopása – adathalászattal, billentyűleütés-figyelővel vagy pszichológiai manipulációval – a felhasználói információkhoz, majd azt követően a járműhöz való jogosulatlan hozzáféréshez vezethet. Az azonosító birtokában lehetővé válik egy mobil app telepítése, az autó távolról történő kinyitása, majd ellopása.
Mobil alkalmazás: Ha aktiváljuk a mobillal való kinyitási szolgáltatást, ezzel gyakorlatilag egy új kulcskészletet hozunk létre az autóhoz. Ha az alkalmazás nincs védve, bárki, aki ellopja az okostelefont, hozzáférhet a járműhöz. Ráadásul az ellopott telefonnal módosítani lehet az adatbázis alkalmazást és meg lehet kerülni a PIN kódos hitelesítést, melynek révén a támadó képes lesz aktiválni a távoli szolgáltatásokat.
Frissítések: A Bluetooth vezérlők frissítése úgy történik, hogy letöltünk egy fájlt a BMW weboldaláról, és egy USB meghajtóról telepítjük azt. A fájl nincs titkosítva vagy aláírással ellátva, és rengeteg információt tartalmaz a járművön futó belső rendszerekről. Lehetőséget nyújt a támadónak, hogy hozzáférjen a megcélzott környezethez, és úgy módosítható, hogy rosszindulatú kódot futtasson.
Kommunikáció: Egyes funkciók SMS-ek segítségével kommunikálnak a járműben található SIM kártyával. Ennek a kommunikációs csatornának a feltörése lehetővé teszi hamisított üzenetek küldését. A legrosszabb esetben a kiberbűnöző a BMW kommunikációját felválthatja a saját utasításaival és szolgáltatásaival.
A tanulmány ugyancsak áttekinti a spanyol autóiparban használt online kapcsolódási lehetőségeket és vezető app-okat, továbbá megvizsgálja a piacon található kapcsolódási platformok üzleti modelljeit és jövőbeli trendjeit.
A jelentés 21 különböző járműmodellt elemez, és a következőket állapítja meg:
• Az operációs rendszerek, kapcsolódási módok és app-ok rendkívül változatosak
• Az ingyenes szolgáltatások időben korlátozottak: sok gyártó csak meghatározott időre kínál ingyenes előfizetést.
• Lefedettségi problémák: sok online szolgáltatás 3G-t igényel
• Adathasználat: egyes felhasználóknak fizetnie kell a további adatokért
• Hangasszisztensek: a legtöbb modell használja ezeket, mivel ez az egyik legbiztonságosabb módja a kommunikációnak.
