امنیت سایبری خودروها پاشنه آشیل جدید؛ چرا نقطه ضعف خودروها دیگر درزیر کاپوت یا بدنه خودرو نیست؟

امنیت سایبری خودروها پاشنه آشیل جدید

خودروهای امروزی عملا کامپیوترهایی سوار بر چهار چرخ هستند. آن‌ها لحظه‌به‌لحظه با سرورهای ابری کارخانه سازنده، تلفن هوشمند راننده و ایستگاه‌های شارژ تبادل داده دارند؛ حتی وقتی سرنشینان در صندلی عقب سرگرم استریم آنلاین فیلم می‌شوند، حجم بالایی از اطلاعات در بستر وب جابه‌جا می‌شود. همین گستردگی اتصالات باعث شده تا هر نقطه تبادل داده به گذرگاهی بالقوه برای نفوذ هکرها بدل شود. پژوهشی جامع نشان می‌دهد که کانون خطرات امنیتی تغییر کرده و پاشنه آشیل خودروهای نوین، الزاما قطعات سخت‌افزاری داخل اتاق ماشین نیست.

جهش سه برابری نفوذپذیری در اپلیکیشن‌ها و سرورهای ابری

محققان دانشگاه گوتنبرگ و دانشگاه صنعتی چالمرز سوئد در یک پروژه تحقیقاتی مدون، ۴۱۳ رخنه و آسیب‌پذیری امنیتی گزارش‌شده در نرم‌افزارهای خودرویی بین سال‌های ۲۰۲۲ تا ۲۰۲۴ را ارزیابی کرده و نتایج آن را با آسیب‌پذیری‌های یک دهه قبل از آن سنجیده‌اند.

سریجیتا باسو (Srijita Basu)، محقق پسادکتری مهندسی نرم‌افزار در دانشگاه گوتنبرگ و چالمرز، در این خصوص توضیح می‌دهد:

«ده سال پیش، عمده آسیب‌پذیری‌ها در سامانه‌های داخلی خودِ خودرو کشف می‌شدند؛ اما اکنون سهم رخنه‌های ثبت‌شده در اپلیکیشن‌ها، وب‌سایت‌ها و سرویس‌های ابری تقریبا سه برابر شده است. این سامانه‌ها داده‌هایی حساس درباره محل زندگی شما، مسیرهای تردد و زمان رانندگی‌تان را ذخیره می‌کنند؛ بنابراین تهدید موجود فقط احتمال ایجاد اختلال فیزیکی در خودرو نیست، بلکه افشای جزئیات خصوصی زندگی مالک را نیز در بر می‌گیرد.»

یافته‌های مستند این پژوهش در نشریه معتبر Software Quality Journal منتشر شده و نشان می‌دهد توازن امنیتی صنعت حمل‌ونقل هوشمند دستخوش دگرگونی بنیادین شده است.

پرونده نشت داده ۸۰۰ هزار خودرو؛ هشدار جدی در زیرساخت ابری

باید توجه داشت که ثبت یک آسیب‌پذیری نرم‌افزاری به مفهوم نفوذ حتمی یا سرقت موفق اطلاعات نیست، بلکه نشانگر وجود حفره‌ای است که احتمال سواستفاده از آن وجود دارد. با این حال، غفلت از این ضعف‌ها پیامدهای سنگینی به همراه دارد.

در دسامبر سال ۲۰۲۴ فاش شد که اطلاعات محرمانه مربوط به حدود ۸۰۰ هزار دستگاه خودروی برقی از گروه خودروسازی فولکس‌واگن شامل برندهای فولکس‌واگن، آئودی، سئات و اشکودا، برای چند ماه متوالی به‌صورت عمومی و بدون حفاظت روی اینترنت قرار گرفته بود.

این بانک اطلاعاتی شامل مختصات دقیق موقعیت‌یابی ماهواره‌ای (GPS)، آدرس ایمیل، شماره تلفن و حتی نشانی پستی منازل مالکان بود؛ داده‌هایی که به شکل شفاف نشان می‌داد هر خودرو دقیقا در چه زمان و در چه مسیری در حال تردد بوده است. منشا این حفره امنیتی در سرور ابری اختصاصی خودروساز بود که وظیفه داشت داده‌های خودروهای فعال در جاده را آپلود و ذخیره کند. این نشت اطلاعات توسط یک گروه از هکرهای کلاه‌سفید (اخلاقی) و پس از دریافت گزارش از یک افشاگر کشف شد و بازتاب رسانه‌ای وسیعی پیدا کرد؛ در نهایت، این آسیب‌پذیری پیش از آنکه گزارش مشخصی از سواستفاده مجرمانه ثبت شود، مسدود شد.

سریجیتا باسو در تحلیل سطح خطرات جدید می‌افزاید:

«مقایسه با دهه گذشته مشخص می‌کند رخنه‌های حوزه IT خودرو بیشتر به سمت اپلیکیشن‌ها، سامانه‌های وب و بستر ابری متمایل شده و میزان ریسک آن‌ها نیز به‌مراتب بیشتر در سطوح جدی و بحرانی طبقه‌بندی می‌شود. نکته شگفت‌آور، ابتدایی بودن پاره‌ای از این نقص‌هاست؛ مواردی مانند گذرواژه‌های پیش‌فرضی که از زمان راه‌اندازی اولیه تغییر نکرده‌اند. مهاجمان با تکیه بر شگردهای کهنه و شناخته‌شده می‌توانند از همین درهای پشتی (Backdoors) وارد شبکه خودرو شوند.»

نمایشگر سرگرمی و وای‌فای؛ راه نفوذ به پدال و فرمان

سیستم چندرسانه‌ای و اطلاعات-سرگرمی خودرو (Infotainment) یکی دیگر از گلوگاه‌های حساس محسوب می‌شود. چنانچه مرزبندی و جداسازی شبکه‌های داخلی کابین با دقت بالا مهندسی نشده باشد، هر کاربری که به وای‌فای خودرو متصل می‌شود، بالقوه می‌تواند پل ارتباطی به سایر کامپیوترهای مرکزی بیابد.

این آسیب‌پذیری پیش‌تر در آزمون معروف کارشناسان امنیت روی جیپ چروکی در سال ۲۰۱۵ نیز مستند شده بود؛ آزمایشی که در آن متخصصان موفق شدند از راه دور و از طریق سامانه مالتی‌مدیا به شبکه‌های فرمان‌پذیری متصل شوند و کنترل فرمان، ترمز و پدال گاز را در دست بگیرند. بررسی‌های دانشگاه چالمرز حکایت از آن دارد که رخنه‌هایی از همین دست پس از نزدیک به یک دهه، همچنان در معماری برخی پلتفرم‌های متصل دیده می‌شوند.

باسو خطاب به خودروسازان تاکید می‌کند:

«پیشنهاد من به سازندگان خودرو این است که سیستم‌های کنترلی هدایت وسیله نقلیه را به‌صورت کاملا سخت‌گیرانه و ایزوله از سیستم اینفوتینمنت و بخش‌های متصل تفکیک کنند و دیواره‌های دفاعی نیرومندی پیرامون آن‌ها بسازند. خودروسازان همچنین باید از تجارب دنیای وب و فناوری اطلاعات که سال‌ها با این اشکالات مواجه بوده‌اند، درس بگیرند؛ زیرا خودرویی که دائما با جهان بیرون پیوند دارد، در واقع درهای خود را به روی خطرات دنیای بیرون نیز می‌گشاید.»

زنجیره تامین چیپ‌ست‌ها و حفره‌های مشترک بین چند برند

پژوهشگران با تفکیک دقیق منشا رخنه‌ها نشان دادند که ضعف‌های موجود ناشی از سه حوزه مشخص است: نقص در طراحی کارکرد IT، خطاهای کدنویسی در برنامه‌نویسی، و ایرادات نرم‌افزاریِ مستقر روی تراشه‌های رایانه‌ای.

یافته‌ها حاکی از آن است که شرکت‌های تولیدکننده چیپ‌ست در میزان پایداری امنیتی و همچنین شفافیت در اعلان نقایص با یکدیگر تفاوت چشمگیری دارند. با توجه به اینکه تراشه‌های یک سازنده به‌طور همزمان توسط چندین برند خودروسازی مورد استفاده قرار می‌گیرد، هکری که بتواند راه نفوذی در سامانه نرم‌افزاری تراشه یک مدل خودرو کشف کند، شانس بالایی برای بازتولید همان حمله در محصولات برندهای دیگر نیز خواهد داشت.

ابعاد امنیتی و مقایسه رخنه‌های خودرویی

مسئولیت رانندگان در عصر هوش مصنوعی خودروها

کارشناسان یادآور می‌شوند که کاربران نیز در این اکوسیستم نقش غیرقابل‌انکاری دارند. به تعویق انداختن آپدیت‌های امنیتی ارائه‌شده از سوی سازنده، راه نفوذ مهاجمان را باز نگه می‌دارد. مالکان باید به‌محض انتشار اعلان به‌روزرسانی سیستم‌عامل خودرو نسبت به اجرای آن اقدام نموده و برای حساب‌های کاربری متصل، گذرواژه‌های طولانی و اختصاصی برگزینند.

این مسئله با ورود دستیارهای مجهز به هوش مصنوعی پیچیده‌تر شده است. مالکان امروزه اطلاعات جزئی مسیرها و برنامه‌ریزی سفرهای بین‌شهری خودروهای برقی را با هوش مصنوعی در میان می‌گذارند. از آنجا که سامانه‌های هوش مصنوعی ممکن است با حملات پرامپت یا روش‌های مهندسی معکوس فریب بخورند، رانندگان و خودروسازان باید روی داده‌های ورودی به این دستیارها و محدوده دسترسی آن‌ها به سامانه‌های خودرو حساسیت جدی داشته باشند.

جمع‌بندی سبقت‌آزاد

امنیت سایبری خودروهای متصل دیگر یک فرضیه دانشگاهی نیست؛ واقعیتی صنعتی و جدی است. خودروهای امروزی پیش از آنکه متکی به مهندسی پیستون و سیلندر باشند، به معماری کلود و الگوریتم‌های شبکه گره خورده‌اند. برای تضمین آسایش مالکان، خودروسازان ناگزیرند ایزولاسیون سامانه‌های حیاتی خودرو را سخت‌گیرانه‌تر دنبال کنند و مصرف‌کنندگان نیز ضرورت به‌روزرسانی به‌موقع و صیانت از گذرواژه‌های متصل را همانند تعویض فیلترها و بررسی لنت‌های ترمز در اولویت قرار دهند.

سوالات متداول

۱. آیا گزارش شدن آسیب‌پذیری نرم‌افزاری به معنای هک شدن قطعی خودرو است؟

خیر؛ کشف یا ثبت یک ردیف آسیب‌پذیری صرفاً به‌منزله وجود یک ریسک و روزنه بالقوه نفوذ است و مادامی که رفع نشود، پتانسیل نفوذ هکرها را فراهم می‌کند.

۲. چرا هکرها تمرکز خود را از قطعات فیزیکی خودرو به سمت فضای ابری برده‌اند؟

سرویس‌های ابری خودروسازان تجمیع‌کننده حجم انبوهی از اطلاعات هزاران خودرو نظیر مختصات مکانی، شماره‌ها و نشانی مالکان هستند؛ ضمن آنکه نفوذ ابری را می‌توان از فرسنگ‌ها دورتر و بدون نیاز به دسترسی به کابل‌های خودرو به اجرا درآورد.

۳. رانندگان چگونه می‌توانند امنیت خودروهای متصل را افزایش دهند؟

نصب بلافاصله تمامی بسته‌های ارتقای نرم‌افزاری، تغییر کلمات عبور پیش‌فرض اپلیکیشن اختصاصی سازنده و دقت در محتوای پیام‌هایی که به دستیارهای هوش مصنوعی داده می‌شود، مؤثرترین راهکارها هستند.

ممکنه بپسندی

چرا فیلتر کابین برای خودرو اهمیت دارد؟

۱۴۰۵-۰۶-۱۶

معاینه فنی خودرو و استعلام خلافی پیش از آن؛ راهنمای کامل و کاربردی

۱۴۰۵-۰۶-۰۵

تهویه مطبوع خودرو شما چگونه کار میکند؟

۱۳۹۵-۰۹-۱۲

بهترین روش گرم کردن موتور خودرو در زمستان و روزهای سرد

۱۳۹۵-۰۹-۰۹