Araçlardaki yüzlerce yeni güvenlik açığı ortaya çıktı: Tehdit eğlence sisteminden fren sistemine uzanabiliyor
İsveç'teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesi araştırmacıları, otomobillerdeki yazılım güvenlik açıklarını inceledi. Açıkların en büyük bölümünün dış bağlantılı uygulama ve bulut hizmetlerinden kaynaklandığı belirlendi.
Araştırmacılar, Ocak 2022 ile Eylül 2024 arasında ABD Ulusal Güvenlik Açığı Veri Tabanı'nda yer alan otomotivle ilgili kayıtları ve 413 güvenlik açığını inceledi. Bu açıkların yüzde 36,2'si dış uygulamalardan kaynaklandı; 2010-2019 dönemine ait önceki çalışmalarla kıyaslandığında dış bağlantılı yazılımın payının arttığı görüldü.
Yazılım mühendisliği araştırmacısı Srijita Basu, ScienceAlert'e yaptığı açıklamada, sıradan çevrimiçi hizmetlerde yaygın olan teknolojilerin artık otomotiv güvenlik ortamının bir parçası hâline geldiğini söyledi. Araçlara bağlı mobil ve web uygulamaları ile bulut hizmetleri, aracın nereye gittiğine, nasıl kullanıldığına ve bazen sahibine ilişkin verileri saklayabiliyor. Zayıf güvenlik önlemleri bu verilere dışarıdan erişimi mümkün kılabiliyor.
Basu, eğlence ve telematik sistemler ile araç bileşenleri arasındaki veri alışverişine de dikkat çekti. Bir açıktan yararlanıldığında ve bu sistemler ile sürüşle ilgili kritik işlevler arasındaki güvenlik sınırları yetersizse, saldırganın ilk ele geçirdiği bileşenin ötesine geçebileceğini belirtti.
Ekip, yazılımlara açık giriş yollarından birinin de hazır kod kütüphaneleri olduğunu inceledi. Beş tarama aracıyla, otomotiv yazılımlarında kullanılan 20 açık kaynaklı proje tarandı ve 827 güvenlik açığı içeren kütüphane tespit edildi. Birçok projede ortak kullanılan kütüphanelerdeki bir zayıflık birden fazla sistemi etkileyebiliyor.
Araştırmaya göre açıkların en büyük grubu kodun yazıldığı aşamayla, ikinci büyük grubu ise tasarım aşamasıyla ilişkili. Basu, üreticilerin hangi bileşenlerin yazılımlarına girdiğini bilmesi, dışarıdan alınan kütüphaneleri düzenli olarak taraması, yeni bildirilen açıkları izlemesi ve düzeltmeleri uygulamak için bir plan hazırlaması gerektiğini söyledi. Basu'ya göre güvenlik baştan itibaren yazılıma dahil edilmeli ve aracın ömrü boyunca test edilmelidir.
Basu, sürüş sistemleri ile eğlence ve dış bağlantılı bileşenlerin birbirinden ayrılmasını önerdi. Bulguların her bildirilen açığın uzaktan istismar edilebileceği ya da sürüş kontrollerine erişim sağlayacağı anlamına gelmediğini de vurguladı. Araştırma, kaç aracın hack'lenebileceğini ortaya koyamıyor. Çalışma döneminde ABD siber güvenlik ajansının istismar edildiği bilinen açıklar kataloğunda yer alan otomotivle ilgili açık sayısı 17 olarak belirlendi.
Araç sahiplerine Basu, yazılımları güncel tutmalarını, yalnızca bağlı araç hesapları için kullanılan güçlü şifreler seçmelerini, araçla bağlantılı telefon uygulamalarını güvence altına almalarını ve hangi hizmetlerin konum ve kişisel bilgilere erişim iznine sahip olduğunu kontrol etmelerini tavsiye etti. Basu, yazılım açıklarının önlenmesi ve sınırlandırılmasında asıl sorumluluğun üreticilerde ve tedarikçilerinde olduğunu ekledi.
Araştırma Software Quality Journal dergisinde yayımlandı.
Kaynak: sciencealert.com