Fiat Chrysler, daha sonra kusuru düzelten bir yazılım güncellemesi yüklemek için ABD çapında yaklaşık 1,4 milyon aracı kapsayan bir geri çağırma duyurdu.
Bu saldırı, otomobilin içine yerleştirilmiş bir sistemi hedef alıyordu. Yeni bir çalışma, araçlara bağlı uygulamalar ve çevrim içi hizmetler de dahil olmak üzere daha geniş bir ağı inceliyor.
İsveç’teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesindeki araştırmacılar, daha önce bildirilen 413 otomotiv yazılımı güvenlik açığını analiz etti. Dış uygulamalar, yüzde 36,2 ile en büyük payı oluşturdu.
Yazılım Kalitesi Dergisinde yayımlanan çalışma, önceki araştırmalara kıyasla dışarıdan bağlanan yazılımlara doğru bir kayma da tespit etti.
Dış bağlantılı sistemlerde güvenlik açığı artıyor
Her iki kurumda da çalışan yazılım mühendisliği araştırmacısı Srijita Basu, çarpıcı olan noktanın sıradan çevrim içi hizmetlerde yaygın olarak kullanılan teknolojilerin artık otomotiv güvenliği manzarasının bir parçası olması olduğunu söyledi.
Daha geniş ağ, uzak bilgisayarlarda veri depolayan veya işleyen mobil ve web uygulamaları ile bulut hizmetlerini içeriyor.
Basu, bir otomobile bağlı uygulamalar ve bulut hizmetlerinin aracın nereye seyahat ettiği, nasıl kullanıldığı ve bazen de sahibine ilişkin verileri depolayabildiğini açıkladı. Zayıf güvenlik, dışarıdaki kişilerin bu verilere erişmesine olanak tanıyabilecek.
Sonuçlar, aracın içindeki bağlantılara da bağlı olabilecek. Basu, eğlence ve telematik sistemlerinin, otomobilin nasıl çalıştığına dair verileri kaydeden ve ileten yazılımın diğer araç bileşenleriyle veri alışverişinde bulunabildiğini kaydetti.
Basu, bir güvenlik açığından yararlanılması ve bu sistemler ile güvenlik açısından kritik işlevler arasındaki güvenlik sınırlarının yetersiz olması durumunda bir saldırganın potansiyel olarak ilk bileşenin ötesine geçebileceği uyarısında bulundu.
Yazılım bileşenleri incelendi
Araştırmacılar, zayıflıkların nerede yoğunlaştığını araştırmak için Ocak 2022’den Eylül 2024’e kadar olan dönemi kapsayan otomotivle ilgili kayıtları ABD Ulusal Güvenlik Açığı Veri Tabanından topladı ve ek güvenlik kaynaklarını çapraz kontrol etti.
Kusurlar, etkilenen yazılıma, ciddiyete ve yazılım geliştirme sırasında nerede ortaya çıktıklarına göre kategorize edildi. Bulgular 2010-2019 yıllarını kapsayan araştırmalarla karşılaştırıldı. Önceki çalışmanın yönteminin daha yeni kayıtlara uygulanması, harici yazılımları içeren payın da arttığını gösterdi.
Ekip, kusurların otomotiv yazılımına kütüphaneler olarak adlandırılan hazır kod bileşenleri aracılığıyla girebileceği başka bir yolu inceledi. Geliştiricilerin her işlevi kendileri yazmadan görevleri yerine getirmek için bu bileşenleri kullandığı ifade edildi.
Araştırmacılar, beş tarama aracı kullanarak otomotiv yazılımında veya geliştirilmesinde kullanılan 20 açık kaynaklı projeyi inceledi. Bu ayrı araştırmada 827 savunmasız kütüphane tespit edildi.
Makalede ayrıca projeler arasında paylaşılan kütüphaneler de belirlendi. Bu nedenle, yaygın olarak kullanılan bir bileşendeki zayıflığın birden fazla sistemi etkileyebileceği aktarıldı.
Güvenlik üreticilerin ve tedarikçilerin sorumluluğunda
Basu, üreticilerin yazılımlarına hangi bileşenlerin girdiğini bilmeleri, diğer geliştiricilerden elde edilen kütüphaneleri düzenli olarak taramaları, yeni bildirilen kusurları izlemeleri ve düzeltmeleri uygulamak için bir plana sahip olmaları gerektiğini öne sürdü.
Analiz, en büyük güvenlik açığı grubunun kodun yazıldığı aşamayla bağlantılı olduğunu buldu. Bir sonraki en büyük grubun ise tasarımla ilişkili olduğu görüldü.
Güvenliğin en başından itibaren inşa edilmesi ve bir aracın ömrü boyunca test edilmesi gerektiğini belirten Basu’nun önerileri arasında, sürüş sistemlerinin eğlence ve dışarıdan bağlanan bileşenlerden ayrılması yer alıyor. Böylece bunlardan birindeki bir ihlal otomatik olarak sürüş işlevlerine ulaşmayacak.
Basu, bulguların bildirilen her kusurun uzaktan istismar edilebileceği veya sürüş kontrollerine erişim sağladığı anlamına gelmediğini vurguladı. Araştırmanın, arabaların ne kadarının saldırıya uğrayabileceğini de belirleyemediği eklendi.
Çalışma dönemindeki otomotivle ilgili yalnızca 17 güvenlik açığı, ABD siber güvenlik ajansının istismar edildiği bilinen kusurlar kataloğunda yer aldı ve veri setindekilerin çoğu ekibin kontrol ettiği istismar kaynaklarında görünmedi. Makalede ayrıca taranan 20 projenin tüm sektörü temsil etmeyebileceği belirtiliyor.
Basu, araç sahiplerine yazılımları güncel tutmalarını, yalnızca bağlı araç hesapları için kullanılan güçlü şifreler seçmelerini, bağlantılı telefon uygulamalarını güvence altına almalarını ve hangi hizmetlerin konuma ve kişisel ayrıntılara erişim izni olduğunu kontrol etmelerini tavsiye etti. Ancak Basu, yazılım güvenlik açıklarını önleme ve kontrol altına alma konusundaki ana sorumluluğun üreticilere ve tedarikçilerine ait olduğunu sözlerine ekledi.
Araştırma Yazılım Kalitesi Dergisinde yayımlandı.
