İsveç’teki iki üniversitenin araştırmacıları, bildirilen 413 otomotiv yazılımı güvenlik açığını inceledi. Dış uygulamalar yüzde 36,2 ile en büyük payı oluşturdu. Araştırmacılar, bunun her açığın uzaktan kullanılabildiği ya da sürüş kontrollerine erişim sağladığı anlamına gelmediğini vurguladı.
Otomobillerin yazılım güvenliği, yalnızca aracın içine yerleştirilmiş sistemlerle sınırlı değil. İsveç’teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesi araştırmacılarının incelediği 413 otomotiv yazılımı güvenlik açığında, dış uygulamalar yüzde 36,2 ile en büyük payı oluşturdu. Yazılım Kalitesi Dergisi’nde yayımlanan çalışma, araçlara bağlı mobil ve web uygulamaları ile bulut hizmetlerini de kapsayan ağı ele aldı. Önceki araştırmalarla yapılan karşılaştırmada, güvenlik açıklarının dağılımında dışarıdan bağlanan yazılımlara doğru bir kayma saptandı.
KONUM VE KİŞİSEL VERİLERE ERİŞİM RİSKİ
Her iki kurumda da çalışan yazılım mühendisliği araştırmacısı Srijita Basu, araca bağlı uygulamalar ve bulut hizmetlerinin aracın nereye gittiği, nasıl kullanıldığı ve bazen sahibine ilişkin verileri depolayabildiğini belirtti. Basu’ya göre zayıf güvenlik, dışarıdaki kişilerin bu verilere erişmesine olanak tanıyabilir.
Riskin kapsamı, araç içindeki sistemlerin birbirleriyle nasıl bağlantı kurduğuna da bağlı. Basu, eğlence ve telematik sistemlerinin diğer araç bileşenleriyle veri alışverişi yapabildiğini kaydetti. Bir açıktan yararlanılması ve bu sistemlerle güvenlik açısından kritik işlevler arasındaki sınırların yetersiz kalması halinde, saldırganın ilk eriştiği bileşenin ötesine geçebileceği uyarısında bulundu.
Bunun geçmişte bir örneği de yaşandı. Güvenlik araştırmacıları, 2015’te bir Jeep Cherokee’nin bilgi-eğlence sistemine uzaktan erişerek sürüş işlevlerine müdahale etti. Fiat Chrysler, kusuru düzelten yazılım güncellemesinin yüklenmesi için ABD’de yaklaşık 1,4 milyon aracı kapsayan geri çağırma duyurdu.
20 PROJEDE 827 SAVUNMASIZ KÜTÜPHANE
Araştırma ekibi, Ocak 2022-Eylül 2024 dönemine ait otomotivle ilgili kayıtları ABD Ulusal Güvenlik Açığı Veri Tabanı’ndan topladı ve ek güvenlik kaynaklarıyla çapraz kontrol etti. Açıklar; etkilenen yazılım, ciddiyet ve geliştirme sürecinde ortaya çıktıkları aşamaya göre sınıflandırıldı. Bulgular, 2010-2019 dönemini kapsayan araştırmalarla karşılaştırıldı.
Ekip ayrıca, geliştiricilerin her işlevi baştan yazmadan kullanabildiği hazır kod bileşenlerini, yani yazılım kütüphanelerini inceledi. Beş tarama aracıyla, otomotiv yazılımlarında veya bunların geliştirilmesinde kullanılan 20 açık kaynaklı proje tarandı. Bu ayrı incelemede 827 savunmasız kütüphane tespit edildi.
Projelerin bazı kütüphaneleri ortak kullandığı da belirlendi. Araştırmaya göre yaygın kullanılan bir bileşendeki zayıflık, birden fazla sistemi etkileyebilir. Açıkların en büyük grubu kodun yazıldığı aşamayla, sonraki en büyük grup ise tasarımla ilişkili bulundu.
HER AÇIK SÜRÜŞ KONTROLLERİNE ULAŞMIYOR
Basu, bulguların bildirilen her kusurun uzaktan istismar edilebileceği veya sürüş kontrollerine erişim sağladığı anlamına gelmediğini vurguladı. Çalışma, araçların ne kadarının saldırıya uğrayabileceğini de belirleyemiyor.
İncelenen dönemde otomotivle ilgili yalnızca 17 açık, ABD siber güvenlik ajansının istismar edildiği bilinen kusurlar kataloğunda yer aldı. Veri setindeki açıkların çoğu, ekibin kontrol ettiği istismar kaynaklarında görülmedi. Makalede, taranan 20 projenin tüm sektörü temsil etmeyebileceği de belirtildi.
ANA SORUMLULUK ÜRETİCİ VE TEDARİKÇİLERDE
Basu, üreticilerin yazılımlarına hangi bileşenlerin girdiğini bilmelerini, dışarıdan alınan kütüphaneleri düzenli taramalarını, yeni bildirilen açıkları izlemelerini ve düzeltmeler için plan hazırlamalarını önerdi. Güvenliğin tasarımdan itibaren kurulması ve aracın ömrü boyunca test edilmesi gerektiğini belirtti.
Öneriler arasında, sürüş sistemlerinin eğlence sistemlerinden ve dışarıdan bağlanan bileşenlerden ayrılması da bulunuyor. Amaç, bu bileşenlerden birindeki ihlalin otomatik olarak sürüş işlevlerine ulaşmasını önlemek.
Araç sahiplerine ise yazılımları güncel tutmaları, bağlantılı araç hesapları için başka hesaplarda kullanmadıkları güçlü şifreler seçmeleri, bağlı telefon uygulamalarını güvence altına almaları ve konum ile kişisel verilere erişim izinlerini kontrol etmeleri tavsiye edildi. Basu, yazılım açıklarını önleme ve kontrol altına alma konusundaki ana sorumluluğun üreticiler ile tedarikçilerine ait olduğunu belirtti.
