Araştırma, Yazılım Kalitesi Dergisi'nde yayımlandı.
ARACIN eğlence sistemi üzerinden saldırı mümkün mü?
Otomobilin eğlence sistemi üzerinden frenlerine müdahale edilebileceği düşüncesi ilk bakışta uzak bir ihtimal gibi görünebilir. Ancak 2015 yılında güvenlik araştırmacıları, bir Jeep Cherokee'nin bilgi-eğlence sistemine uzaktan erişerek aracın sürüş işlevlerine müdahale edebildiklerini göstermişti.
Bu olayın ardından Fiat Chrysler, yazılım açığını gidermek amacıyla ABD genelinde yaklaşık 1,4 milyon aracı kapsayan geri çağırma kararı almıştı.
Bu kapsamda yeni araştırma ise otomobillerin yalnızca kendi içindeki yazılımların değil, araçlarla bağlantılı mobil uygulamaların, web hizmetlerinin ve bulut sistemlerinin de siber saldırılar açısından risk oluşturabileceğine dikkat çekiyor.
O Güvenlik açıklarının yüzde 36,2'si dış uygulamalarda
Öte uyandan İsveç'teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesinden araştırmacılar, daha önce bildirilen 413 otomotiv yazılımı güvenlik açığını analiz etti.
Bu konuda Yazılım Kalitesi Dergisi'nde yayımlanan çalışmaya göre, incelenen güvenlik açıklarının yüzde 36,2'si dış uygulamalardan kaynaklandı. Araştırmacılar, önceki çalışmalarla karşılaştırıldığında otomotiv sektöründeki güvenlik risklerinin araç dışındaki yazılımlara doğru kaydığını da belirledi.
Artık her iki üniversitede görev yapan yazılım mühendisliği araştırmacısı Srijita Basu, otomotiv güvenliği açısından dikkat çeken gelişmenin, günlük çevrim içi hizmetlerde kullanılan teknolojilerin artık araçların güvenlik ekosisteminin de bir parçası haline gelmesi olduğunu söyledi.
OTOMOBİL sahiplerinin konum ve kişisel verileri risk altında
Otomobillere bağlanan mobil uygulamalar ve bulut hizmetleri, otomobilin nerelere gittiği, nasıl kullanıldığı ve bazı durumlarda sahibine ilişkin kişisel bilgileri depolayabiliyor.
Yine Basu, bu sistemlerdeki güvenlik zafiyetlerinin yetkisiz kişilerin söz konusu verilere erişmesine imkan tanıyabileceğini belirtti.
Bu arada risk yalnızca kişisel verilerle de sınırlı değil. Eğlence ve telematik sistemleri, aracın çalışma biçimine ilişkin bilgileri kaydedip diğer bileşenlerle paylaşabiliyor.
Srijita Basu, güvenlik açıklarının kötüye kullanılması ve sistemler arasındaki güvenlik sınırlarının yeterince güçlü olmaması durumunda saldırganların ilk eriştikleri bileşenin ötesine geçebileceği uyarısında bulundu.
O Araştırmada 827 savunmasız kütüphane tespit edildi
Yine araştırmacılar, güvenlik açıklarının hangi alanlarda yoğunlaştığını belirlemek için Ocak 2022-Eylül 2024 dönemine ait otomotiv yazılımı kayıtlarını ABD Ulusal Güvenlik Açığı Veri Tabanından topladı. Elde edilen veriler, farklı güvenlik kaynaklarıyla da karşılaştırıldı.
Dolayısıyla güvenlik kusurları; etkilenen yazılım, ciddiyet derecesi ve yazılım geliştirme sürecinde ortaya çıktıkları aşamalara göre sınıflandırıldı. Sonuçlar, 2010-2019 dönemini kapsayan önceki araştırmalarla karşılaştırıldı. Bu inceleme de harici yazılımlarla bağlantılı güvenlik açıklarının payında artış olduğunu gösterdi.
Yine çalışmada ayrıca yazılımlarda kullanılan hazır kod bileşenleri, yani kütüphaneler incelendi. Geliştiricilerin çeşitli işlevleri sıfırdan yazmak yerine kullandığı bu bileşenler, güvenlik açıklarının sistemlere taşınmasına neden olabiliyor.
Aynı araştırmacılar, beş farklı tarama aracıyla otomotiv yazılımında veya geliştirme süreçlerinde kullanılan 20 açık kaynaklı projeyi inceledi. Bu analizde toplam 827 savunmasız kütüphane belirlendi.
İlgili projeler arasında ortak kullanılan kütüphanelerin bulunması da riskin büyüklüğünü ortaya koydu. Buna göre yaygın kullanılan bir yazılım bileşenindeki güvenlik açığı, aynı bileşeni kullanan birden fazla sistemi etkileyebiliyor.
O Uzmanlardan otomobil üreticilerine güvenlik uyarısı
Yine Basu, otomobil üreticilerinin yazılımlarında hangi bileşenlerin kullanıldığını yakından takip etmesi gerektiğini vurguladı.
Üreticilerin üçüncü taraf geliştiricilerden temin edilen kütüphaneleri düzenli olarak taraması, yeni bildirilen güvenlik açıklarını izlemesi ve tespit edilen sorunları gidermek için önceden hazırlanmış planlara sahip olması gerektiğini belirtti.
Araştırmaya göre güvenlik açıklarının en büyük bölümü kodlama aşamasıyla bağlantılı. Tasarım aşamasındaki hatalar ise ikinci sırada yer alıyor.
Basu, siber güvenliğin yazılım geliştirme sürecinin en başından itibaren dikkate alınması ve araçların kullanım ömrü boyunca düzenli olarak test edilmesi gerektiğini söyledi.
Uzmanın öne çıkan önerilerinden biri de sürüş sistemlerinin eğlence ve dış bağlantı bileşenlerinden ayrılması. Böylece bilgi-eğlence sistemindeki olası bir güvenlik ihlalinin doğrudan aracın sürüş işlevlerine ulaşmasının önüne geçilmesi hedefleniyor.
Her güvenlik açığı sürüş kontrolüne erişim sağlamıyor
Araştırmacılar, tespit edilen her güvenlik açığının uzaktan kullanılabileceği veya aracın sürüş kontrollerine erişim sağlayabileceği anlamına gelmediğinin altını çizdi.
Çalışma, otomobillerin ne kadarının siber saldırılara açık olduğunu da ortaya koymuyor. İncelenen dönemde otomotiv sektörüne ilişkin yalnızca 17 güvenlik açığının ABD siber güvenlik ajansının istismar edildiği bilinen güvenlik açıkları kataloğunda yer aldığı belirtildi.
Ayrıca araştırmada incelenen 20 açık kaynaklı projenin tüm otomotiv sektörünü temsil etmeyebileceği ifade edildi.
Otomobillerde sahipleri hangi önlemleri almalı?
Basu, otomobil sahiplerine de bağlantılı sistemlerin güvenliğini artırmak için çeşitli önerilerde bulundu.
Bu kapsamda araç yazılımlarının güncel tutulması, bağlantılı araç hesaplarında güçlü ve başka hesaplarda kullanılmayan şifrelerin tercih edilmesi ve araca bağlı telefon uygulamalarının güvence altına alınması gerektiği belirtildi.
Araç sahiplerinin ayrıca hangi uygulama ve hizmetlerin konum bilgilerine ve kişisel verilere erişim izni bulunduğunu düzenli olarak kontrol etmesi önerildi.
Bununla birlikte Basu, yazılım güvenlik açıklarının önlenmesi ve kontrol altına alınmasındaki temel sorumluluğun otomobil üreticileri ve tedarikçilerine ait olduğunu vurguladı.
