Otomobil üreticisi Fiat Chrysler’ın 1,4 milyon aracı etkileyen bir yazılım güncellemesiyle kusuru düzelttiği geri çağırma, araç içi sistemlere yönelik siber tehditleri gündeme getirmişti. Yeni bir çalışma, güvenlik açıklarının artık araçlara bağlı mobil uygulamalar ve çevrimiçi hizmetler gibi daha geniş bir ağa yayıldığını ortaya koydu.
İsveç’teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesi araştırmacıları, otomotiv yazılımlarındaki 413 güvenlik açığını analiz etti. Bulgulara göre, bu açıkların yüzde 36,2’si harici uygulamalardan kaynaklanıyor. Bu durum, önceki araştırmalara kıyasla dışarıdan bağlanan yazılımlara yönelik güvenlik açıklarının arttığını gösteriyor.
Çalışmanın yazarlarından yazılım mühendisliği araştırmacısı Srijita Basu, sıradan çevrimiçi hizmetlerde kullanılan teknolojilerin otomotiv güvenliği alanına entegre olmasının dikkat çekici olduğunu belirtti. Bu geniş ağ, mobil ve web uygulamaları ile bulut hizmetlerini kapsıyor ve bu hizmetler, araçla ilgili konum, kullanım şekli ve kişisel verileri depolayabiliyor. Zayıf güvenlik önlemleri, bu hassas verilere yetkisiz erişime yol açabilir.
Araştırmacılar, eğlence ve telematik sistemlerinin aracın çalışma verilerini kaydedip ileten yazılımlarla etkileşim kurabildiğini tespit etti. Bir güvenlik açığının kötüye kullanılması ve kritik sürüş fonksiyonlarına erişim sağlayan güvenlik sınırlarının yetersiz olması durumunda, saldırganların araç içindeki sistemlere sızma potansiyeli bulunuyor.
Ocak 2022 ile Eylül 2024 arasındaki otomotivle ilgili güvenlik kayıtları incelendi. Kusurlar, etkilenen yazılım türü, ciddiyeti ve geliştirme aşamasına göre kategorize edildi. 2010-2019 dönemini kapsayan önceki çalışmalarla yapılan karşılaştırmalar, harici yazılımların payının arttığını doğruladı.
Araştırmacılar ayrıca, geliştiricilerin hazır kod bileşenleri olan kütüphaneleri kullanarak yazılım geliştirdiğini ve bu kütüphaneler aracılığıyla güvenlik açıklarının otomotiv yazılımlarına sızabileceğini belirledi. İncelenen 20 açık kaynaklı projede 827 savunmasız kütüphane tespit edildi. Yaygın olarak kullanılan bir kütüphanedeki zafiyetin birden fazla sistemi etkileyebileceği vurgulandı.
Basu, otomobil üreticilerinin yazılımlarına entegre edilen bileşenleri bilmeleri, harici kütüphaneleri düzenli olarak taramaları, yeni güvenlik açıklarını takip etmeleri ve düzeltmeleri uygulamak için bir plan oluşturmaları gerektiğini önerdi. Analiz, en büyük güvenlik açıklarının kod yazım aşamasıyla, ardından da tasarım aşamasıyla ilişkili olduğunu gösterdi. Güvenliğin tasarım aşamasından itibaren inşa edilmesi ve aracın kullanım ömrü boyunca test edilmesi gerektiği belirtildi.
Sürüş sistemlerinin eğlence ve harici bileşenlerden ayrılması gibi öneriler, bir sistemdeki ihlalin diğer kritik fonksiyonlara ulaşmasını engelleyebilir. Basu, bildirilen her kusurun uzaktan istismar edilebileceği veya sürüş kontrollerine erişim sağlayacağı anlamına gelmediğini, ancak araştırmanın saldırıya uğrayabilecek araçların oranını belirleyemediğini ekledi.
Çalışma dönemindeki otomotivle ilgili güvenlik açıklarının yalnızca küçük bir kısmının istismar edildiği bilinen kusurlar kataloğunda yer aldığı belirtildi. Yazılım Kalitesi Dergisinde yayımlanan araştırmada, taranan projelerin tüm sektörü temsil etmeyebileceği de ifade edildi.
Basu, araç sahiplerine yazılımlarını güncel tutmalarını, güçlü şifreler kullanmalarını, bağlantılı telefon uygulamalarını güvence altına almalarını ve konum ile kişisel verilere erişim iznini kontrol etmelerini tavsiye etti. Ancak, siber güvenlik açıklarını önleme ve kontrol altına alma konusundaki asıl sorumluluğun üreticiler ve tedarikçilerde olduğunu vurguladı.
