Araçların iç sistemlerini hedef alan siber saldırıların ardından, İsveçli araştırmacılar otomotiv yazılımlarındaki güvenlik açıklarının artık araç dışı uygulamalara ve çevrimiçi hizmetlere kaydığını ortaya koydu. Fiat Chrysler’in daha önce benzer bir kusuru gidermek için milyonlarca aracı geri çağırması, bu tür zafiyetlerin ciddiyetini gözler önüne sermişti.
Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesi’nden araştırmacılar, 413 otomotiv yazılımı güvenlik açığını analiz etti. Analizler, bu açıkların yüzde 36,2’sinin dış uygulamalardan kaynaklandığını gösterdi. Yazılım Kalitesi Dergisi’nde yayımlanan çalışma, önceki araştırmalara kıyasla dışarıdan bağlanan yazılımlara doğru belirgin bir artış olduğunu tespit etti.
Yazılım mühendisliği araştırmacısı Srijita Basu, sıradan çevrimiçi hizmetlerde kullanılan teknolojilerin artık otomotiv güvenliği alanında da yaygınlaşmasının dikkat çekici olduğunu belirtti. Bu genişleyen ağ; mobil ve web uygulamaları, bulut hizmetleri ve uzak sunucularda veri depolayan veya işleyen sistemleri kapsıyor.
Basu, bir otomobile bağlı uygulamaların ve bulut hizmetlerinin, aracın seyahat rotası, kullanım şekli ve hatta sahibine dair hassas verileri depolayabildiğini açıkladı. Bu sistemlerdeki zayıf güvenlik önlemleri, yetkisiz kişilerin bu verilere erişmesine yol açabilir.
Güvenlik açıkları, aracın içindeki sistemlere de sıçrayabilir. Basu, eğlence ve telematik sistemlerinin, aracın çalışma verilerini kaydeden ve ileten yazılımların diğer bileşenleriyle veri alışverişi yapabildiğini belirtti. Bir güvenlik açığından yararlanılması ve bu sistemler ile kritik sürüş işlevleri arasındaki güvenlik bariyerlerinin yetersiz olması durumunda, saldırganların sürüş sistemlerine erişim sağlama riski bulunuyor.
Araştırmacılar, zayıflıkların yoğunlaştığı alanları belirlemek için Ocak 2022’den Eylül 2024’e kadar olan otomotivle ilgili güvenlik kayıtlarını ABD Ulusal Güvenlik Açığı Veri Tabanı’ndan topladı. Bulgular, 2010-2019 dönemini kapsayan önceki araştırmalarla karşılaştırıldığında, harici yazılımları içeren açıkların payının arttığına işaret etti.
Ekip ayrıca, geliştiricilerin görevleri yerine getirmek için kullandığı hazır kod bileşenleri olan kütüphaneler aracılığıyla kusurların otomotiv yazılımına nasıl girebileceğini de inceledi. Bu kapsamda, otomotiv yazılımında veya geliştirilmesinde kullanılan 20 açık kaynaklı proje üzerinde yapılan incelemede 827 savunmasız kütüphane tespit edildi. Projeler arasında paylaşılan kütüphanelerin varlığı, yaygın bir bileşendeki zayıflığın birden fazla sistemi etkileyebileceği anlamına geliyor.
Basu, üreticilerin yazılımlarına entegre edilen bileşenleri bilmeleri, dışarıdan alınan kütüphaneleri düzenli olarak taramaları, yeni bildirilen kusurları takip etmeleri ve düzeltmeleri uygulamak için bir plan oluşturmaları gerektiğini vurguladı. Analiz, en büyük güvenlik açığı grubunun kodun yazıldığı aşamayla, ardından da tasarım aşamasıyla ilişkili olduğunu ortaya koydu.
Güvenliğin en başından itibaren tasarlanması ve aracın ömrü boyunca test edilmesi gerektiğini belirten Basu, sürüş sistemlerinin eğlence ve dışarıdan bağlanan bileşenlerden ayrılmasını önerdi. Bu ayrım, bir bileşendeki ihlalin sürüş işlevlerine otomatik olarak sıçramasını engelleyecektir. Basu, bildirilen her kusurun uzaktan istismar edilebileceği veya sürüş kontrollerine erişim sağladığı anlamına gelmediğini, ancak riskin var olduğunu belirtti.
Araştırmacılar, araç sahiplerine yazılımlarını güncel tutmalarını, güçlü şifreler kullanmalarını, bağlantılı telefon uygulamalarını güvence altına almalarını ve konum ile kişisel detaylara erişim izni veren hizmetleri dikkatle kontrol etmelerini tavsiye etti. Ancak, yazılım güvenlik açıklarını önleme ve kontrol altına alma konusundaki ana sorumluluğun üreticiler ve tedarikçilerde olduğu vurgulandı.
