W skrócie:

• Dwóch badaczy bezpieczeństwa i dziennikarz z Wired przeprowadzili eksperyment z atakiem na samochód w czasie normalnej jazdy.
• Atak nastąpił zdalnie.
• Chrysler wydał łatkę dla swojego oprogramowania.
• Politycy w USA już proponują ustawę, która podniesie bezpieczeństwo informatyczne pojazdów. 

W ubiegłym tygodniu firma Chrysler po cichutku zrobiła coś bardzo ważnego. Udostępniła aktualizację poprawiającą bezpieczeństwo swoich pojazdów. W komunikacie na ten temat firma wspomniała, że dzisiejsze pojazdy wymagają aktualizacji bezpieczeństwa tak samo jak smartfony czy tablety. Firma nie wspomniała jednak, że wypuszczenie tej aktualizacji ma uodpornić auta na metody ataku opracowane przez Charliego Millera oraz Chrisa Valaseka. Ci panowie od dawna badali bezpieczeństwo Jeepa Cherokee.

Jeep "ubity" na drodze

Wczoraj Wired opublikował opis eksperymentu przeprowadzonego przez Millera i Valaseka przy udziale dziennikarza Andy'ego  Greenberga. Dziennikarz miał jechać Jeepem i nie panikować, natomiast hakerzy mieli mu pokazać, co mogą zrobić z samochodem, siedząc przy komputerze w domu oddalonym o 16 km.

Zaczęło się niewinnie. Najpierw Miller i Valasek bawili się klimatyzacją. Potem włączyli radio, wycieraczki i spryskiwacz. Hakerzy wyświetlili też swoje zdjęcia na monitorze w aucie. To było jeszcze zabawne. W pewnym momencie gaz w samochodzie przestał reagować. Jeep zaczął wytracać prędkość, droga się wznosiła, a wszystko działo się na dość zatłoczonej drodze. Hakerzy obiecali nie robić nic zagrażającego życiu, ale ta sytuacja mogła być niebezpieczna. Greenberg nie wyglądał na całkiem spokojnego.

Nie był to pierwszy taki eksperyment. Dwa lata wcześniej hakerzy wykorzystali Greenberga jako królika doświadczalnego przy testach na parkingu. Wówczas mogli kontrolować kierownicę lub sprawić, by hamulce przestały działać. W tamtym "parkingowym" eksperymencie laptop usiał być podłączony bezpośrednio do portu diagnostycznego. W omawianym przypadku atak był dokonany zdalnie przez internet.

Poniżej zapis wideo tego najnowszego eksperymentu:

Auta hakowane nie od dziś

Oglądając ten eksperyment, możecie sobie zadać dwa rozsądne pytania:

1. Po co w ogóle samochody łączą się z internetem? 
2. Czy producenci samochodów nie powinni przewidzieć takich możliwości? 

Współczesne samochody mogą udostępniać różne funkcje przez aplikację i mogą oferować łączność Wi-Fi na pokładzie. To oczywiście wymaga łączenia się z internetem. Czy w takim razie producenci nie mogli przewidzieć, że ktoś "rozpracuje" ich auto i zyska możliwość przeprowadzania ataków? Nie musieli tego przewidywać. Ta możliwość została wskazana przez naukowców wiele lat temu. 

W roku 2010 grupa naukowców z University of California San Diego oraz University of Washington opublikowała swój artykuł dotyczący możliwości zdalnego wpływania na działanie aut z wykorzystaniem komputera połączonego z systemem diagnostycznym samochodu. Już wówczas naukowcy mówili, że możliwe jest zdalne kontrolowanie klimatyzacji, radia, hamulców i wskazań urządzeń pokładowych. Nie chcieli oni wywoływać paniki i przedstawili swoje ustalenia w typowej dla nich, suchej, niesensacyjnej formie. 

Potem temat podejmowali różni badacze, ale zawsze podchodzono do tego jak do ciekawostki. Eksperyment z udziałem Greenberga był nie tylko udany. Został przeprowadzony w taki sposób, że do ludzkich umysłów dotarło istotne przesłanie - współczesne auta naprawdę mogą być celem zdalnego ataku. Inna rzecz, że takie auta mogą być również narzędziem śledzenia kierowcy. Rozwijaliśmy ten temat w tekście pt. Nowoczesne auta będą śledzić kierowców. Trzeba już ustalić zasady śledzenia?

Senatorowie interweniują

Wired nagłośnił wczoraj swój eksperyment, a w tym samym dniu amerykańscy senatorzy Edward J. Markey oraz Richard Blumenthal przedstawili projekt ustawy, która miałaby prowadzić do ustanowienia standardów cyberbezpieczeństwa samochodów i prywatności kierowców. Jak zwykle w USA, senatorzy wymyślili chwytliwą nazwę dla ustawy - Security and Privacy in Your Car Act, czyli w skrócie SPY Car Act.

Ustawa miałaby zagwarantować, że "punkty dostępowe" do samochodu będą izolowane od systemów krytycznych. Dane o pojeździe mają być chronione przed osobami niepowołanymi, a ponadto auta mają być wyposażone w systemy wykrywania ataków hakerów. 

Czy zmiana prawa pomoże? I tak, i nie. Na całym świecie różne kwestie bezpieczeństwa są regulowane prawnie. Dzięki temu producenci urządzeń i dostawcy usług mają świadomość, że bezpieczeństwo nie jest tylko atrakcyjnym dodatkiem do produktu. Zapewnienie bezpieczeństwa powinno być obowiązkiem producenta. 

A jeśli sam zhakuję auto?

Oczywiście  żadne prawo nie powstrzyma hakerów (tych dobrych i tych złych) przed badaniem możliwości ataku na auta i inne pojazdy. Zawsze może się zdarzyć, że producent auta nie będzie pierwszym, który wiedział o błędzie. Rynek samochodów zacznie przypominać rynek IT pod względem bezpieczeństwa. Będzie to niekończący się wyścig o bezpieczeństwo lub możliwość uzyskania kontroli. 

Inna rzecz, że ludzie będą próbować hakować własne auta, by mieć nad nimi więcej kontroli lub móc samodzielnie je naprawić. To też może być wyzwaniem Pewnego dnia możemy się dowiedzieć, że haker rzeczywiście przejął kontrolę nad autem, ale producent nie poczuwa się do winy, bo właściciel wcześniej sam złamał zabezpieczenia.