Специалисты по безопасности предвещают очередную катастрофу с безопасностью открытого ПО, но на этот раз злоумышленники нацеливаются на ваш автомобиль.

Эксперты предупреждают, что в будущем году одна из именитых автомобильных компаний впервые будет вынуждена отозвать свои автомобили из-за нарушения в системе кибербезопасности.

Автомобили — это уже не только средство добраться из пункта A в пункт B. Они уже не просто набор механических деталей, смазанных машинным маслом, — теперь их правильная работа зависит от компьютерных систем.

Сейчас повсеместно стали использоваться разнообразные интеллектуальные системы — от информационно-развлекательных панелей с выходом в Интернет до систем техобслуживания, отсылающих сообщение владельцу о том, что машина нуждается в техосмотре. Таким образом, у злоумышленников появилась лазейка для злоупотребления этими системами.

В комплектацию типичной новой машины теперь входит ПО объемом более 100 млн. строк кода, в которых наверняка можно найти уязвимости, если учесть, что автомобиль умеет подключаться к Интернету.

Мы уже наблюдали, как исследователи показали способы, которыми можно провести удаленную атаку или взломать код автомобиля, однако специалисты по безопасности из Black Duck считают, что в 2017 г. подобные тенденции приобретут еще более зловещий характер.

Традиционно производители автомобилей плохо разбираются в программном обеспечении, поэтому разработку программ часто заказывают сторонним компаниям.

В ПО и онлайн-сервисах зачастую используются компоненты на базе открытых, совместно разрабатываемых технологий. И хотя открытое ПО крайне важно для существования бесчисленного множества приложений, в него могут незаметно закрасться ошибки: за последние несколько лет мы стали свидетелями обнаружения таких резонансных уязвимостей в открытом коде, как Heartbleed, Shellshock и Poodle.

По мнению вице-президента по стратегиям безопасности Майка Питтенджера и директора по маркетингу продуктов Патрика Кэри (оба — из Black Duck), ввиду того, что такое множество автомобилей теперь имеет в своем составе открытые программные компоненты, это потенциально слабое звено может послужить причиной отзыва автомобилей, последствия которого можно будет ощутить на себе в наступающем году.

Вот что говорят эксперты по безопасности: «Открытый код вовсю используется в современном ПО. Ежегодно обнаруживаются тысячи новых уязвимостей, и многие еще ждут своей очереди. Задача злоумышленников — любыми способами зацепиться в системе, а затем из этого плацдарма осуществить задуманное. И здесь речь может идти о захвате управления автомобилем или его блокировке».

Хакеры могут атаковать своих уязвимых жертв по самым разным причинам — политическим, финансовым или еще каким-нибудь. Тем не менее, за исключением, пожалуй, использования уязвимости в ПО или центральном замке с целью кражи автомобиля, не всегда сразу понятно, зачем кому-то замышлять крупномасштабные атаки на автомобили.

Транспорт является жизненно важной частью городской инфраструктуры, поэтому т. н. хактивисты запросто могут злоупотребить уязвимостью в открытом коде одного из компонентов, широко используемых в автомобилях, чтобы устроить хаос на дорогах в выбранных ими районах города.

К таким деятелям относятся, к примеру, общественные группы, считающие автомобили с большим расходом топлива угрозой для окружающей среды и готовые путем саботажа отсрочить продажу таких машин. Более того, подобные выходки могут даже спонсировать из государственного бюджета.

Например, вывод из строя определенного класса автомобилей на балансе спасательных служб, правоохранительных органов или бюджетных организаций, сыграл бы на руку инициаторам некой политической акции.

С другой стороны, атаки на автомобили могут причинить неприятности и по причине жажды наживы.

Вполне может быть, что в будущем злоумышленники будут действовать против автопроизводителей в надежде получить какой-либо «выкуп» — в той же мере, как программы-вымогатели шантажируют руководство больниц с целью заставить их платить. Сама угроза возможной атаки уже может вынудить компании платить, чтобы не пострадать от негативных последствий.

«Можно назвать такую схему частью программы Bug Bounty (когда компания сама платит тому, кто нашел ошибку в коде), но довольно нетрудно увидеть в ней возможность получить щедрое вознаграждение за предотвращение атаки на известную марку автомобилей», — говорит Питтенджер.

К сожалению, несмотря на все эти нависающие угрозы, потребители никоим образом не могут повлиять на ситуацию.

Несмотря на то, что производители авто используют некоторые системы обновлений по беспроводным протоколам, все же нельзя превентивно обновить ПО своей собственной машины, и если ваш автомобиль придется отозвать для системного ремонта, вам не остается ничего другого, кроме как ждать.

От подобных атак, разумеется, пострадают не только потребители. Отзыв продукции всегда воспринимается в штыки из-за сопутствующих неудобств, поэтому компании-производители также почувствуют на себе негативные последствия в виде ухудшения имиджа торговой марки и падения продаж.

Кроме того, до тех пор, пока все эти проблемы с безопасностью не будут решены, потребители могут быть подвержены определенному риску.

Если производители авто в будущем намерены защитить себя, свои торговые марки и своих покупателей от последствий таких кибератак, нужно предоставить больше сведений об открытом ПО, которое используется на всех этапах создания бортовых систем. Вдобавок, как только будут обнаружены уязвимости, компании по своему усмотрению должны разработать и привести в готовность систему патчей и обновлений, чтобы причинять как можно меньше проблем при обновлении прошивки автомобиля и встроенного ПО.

«Среднестатистический промежуток времени, затрачиваемого на решение проблем с отзывом авто (обычно речь идет о месяцах) совершенно не соответствует скорости, с которой данные об уязвимостях в системе безопасности становятся достоянием общественности и инструментом в руках злоумышленников, — сообщают исследователи. — Крупномасштабный отзыв продукции по причине трудноустраняемых дефектов (например, ошибок в программе, которые приходится исправлять в течение нескольких месяцев из-за того, что эта программа взаимодействует с другим программным и аппаратным обеспечением) может обернуться для торговой марки настоящей катастрофой».