روابط عمومی شرکت ایدکو (توزیع کننده محصولات کسپرسکی در ایران)؛ از سال گذشته کنترل اتومبیل از راه دور وجود داشته است. با این وجود اتومبیل های صفر کیلومتر را در خیابانها می بینیم که از راه دور تحت کنترل هکرها قرار می گیرند. پس این یک تهدید واقعی به شمار می رود یا یک نقض به حساب می آید؟
با قضاوت بر اساس مباحث سمینار RSA در سال 2016 با پاسخهای پیچیده ای روبرو هستیم. در حال حاضر با حداقل تهدیدات از اینگونه روبرو هستیم اما با پیشروی زمان افزایش این خطرات را هم می توانیم ببینیم. تولید کنندگان در صنعت اتومبیل چندین دهه است که با مشکلات اساسی مواجه می شوند. بنابراین اگر نمی خواهیم زمان را در این شرایط از دست دهیم باید در عملکرد خود عجله کنیم. خوشبختانه امروزه بسیاری از تولیدکنندگان خودرو متوجه این مسئله شده اند.
نیازی نیست نگران باشید...
اما اگر می خواهید به سطح بالائی از آدرنالین برسید، ویدئوی زیر را که توسط تیم Wired ضبط شده است و دو نفر از معروف ترین هکرها با نامهای Charlie Miller و Chris Valasek در آن شرکت دارند را ببینید.
در این ویدئو تدوینگر تیم Wired، Andy Greenberg را مشاهده می کنید که با یک خودروی جیپ جدید رانندگی می کند. در همان زمان Miller و Valasek ماشین Andy را هک می کنند: آنها رادیو و برف پاک کن را روشن کردند، ترمز ماشین را فعال کردند و در نتیجه فرمان، چرخها، پدالها بطور مستقل کار کردند. این به آن دلیل بود که آنها بطور مستقیم در اتصال نبودند – در بسیاری از سیستم های کامپیوتری ساخته شده یک عنصر مرتبط با کنترل می تواند کنترل اجزای دیگر را هم بدست آورد، که این نقطه آسیب پذیر مناسب هکرها است.
البته تنها چند اتومبیل مدرن وجود دارند که می توان با چنین راههایی آنها را هک کرد. به گفته کارشناسان کتاب آبی Kelley این موضوع در سمینار RSA گزارش شده که متوسط زمانی که ماشینها در جاده های ایالات متحده آمریکا رانده می شوند 11 سال است. اکثر این ماشینها هم با اینترنت و یا اتصال بلوتوث یا دیگر دستگاهها به هکرها اجازه نفوذ می دهند. آنها مانند dumbphone ها با تلفن های هوشمند جایگزین شده اند که البته اگر هنوز هم از همان گوشی های قدیمی استفاده می کردیم در برابر هکرها محافظت شده بودیم.
یک مجرم برای هک خودرو باید مطالعات بسیاری در زمینه فناوری و دستگاههای متصل با آن داشته باشد. این کاری بزرگ و پیچیده است که البته همه اینها هم کافی نیست چون باید برای تهیه یک خودرو و برخی تجهیزات خاص سرمایه گذاری کند. به عنوان مثال Miller و Valasek به مدت چهار سال در مورد هک ماشینهای مختلف مطالعه کردند.
رایانه های شخصی معمولا از پردازنده های (اینتل) و تنها از چند سیستم عامل (مانند ویندوز، OSX، لینوکس) استفاده می کنند. سیستم کامپیوتری یک خودرو شامل ده ها مدل رایانه می باشد که از طریق گذرگاههای تخصصی CAN بهم وصل می شوند.
از یک نظر این یک معماری بد در پیاده سازی اقدامات امنیتی است اما از دیدگاهی دیگر باعث می شود تا هکرها مجبور شوند از مسیرهای گوناگونی زمان را برای هک از دست بدهند.
هیچ جایی برای خشنودی وجود ندارد
البته این شرایط همیشگی نخواهد بود. تعداد اتومبیل های در اتصال با اینترنت روز به روز افزایش می یابد. با توجه به کتاب آبی Kelley در طی 5 سال گذشته میزان اتومبیل های در اتصال به طور پیش فرض از 2 به 151 عدد رسیده است.
علاوه بر این بسیاری از دستگاههای مرتبط با اینترنت می توانند توسط گذرگاه CAN برای اتومبیل های قدیمی هم ساخته شوند. به طور مثال شرکتهای بیمه می توانند از این طریق مشتریان خود را که رانندگان اتومبیل ها هستند را تحت بررسی رانندگی قرار دهند. چنین دستگاههایی را می توان از راه دور و از طریق گذرگاه CAN هک کرد که در ضمن سیستم حیاتی خودروها هم می باشد.
نگرش مثبت در اینجا این است که کارشناسان به مطالعه این مشکل رو به افزایش پرداخته اند. به عنوان مثال در مراکز تعمیرات خودرو، قابلیت تجزیه و تحلیل داده ها از شبکه امکان پذیر است. علاوه بر این در این مراکز می توانید ابزار و سایر زیرساختهای خودرو را بررسی و با داشتن ایده های جدید آنها را تعویض کنید.
ساده ترین تجهیزات برای یادگیری عملکرد گذرگاه CAN مطالعه Raspberry Pi یا Ardunio است. اینها با لوازم جانبی حدود 100 دلار هزینه در بر خواهند داشت. در این موارد برنامه هایی با منابع باز هم وجود دارند که قابلیت های متفاوتی را دارا می باشند. برخی از آنها حتی به صورت رایگان عرضه می شوند. این به این معنی است که پروتکل های کنترل رمزگشایی شبکه، افزایش خواهند داشت و به سرعت رو به آسیب پذیری خواهند رفت. برنامه های مخرب از این دست فقط نیاز به زمان دارند.
زمان عمل
در اینجا یک راه حل اصلی و آسان مانند نصب یک آنتی ویروس برای سیستم کامپیوتری وجود دارد. گذرگاه CAN یک پروتکل استاندارد است که از دهه 80 میلادی رواج داشته است. این پروتکل به شما اجازه می دهد به تمام سیستم ها بدون احراز هویت، اتصال برقرار کنید. اگر می خواهید از این خطر در امان بمانید باید تمام سیستم اتومبیل را عوض کنید. این کار به دلایل زیادی بهتر است انجام شود: هر چند در حال حاضر می دانیم تنها در یک یا دو مورد ماشینها هک شده اند اما فراخوانی توسط تولیدکنندگان باید صادر شود تا تمام مصرف کنندگان در جریان قرار بگیرند. پس از هک چروکی و فیات کرایسلر 1.4 میلیون اتومبیل دیگر هم باید مورد توجه باشند. انگیزه دیگر برای تولیدکنندگان در گزارش کتاب آبی Kelley این است که اکثر افراد فکر می کنند تولیدکنندگان، اتومبیل ها را با یک سیستم امنیتی ارائه می کنند.
در همین زمان هم صنعت خودرو بدون هیچ تجربه ای در جهت ایجاد امنیت تجهیزات اتومبیل ها به تولید خود ادامه می دهند. این شرایط برای تولیدکنندگان قطعات هم یکسان است و آنها هم با همین مشکل روبرو هستند.
خوشبختانه کارشناسان امنیتی و کمپانی ها با این مشکلات به خوبی آشنا هستند با اینکه این قبیل مشکلات از حدود 10 سال پیش وجود داشته اند. در پروژه "من یک سواره نظام هستم" هر برنامه امنیتی می تواند پنج ستاره دریافت کند که هر ستاره به ازای هر اقدام امنیتی درستی که انجام می شود اهدا می گردد. حال ما در اینجا با پنج مشکل عمده که باید حل شوند روبرو هستیم:
- ایجاد امنیت در چرخه نرم افزارهای توسعه یافته یا طراحی آنان
این بدین معنی است که خودرو شما بر اساس اصول امنیتی تعبیه شده است و پروژه ها بر اساس استاندارد بیش از پیش قابل اطمینان و جامع خواهند بود. سخت افزار و نرم افزاری که شما آنها را در دسترس خواهید داشت قابل ردیابی و اصلاح شدن هستند. در این حالت سطح حملات و پیچیدگی کدها به طور سیستماتیک کاهش می یابد و در نهایت شما به طور منظم از متخصصان هم جهت بررسی ها می توانید کمک بگیرید.
- همکاری شخص ثالث
در این بخش دیگر محققان نقاط آسیب پذیر را یافته اند و آنها را گزارش می کنند. این گزارش برای تهدید یا ارائه در دادگاه نیست، برای این است که برنامه های مناسبی که دارای عملکرد درست می باشند مورد تشویق و معرفی قرار بگیرند. برای مثال Tesla برای یافتن نقاط آسیب پذیر در اتومبیل ها در صنعت گسترده خودرو به کارشناسان پاداش می دهد.
- ضبط شواهد
تا زمانیکه اتومبیل ها دارای "جعبه سیاه" نشوند بسیار مشکل است که بروز حوادث را بر اساس هک شدن تشخیص دهیم. چنین جعبه های سیاهی باید تبادل اطلاعات را در گذرگاه CAN ثبت کنند. در همین زمان هم باید نگران مسائل حریم خصوصی هم باشیم که داده ها به هر جائی انتقال پیدا نکنند.
- بروز رسانی امنیتی
اگر اتومبیل شما در مقابل هکرها آسیب پذیر است، شما می توانید این مشکل را فقط در مراکز امداد خودرو حل کنید. البته این یک فرآیند پیچیده بروز رسانی را در بر دارد. بدیهی است که تعدادی از مردم این بروز رسانی ها را نصب نکنند. به همین دلیل توصیه می کنیم که از "تعمیرگاههای باز" برای ایجاد یک سیستم بروز رسانی "در پرواز" دقیقا مانند طرحی که اپل برای آیفون ایجاد کرد استفاده کنید.
اجزای اصلی سیستم بروز رسانی های امنیتی، موافقت نامه های سطح خدمات و برنامه های اطلاع رسانی مشتریان می باشند.
- تقسیم بندی و جدا سازی
سیستم های حیاتی و غیر حیاتی باید کاملا مستقل عمل کنند، طوریکه مجرمان سایبری نتوانند با استفاده از یک برنامه سرگرمی تمام اتومبیل ها را هک کنند. اجرای این تکنیک ها برای یک سیستم به خطر افتاده الزامی است.
تمام این اقدامات به بهترین نحو برای اتومبیل ها انجام خواهد شد اما متاسفانه در چند سال آینده این عمل صورت میگیرد. اما امروزه تعداد اتومبیل های آسیب پذیر رو به افزایش است در حالیکه آنها می خواهند حداقل بیش از 10 سال در جاده ها عمر کنند و بر طبق همین دلایل شما خیلی زود نیاز دارید تا نگران امنیت خودروها شوید و باز هم بر طبق همین دلایل تولیدکنندگان خودروها باید هم اکنون به فکر باشند.
ما در لابراتوار کسپرسکی در فرآیند توسعه این امر قرار داریم. ما با آغوش باز آماده همکاری با خودرو سازان و تولیدکنندگان قطعات خودرو برای طراحی امنیت هستیم. سیستم عامل امن ما کمک می کند تا این چالش بزرگ را پشت سر بگذاریم.
منبع: کسپرسکی آنلاین(ایدکو)
* کسپرسکی اسم یکی از بزرگترین شرکتهای امنیتی و سازنده آنتی ویروس است که برخی از کاربران اشتباهاً این شرکت و محصولات آنتی ویروس آن را با عناوینی نظیر کسپرسکای،کاسپرسکی، کسپراسکی، کسپراسکای، و یا کاسپراسکای نیز می‌شناسد. همچنین لازم به ذکر است مدیرعامل این شرکت نیز یوجین کسپرسکي نام دارد.
