В России разработали методику проверки кибербезопасности автомобилей

Современный автомобиль представляет собой сложную электронную систему, связанную с интернетом, мобильными приложениями, диагностическим оборудованием и другими устройствами. Такая интеграция делает машину удобнее, но одновременно создает дополнительные риски. При наличии уязвимостей злоумышленник может попытаться получить доступ к внутренним сетям автомобиля или перегрузить каналы связи так, чтобы штатные команды обрабатывались с задержкой либо терялись.

‹›

Особенно чувствительными считаются системы, связанные с рулевым управлением, тормозами, силовой установкой и удаленными сервисами. Поэтому автопроизводители и независимые лаборатории регулярно проверяют электронные компоненты и готовые автомобили. В России для этого разработали методику CyberNCAP, которая должна стать частью национального рейтинга безопасности RuNCAP.

Что проверяет CyberNCAP

Российская методика включает шесть групп испытаний. Эксперты не ставят задачу любой ценой взломать автомобиль, а проверяют типовые каналы взаимодействия с внешними устройствами и инфраструктурой. В ходе тестов оценивается, насколько штатное программное обеспечение защищает машину от несанкционированных подключений и команд.

• Физические порты и носители: USB, SD, OBD-II и диагностические разъемы.
• Беспроводные интерфейсы ближнего действия: Wi-Fi и Bluetooth.
• Диагностический доступ и сервисные функции: протоколы OBD и UDS.
• Телематика и удаленные сервисы: мобильные приложения и облачные хранилища.
• Связь с инфраструктурой и другими автомобилями: V2V и V2X.
• Другие беспроводные интерфейсы: RFID, NFC, бесключевой доступ и радиоканалы.

Проверке подлежат как относительно безопасные настройки, так и функции, вмешательство в которые потенциально может повлиять на управление автомобилем. Для каждого испытания предусмотрены три результата: нулевая оценка при неудовлетворительной защите, полный балл при надежной защите и половина баллов при наличии некритичных уязвимостей.

Итог CyberNCAP будет учитываться в общем рейтинге RuNCAP. Публичной станет общая оценка, а подробный технический отчет направят производителю. После этого у компании будет 90 дней на анализ результатов и выпуск программных исправлений.

Результаты первых испытаний

Официальный запуск тестов пока не состоялся, как и полноценный старт рейтинга RuNCAP. Однако первые автомобили уже прошли проверку в лаборатории на Дмитровском автополигоне НАМИ. Эксперты испытали электрокроссовер Tesla Model Y и электрический седан Xiaomi SU7.

Tesla Model Y получила четыре звезды из пяти и результат 72%. Испытатели обнаружили недостаточную защиту CAN-шины при неавторизованном физическом подключении через диагностический разъем OBD-II. Кроме того, была отмечена возможность перехвата сигнала бесключевого доступа по Bluetooth с последующей ретрансляцией.

Xiaomi SU7 набрал 60% и получил три звезды. Как и в случае с Tesla, специалисты смогли получить несанкционированный доступ к CAN-шине через OBD-II. При испытаниях удалось отправить команды, связанные с управлением тормозами и рулем. Также эксперты указали на пробелы в защите телематики, удаленных сервисов, диагностических и сервисных функций, Bluetooth и доступа с помощью ключ-карты.

Риски передачи данных

Отдельное направление проверки связано с объемом данных, которые автомобиль передает наружу. В некоторых странах уже обсуждаются ограничения на движение отдельных моделей, прежде всего китайских, вблизи военных объектов. Причина — опасения, что камеры и другие датчики автомобиля могут использоваться не только для работы бортовых систем, но и для передачи записей внешним получателям.

Производители обычно заявляют, что собирают данные обезличенно и используют их для развития автомобильных систем. Однако специалисты НАМИ во время испытаний в изолированной лаборатории заметили на некоторых машинах значительный исходящий трафик, происхождение которого неочевидно с учетом официально заявленных функций. Это не доказывает передачу конкретных сведений третьим сторонам, но показывает, что вопрос требует дополнительного изучения.

Инциденты, связанные с вмешательством в программное обеспечение и управление автомобилями, фиксируют по всему миру уже не первый год. Пока многие из них не приводят к серьезным последствиям, однако распространение подключенных сервисов и систем автоматизации повышает цену возможной уязвимости. Именно поэтому проверка кибербезопасности постепенно становится частью общей оценки безопасности автомобиля.