Aracınızın En Büyük Güvenlik Açığı Düşündüğünüz Yerde Değil!

Otomobillerde kullanılan bağlantılı uygulamalar ve çevrim içi hizmetler, siber güvenlik açısından yeni riskleri beraberinde getiriyor. İsveç'teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesi'nden araştırmacıların yaptığı çalışma, otomotiv yazılımlarındaki güvenlik açıklarının önemli bir bölümünün araç dışındaki uygulamalardan kaynaklandığını ortaya koydu. Araştırmaya göre incelenen güvenlik açıklarının yüzde 36,2'si dış uygulamalarla bağlantılı.

Bir otomobilin eğlence sistemi üzerinden frenlerine müdahale edilebileceği düşüncesi ilk bakışta uzak bir ihtimal gibi görünebilir. Ancak 2015 yılında güvenlik araştırmacıları, bir Jeep Cherokee'nin bilgi-eğlence sistemine uzaktan erişerek aracın sürüş işlevlerine müdahale edebildiklerini göstermişti.

Olayın ardından Fiat Chrysler, yazılım açığını gidermek amacıyla ABD genelinde yaklaşık 1,4 milyon aracı kapsayan geri çağırma kararı almıştı.

Yeni araştırma ise otomobillerin yalnızca kendi içindeki yazılımların değil, araçlarla bağlantılı mobil uygulamaların, web hizmetlerinin ve bulut sistemlerinin de siber saldırılar açısından risk oluşturabileceğine dikkat çekiyor.

İsveç'teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesinden araştırmacılar, daha önce bildirilen 413 otomotiv yazılımı güvenlik açığını analiz etti.

Yazılım Kalitesi Dergisi'nde yayımlanan çalışmaya göre, incelenen güvenlik açıklarının yüzde 36,2'si dış uygulamalardan kaynaklandı. Araştırmacılar, önceki çalışmalarla karşılaştırıldığında otomotiv sektöründeki güvenlik risklerinin araç dışındaki yazılımlara doğru kaydığını da belirledi.

Her iki üniversitede görev yapan yazılım mühendisliği araştırmacısı Srijita Basu, otomotiv güvenliği açısından dikkat çeken gelişmenin, günlük çevrim içi hizmetlerde kullanılan teknolojilerin artık araçların güvenlik ekosisteminin de bir parçası haline gelmesi olduğunu söyledi.

Araçlara bağlanan mobil uygulamalar ve bulut hizmetleri, otomobilin nerelere gittiği, nasıl kullanıldığı ve bazı durumlarda sahibine ilişkin kişisel bilgileri depolayabiliyor.

Basu, bu sistemlerdeki güvenlik zafiyetlerinin yetkisiz kişilerin söz konusu verilere erişmesine imkan tanıyabileceğini belirtti.

Risk yalnızca kişisel verilerle de sınırlı değil. Eğlence ve telematik sistemleri, aracın çalışma biçimine ilişkin bilgileri kaydedip diğer bileşenlerle paylaşabiliyor.

Basu, güvenlik açıklarının kötüye kullanılması ve sistemler arasındaki güvenlik sınırlarının yeterince güçlü olmaması durumunda saldırganların ilk eriştikleri bileşenin ötesine geçebileceği uyarısında bulundu.

Araştırmacılar, güvenlik açıklarının hangi alanlarda yoğunlaştığını belirlemek için Ocak 2022-Eylül 2024 dönemine ait otomotiv yazılımı kayıtlarını ABD Ulusal Güvenlik Açığı Veri Tabanından topladı. Elde edilen veriler, farklı güvenlik kaynaklarıyla da karşılaştırıldı.

Güvenlik kusurları; etkilenen yazılım, ciddiyet derecesi ve yazılım geliştirme sürecinde ortaya çıktıkları aşamalara göre sınıflandırıldı. Sonuçlar, 2010-2019 dönemini kapsayan önceki araştırmalarla karşılaştırıldı. Bu inceleme de harici yazılımlarla bağlantılı güvenlik açıklarının payında artış olduğunu gösterdi.

Çalışmada ayrıca yazılımlarda kullanılan hazır kod bileşenleri, yani kütüphaneler incelendi. Geliştiricilerin çeşitli işlevleri sıfırdan yazmak yerine kullandığı bu bileşenler, güvenlik açıklarının sistemlere taşınmasına neden olabiliyor.

Araştırmacılar, beş farklı tarama aracıyla otomotiv yazılımında veya geliştirme süreçlerinde kullanılan 20 açık kaynaklı projeyi inceledi. Bu analizde toplam 827 savunmasız kütüphane belirlendi.

Projeler arasında ortak kullanılan kütüphanelerin bulunması da riskin büyüklüğünü ortaya koydu. Buna göre yaygın kullanılan bir yazılım bileşenindeki güvenlik açığı, aynı bileşeni kullanan birden fazla sistemi etkileyebiliyor.

Basu, otomobil üreticilerinin yazılımlarında hangi bileşenlerin kullanıldığını yakından takip etmesi gerektiğini vurguladı.

Üreticilerin üçüncü taraf geliştiricilerden temin edilen kütüphaneleri düzenli olarak taraması, yeni bildirilen güvenlik açıklarını izlemesi ve tespit edilen sorunları gidermek için önceden hazırlanmış planlara sahip olması gerektiğini belirtti.

Araştırmaya göre güvenlik açıklarının en büyük bölümü kodlama aşamasıyla bağlantılı. Tasarım aşamasındaki hatalar ise ikinci sırada yer alıyor.

Basu, siber güvenliğin yazılım geliştirme sürecinin en başından itibaren dikkate alınması ve araçların kullanım ömrü boyunca düzenli olarak test edilmesi gerektiğini söyledi.

Uzmanın öne çıkan önerilerinden biri de sürüş sistemlerinin eğlence ve dış bağlantı bileşenlerinden ayrılması. Böylece bilgi-eğlence sistemindeki olası bir güvenlik ihlalinin doğrudan aracın sürüş işlevlerine ulaşmasının önüne geçilmesi hedefleniyor.

Araştırmacılar, tespit edilen her güvenlik açığının uzaktan kullanılabileceği veya aracın sürüş kontrollerine erişim sağlayabileceği anlamına gelmediğinin altını çizdi.

Çalışma, otomobillerin ne kadarının siber saldırılara açık olduğunu da ortaya koymuyor. İncelenen dönemde otomotiv sektörüne ilişkin yalnızca 17 güvenlik açığının ABD siber güvenlik ajansının istismar edildiği bilinen güvenlik açıkları kataloğunda yer aldığı belirtildi.

Ayrıca araştırmada incelenen 20 açık kaynaklı projenin tüm otomotiv sektörünü temsil etmeyebileceği ifade edildi.

Basu, otomobil sahiplerine de bağlantılı sistemlerin güvenliğini artırmak için çeşitli önerilerde bulundu.

Bu kapsamda araç yazılımlarının güncel tutulması, bağlantılı araç hesaplarında güçlü ve başka hesaplarda kullanılmayan şifrelerin tercih edilmesi ve araca bağlı telefon uygulamalarının güvence altına alınması gerektiği belirtildi.

Araç sahiplerinin ayrıca hangi uygulama ve hizmetlerin konum bilgilerine ve kişisel verilere erişim izni bulunduğunu düzenli olarak kontrol etmesi önerildi.

Bununla birlikte Basu, yazılım güvenlik açıklarının önlenmesi ve kontrol altına alınmasındaki temel sorumluluğun otomobil üreticileri ve tedarikçilerine ait olduğunu vurguladı.

Araştırma, Yazılım Kalitesi Dergisi'nde yayımlandı.