Otomobillerin En Büyük Güvenlik Açığı Dış Bağlantılı Yazılımlarda Tespit Edildi
Otomobillerdeki güvenlik açıkları araç içi sistemlerden dış bağlantılı yazılımlara kaydı. Yeni araştırma, harici uygulamaların zafiyetlerdeki payını %36,2 olarak belirledi.
Otomobillerdeki en önemli güvenlik zafiyetlerinin, araç içi sistemler yerine dışarıdan bağlanan uygulamalar ve çevrim içi hizmetlerde yoğunlaştığı yeni bir araştırma ile ortaya kondu. İsveçli araştırmacılar, araçlara entegre edilen yazılımlardaki güvenlik açıklarını analiz ederek, bu zafiyetlerin yüzde 36,2’sinin harici uygulamalardan kaynaklandığını belirledi.
Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesi’nden bilim insanları, otomotiv sektöründeki 413 yazılım güvenlik açığını inceledi. Bulgular, önceki araştırmalara kıyasla güvenlik açıklarının odağının, araç içindeki sistemlerden dışarıdan bağlanan yazılımlara doğru kaydığını gösteriyor.
Dış Bağlantılı Sistemlerde Güvenlik Açığı Artıyor
Yazılım mühendisliği araştırmacısı Srijita Basu, sıradan çevrim içi hizmetlerde kullanılan teknolojilerin otomotiv güvenliği alanında giderek daha fazla yer bulmasının dikkat çekici olduğunu belirtti. Bu geniş ağ; mobil uygulamalar, web servisleri ve bulut bilişim hizmetlerini kapsıyor.
Basu, araçlara bağlı uygulamaların ve bulut hizmetlerinin, aracın hareket rotası, kullanım şekli ve hatta sahibine dair hassas verileri depolayabildiğini açıkladı. Bu sistemlerdeki zayıf güvenlik önlemleri, yetkisiz kişilerin bu verilere erişmesine imkan tanıyabilir.
Güvenlik açıkları, aracın içindeki bilgi-eğlence ve telematik sistemlerinin, otomobilin çalışma prensiplerine dair bilgileri kaydeden ve ileten yazılımlarla veri alışverişi yapabilmesinden de kaynaklanabiliyor. Bir güvenlik açığının istismar edilmesi durumunda, saldırganlar kritik sürüş fonksiyonlarına dahi ulaşabilir.
Araştırmacılar, zayıflıkların yoğunlaştığı noktaları belirlemek amacıyla Ocak 2022 ile Eylül 2024 arasındaki otomotivle ilgili güvenlik kayıtlarını inceledi. Kusurlar; etkilenen yazılıma, ciddiyetine ve geliştirme aşamasındaki konumuna göre sınıflandırıldı.
Analizler, kusurların otomotiv yazılımlarına, geliştiricilerin hazır kod bileşenleri olarak kullandığı kütüphaneler aracılığıyla sızabileceğini ortaya koydu. Bu kütüphaneler, geliştiricilerin her işlevi sıfırdan yazmadan görevleri yerine getirmesini sağlıyor.
Ekip, beş farklı tarama aracı kullanarak otomotiv yazılımında veya geliştirilmesinde kullanılan 20 açık kaynaklı projeyi detaylı incelemeye aldı. Bu incelemede 827 savunmasız kütüphane tespit edildi.
Çalışmada ayrıca, projeler arasında paylaşılan kütüphanelerin varlığına da dikkat çekildi. Bu durum, yaygın olarak kullanılan bir bileşendeki zayıflığın birden fazla sistemi etkileyebileceği anlamına geliyor.
Güvenlik Üreticilerin ve Tedarikçilerin Sorumluluğunda
Basu, araç üreticilerinin yazılımlarına entegre edilen bileşenleri titizlikle bilmeleri, üçüncü parti kütüphaneleri düzenli olarak taramaları ve yeni bildirilen kusurları yakından takip ederek düzeltme planları oluşturmaları gerektiğini belirtti. Güvenliğin, aracın tasarım aşamasından itibaren inşa edilmesi ve kullanım ömrü boyunca sürekli test edilmesi büyük önem taşıyor.
Araştırmacılar, sürüş sistemlerinin bilgi-eğlence ve harici bağlantılı bileşenlerden ayrılmasını öneriyor. Bu sayede, bir bileşendeki güvenlik ihlalinin doğrudan sürüş fonksiyonlarını etkilemesi engellenebilir.
Basu, bildirilen her kusurun uzaktan istismar edilebileceği veya sürüş kontrollerine erişim sağlayabileceği anlamına gelmediğini vurguladı. Araştırmanın, araçların ne kadarının saldırıya uğrayabileceği konusunda kesin bir belirleme yapamadığı da eklendi.
Çalışma dönemindeki otomotivle ilgili yalnızca 17 güvenlik açığı, ABD siber güvenlik ajansının istismar edildiği bilinen kusurlar kataloğunda yer aldı. Araştırmada taranan 20 projenin tüm sektörü temsil etmeyebileceği de belirtildi.
Basu, araç sahiplerine yazılımlarını güncel tutmaları, bağlı araç hesapları için güçlü şifreler kullanmaları, mobil uygulamaları güvence altına almaları ve konum ile kişisel verilere erişim iznini kontrol etmeleri tavsiyesinde bulundu. Ancak Basu, yazılım güvenlik açıklarını önleme ve kontrol altına alma konusundaki temel sorumluluğun üreticiler ve tedarikçilere ait olduğunu sözlerine ekledi. Araştırma sonuçları, Yazılım Kalitesi Dergisinde yayımlandı.
Yorum Yap