Bluetooth в автомобила: скритите опасности и как да се защитите
В началото на XX век автомобилите престанаха да бъдат нещо екзотично. Да, те все още бяха доста скъпи — не че днес не са — но като цяло въвеждането на поточната линия, която позволи масово производство на превозни средства, понижи разходите и насити пазара.
Днес автомобилите са наистина повсеместни. Някои общества, като това на САЩ, са немислими без тях. Доста скоро след като станаха повече или по-малко достъпен продукт, автомобилите се сдобиха с развлекателни системи. Първата, автомобилно радио, е инсталирана в модел на Chevrolet през 1922 г., а през 1930 г. Motorola започва да произвежда 5T71, първия аудио комплект от външен производител, проектиран специално за автомобили.
Днес инфоразвлекателните системи в автомобилите служат и като навигации, залъгалки за деца (филмчета!), средства за комуникация и системи за сигурност. В повечето случаи свързаността им се осигурява от Bluetooth, технология с десетки и десетки приложения. Това е плюс: няма технологични спагети от кабели, висящи от портовете на системата, всичко е по въздуха. Но има и обратна страна на монетата.
Bluetooth връзката на автомобилната инфоразвлекателна система: уязвимости
Тази година досега бяха публикувани две значими изследвания за това доколко (не)безопасна е Bluetooth връзката на автомобилите. Резултатите и от двете са доста тревожни, макар и да не сочат към непосредствена критична опасност. Поне засега.
Изследването за безопасност на автомобилния Bluetooth PerfektBlue
Това изследване беше ръководено от PCA Cyber Security. Екипът се фокусира върху стека OpenSynergy BlueSDK, една от най-широко използваните Bluetooth реализации в автомобилните системи днес, възприета от големи производители като Ford, Mercedes-Benz и цялата група Volkswagen.
Изследователите разкриха сериозни уязвимости (CVE-2024-45431 до CVE-2024-45434), всяка от които дава на злонамерени лица достъп, позволяващ им да си „играят“ с автомобила и данните, които той съхранява, включително до отдалечено изпълнение на код. Цитат от доклада:
“Екипът за оценка на сигурността на PCA идентифицира множество уязвимости с ниска до критична тежест, позволяващи на атакуващ да получи 1-кликово Remote Code Execution (RCE) в операционната система на устройство, което използва Bluetooth стека BlueSDK. При такова ниво на достъп атакуващ може да манипулира системата, да ескалира привилегии и да извършва странично придвижване към други компоненти на целевия продукт.”
На прост език, наред с други неща, уязвимостите позволяват на нападателите да направят следното:
- откраднат списъци с контакти и история на обажданията;
- проследяват местоположението на автомобила;
- превземат микрофоните за подслушване;
- достигнат до други части на вътрешната мрежа на автомобила (рядко, но се среща).
За щастие, кормилото и педалите не могат да бъдат манипулирани през споменатите пробойни. Доставчиците започнаха да пускат корекции в края на 2024 г. и началото на 2025 г.; ако карате Mercedes, Ford или нещо от Volkswagen Aktiengesellschaft, проверете за актуализации.
Разследването с BlueToolkit
BlueToolkit е рамка с отворен код за тестване на уязвимости в Bluetooth, създадена от System Security Group към ETH Zurich в сътрудничество с Cyber Defence Campus. Наскоро екипът зад рамката използва своето създание, за да тества колко безопасен е Bluetooth в 22 различни модела автомобили, включително Renault, BMW, Honda, Tesla и други. Общо откриха 64 уязвимости.
Тестването имаше за цел да разкрие слабости, които позволяват отдалечено изпълнение на код, отказ от услуга и извличане на данни. В процеса изследователите показаха и как нападатели биха могли да крадат контакти, да подслушват, да проследяват превозни средства и, в някои редки случаи, дори да нарушават работата на основните функции на автомобилите.
Как да защитите Bluetooth връзката на автомобила от атаки
Ето няколко мерки, с които да се предпазите от неприятни изненади в автомобила:
- Не забравяйте да изключвате Bluetooth, когато не го използвате. Просто, но ефективно: няма връзка — няма превземане. Особено когато паркирате на обществен паркинг.
- Почистете списъка със сдвоени устройства. Всичко, което изглежда подозрително, трябва да се изтрие. Още по-добре — изтрийте всичко и отново сдвоете само това, което ви е нужно.
- Уверете се, че връзката е защитена с парола. В повечето случаи е така по подразбиране, но не вреди да проверите още веднъж. И нека паролата да е по-сложна от проста последователност от 1 до 8.
- Поддържайте актуализациите. Както бе споменато по-горе, производителите пуснаха корекции в отговор на изследванията. Уверете се, че фърмуерът на инфоразвлекателната система на вашия автомобил е актуален.
