Auton Bluetooth: piilevät vaarat ja miten suojaudut

1900-luvun alkupuolella autot lakkasivat olemasta mitään eksoottista. Kyllä, ne olivat yhä melko kalliita — eivätkä ne sitä tänäkään päivänä ole aivan halpoja — mutta kaiken kaikkiaan kokoonpanolinjan käyttöönotto, joka mahdollisti ajoneuvojen massatuotannon, laski kustannuksia ja kyllästytti markkinat.

Nykyään autot ovat kaikkialla. Joitakin yhteiskuntia, kuten Yhdysvaltoja, on mahdoton kuvitella ilman niitä. Melko pian sen jälkeen kun autoista tuli jokseenkin kohtuuhintaisia tuotteita, niihin alettiin asentaa viihdejärjestelmiä. Ensimmäinen, autoradio, asennettiin Chevrolet-malliin vuonna 1922, ja vuonna 1930 Motorola alkoi valmistaa 5T71:tä, ensimmäistä erityisesti autoihin suunniteltua kolmannen osapuolen äänilaitetta.

Nykyään autojen infotainment-järjestelmät toimivat myös navigaatiolaitteina, lasten viihdyttäjinä (piirretyt!), viestintävälineinä ja turvaratkaisuina. Useimmissa tapauksissa yhteys toteutetaan Bluetoothin avulla, teknologian, jolla on kymmeniä ja taas kymmeniä käyttökohteita. Tämä on plussaa: ei teknologista johdospagettia roikkumassa järjestelmän porteista, kaikki kulkee ilmassa. Mutta kolikolla on myös kääntöpuolensa.

Auton infotainment-järjestelmän Bluetooth-yhteys: haavoittuvuudet

Tänä vuonna on tähän mennessä julkaistu kaksi merkittävää tutkimusta, joissa selvitettiin, kuinka (epä)turvallinen auton Bluetooth-yhteys on. Molempien tulokset olivat varsin huolestuttavia, vaikkeivät ne viitanneet välittömään kriittiseen vaaraan. Ainakaan vielä.

PerfektBlue-tutkimus auton Bluetooth-turvallisuudesta

Tutkimusta johti PCA Cyber Security. Tiimi keskittyi OpenSynergy BlueSDK -pinoon, yhteen nykyisin laajimmin käytetyistä Bluetooth-toteutuksista autoteollisuuden järjestelmissä, jota käyttävät suuret valmistajat kuten Ford, Mercedes-Benz ja koko Volkswagen-konserni.

Tutkijat paljastivat merkittäviä haavoittuvuuksia (CVE-2024-45431–CVE-2024-45434), joista kukin antaa pahantahtoisille toimijoille pääsyn, jonka turvin he voivat peukaloida autoa ja sen tallentamia tietoja, aina etäajettuun koodiin saakka. Lainaus raportista:
“The PCA Security Assessment Team identified multiple vulnerabilities with low-to-critical severity, allowing an attacker to obtain 1-click Remote Code Execution (RCE) in the operating system of a device which utilizes the BlueSDK Bluetooth stack. In this level of access, an attacker could manipulate the system, escalate privileges and perform lateral movement to other components of the target product.”

Maallikon termein haavoittuvuudet mahdollistavat hyökkääjille muun muassa seuraavaa:

napata yhteystietoluettelot ja puheluhistorian;
seurata auton sijaintia;
kaapata mikrofonit salakuuntelua varten;
päästä käsiksi auton sisäverkon muihin osiin (harvinaisissa tapauksissa, mutta kuitenkin).

Onneksi ohjauspyörään ja polkimiin ei voitu kajota mainittujen aukkojen kautta. Valmistajat alkoivat julkaista korjauspäivityksiä loppuvuodesta 2024 ja alkuvuodesta 2025; jos ajat Mercedesillä, Fordilla tai millä tahansa Volkswagen Aktiengesellschaftin merkillä, tarkista päivitykset.

BlueToolkit-tutkimus

BlueToolkit on avoimen lähdekoodin Bluetooth-haavoittuvuuksien testauskehys, jonka on kehittänyt ETH Zürichin System Security Group yhteistyössä Cyber Defence Campuksen kanssa. Äskettäin kehyksen taustalla oleva tiimi käytti luomustaan testatakseen Bluetoothin turvallisuutta 22 eri automallissa, mukaan lukien Renault, BMW, Honda, Tesla ja muita. Kaikkiaan he löysivät 64 haavoittuvuutta.

Testauksen tavoitteena oli paljastaa heikkouksia, jotka mahdollistavat etäajetun koodin suorittamisen, palvelunestohyökkäykset ja tiedonvuodon. Samalla tutkijat osoittivat, miten hyökkääjät voisivat varastaa yhteystietoja, salakuunnella, jäljittää ajoneuvoja ja joissakin harvinaisissa tapauksissa jopa häiritä auton ydintoimintojen toimintaa.

Auton Bluetooth-yhteyden suojaaminen hyökkäyksiltä

Tässä muutamia toimia, joilla voit suojautua ikäviltä yllätyksiltä autossasi:

Muista kytkeä Bluetooth pois päältä, kun et käytä sitä. Yksinkertaista mutta tehokasta: ei yhteyttä — ei kaappausta. Erityisesti pysäköidessäsi julkiselle parkkialueelle.
Siivoa paritettujen laitteiden luettelo. Kaikki epäilyttävä on poistettava. Vielä parempi: poista kaikki ja parita uudelleen vain tarvitsemasi.
Varmista, että yhteys on suojattu salasanalla. Useimmiten näin on oletuksena, mutta tarkistaminen ei koskaan haittaa. Ja tee salasanasta jotakin monimutkaisempaa kuin suora 1:stä 8:aan -sarja.
Pysy ajan tasalla päivityksistä. Kuten edellä mainittiin, autonvalmistajat julkaisivat korjauksia tutkimusten johdosta. Varmista, että autosi infotainment-järjestelmän laiteohjelmisto on ajan tasalla.