Moderní auto už není jen motor, volant a čtyři kola. Má internetové připojení, GPS, mikrofony, kamery, infotainment a desítky elektronických systémů. A stejně jako počítač může mít i bezpečnostní chybu.
Přesvědčivou ukázku předvedla v září australská televize ABC v pořadu Four Corners. Bezpečnostní expert Dan Hreszczuk z Fortify Labs dokázal na dálku proniknout do systému vozu BYD Shark 6. Během testu pak některé funkce auta ovládal ze svého notebooku, zatímco novinář Angus Grigg seděl za volantem.
Nešlo přitom o útok, který by trval měsíce. Hreszczuk zranitelnost objevil během zhruba dvou týdnů.
BYD Shark 6 šlo hacknout bez nutné autorizace. Hacker (bezpečnostní expert) na dálku ovládal funkce auta
Problém byl v nezabezpečeném přístupu
Expert při analýze vozu objevil otevřený přístupový bod v jeho elektronice. Podle reportáže nebyl chráněný heslem ani jinou běžnou formou ověření.
To mu umožnilo dostat se dál do systému a zjistit, které části auta může ovládat.
A výsledek byl překvapivě široký. Nešlo jen o infotainment nebo přehrávání hudby.
Během testu mohl na dálku ovládat například světla, stěrače nebo zamykání dveří. Dokázal také pustit hudbu na vysokou hlasitost.
Jedním z nejvýraznějších momentů bylo vypnutí světlometů během jízdy. Řidič tak najednou přišel o osvětlení vozovky. Stěrače zase bylo možné spustit na plný výkon.
Test probíhal kontrolovaně a při nízké rychlosti. Ukázal ale, že kybernetický útok nemusí zůstat jen u krádeže dat.
Hacker se dostal také k mikrofonu
Ještě citlivější byla část testu týkající se soukromí.
Výzkumník dokázal aktivovat mikrofon uvnitř vozu a zaznamenat zvuk z kabiny. To znamená, že napadené auto může v určitých podmínkách fungovat také jako prostředek k odposlechu.
Test ukázal i další problém. Auto bylo propojené s telefonem a hlasovým asistentem. Hreszczuk přes reproduktory přehrál povel „Hey Siri“. Spárovaný telefon na něj následně reagoval a mohl pracovat s osobními údaji.
V tu chvíli už nejde pouze o otázku bezpečnosti automobilu. Ve hře jsou také soukromé rozhovory, poloha vozu nebo data uložená v připojeném telefonu.
Právě propojení auta s dalšími zařízeními je dnes jedním z důležitých témat automobilové kybernetické bezpečnosti.
Brzdy ani řízení hacker neovládl
Tady je ale potřeba dát věci do správného kontextu.
Test neukázal, že by útočník mohl převzít kontrolu nad celým vozem. Hreszczuk se podle reportáže nedostal k řízení, brzdám ani dalším kritickým systémům.
To není náhoda.
Moderní auta mají elektroniku rozdělenou do několika částí. Infotainment a komfortní funkce nejsou automaticky propojené se systémy, které zajišťují samotné řízení vozidla.
Této ochraně se říká segmentace sítí. Jednoduše řečeno: když se někdo dostane do jedné části systému, neměl by automaticky získat přístup ke všemu ostatnímu.
V případě BYD Shark 6 tak mohl hacker ovládat například světla, stěrače nebo některé funkce infotainmentu, ale kritické systémy zůstaly oddělené.
Je to důležitý rozdíl. Hacknuté rádio je nepříjemnost. Hacknuté brzdy by byly úplně jiný problém.
Proč je případ důležitý i pro evropské řidiče?
Test vznikl v Austrálii, kde v době jeho provedení platila jiná pravidla pro kybernetickou bezpečnost automobilů než v Evropské unii.
V Evropě je od července 2024 pro nové registrace vozidel povinný předpis UNECE UN R155. Ten se zaměřuje právě na kybernetickou bezpečnost vozidel a zavádí požadavky na systém řízení kybernetických rizik.
Výrobci musí například identifikovat možné útoky, vyhodnocovat rizika a zavádět opatření, která mají podobným problémům předcházet.
Neznamená to, že evropské auto nemůže obsahovat bezpečnostní chybu. Žádný předpis něco takového nedokáže zaručit. Výrobci ale musí mít nastavený systém, který kybernetická rizika řeší už při vývoji a také během životního cyklu automobilu.
A právě tady je rozdíl oproti době, kdy se automobilová bezpečnost soustředila především na airbagy, deformační zóny nebo elektronické stabilizační systémy.
Auto už je počítač na kolech
Nejen tento případ BYD Shark 6 ukazuje, jak se změnila povaha moderních automobilů.
Auto dnes může mít internetové připojení, GPS, mikrofony, kamery, mobilní aplikaci a spojení s telefonem. Přibývá tak funkcí, které mohou být potenciálně zneužitelné.
Dobrou zprávou je, že test neprokázal možnost vzdáleně ovládat brzdy nebo řízení. Zároveň ale ukázal, že i přístup k „méně důležitým“ systémům může mít nepříjemné následky.
Vypnutá světla nebo spuštěné stěrače mohou řidiče ohrozit. Přístup k mikrofonu nebo poloze zase zasahuje do soukromí.
Kybernetická bezpečnost proto bude u aut stále důležitější. Stejně jako dnes řešíme aktualizace a zabezpečení telefonu nebo počítače, bude potřeba věnovat podobnou pozornost i automobilům.
Protože moderní auto už není jen dopravní prostředek.