Uzaktan erişimli otomobillerde güvenlik açığı bir kez daha gündeme geldi. Avustralya’da gerçekleştirilen kontrollü bir siber güvenlik deneyinde BYD'nin bir modelinin konumu takip edildi, mikrofonuna, kapı kilitlerine, sileceklerine ve aydınlatma sistemine uzaktan erişildi. Bu durum, modern otomobillerin sağladığı yazılım kontrolü, uzaktan güncelleme ve mobil uygulama gibi avantajların yanı sıra beraberinde getirdiği güvenlik risklerini de gözler önüne serdi.
Avustralya kamu yayıncısı ABC’nin Four Corners programı için gerçekleştirilen deney, bu risklerin ne kadar ileri gidebileceğini gösterdi. Siber güvenlik alanında çalışan Fortify Labs kurucu ortağı Dan Hreszczuk’a bir BYD Shark 6 verildi ve araçtaki açıkları bulması için iki hafta süre tanındı. Araştırmacı bu sürenin sonunda otomobilin bazı sistemlerine uzaktan ulaşmayı başardı.
Deneyin Detayları Nelerdi?
Deney sırasında Shark 6’nın gerçek zamanlı konumu takip edildi, kabin mikrofonu dinlendi, kapılar kilitlendi, silecekler çalıştırıldı ve multimedya sistemi üzerinden yüksek sesli müzik oynatıldı. En dikkat çekici bölümde ise aracın farları gece sürüşü sırasında uzaktan bir bilgisayar üzerinden kapatıldı. Araştırmacının eriştiği özellikler otomobilin dış aydınlatmasıyla sınırlı kalmadı.
Shark 6’nın konumu gerçek zamanlı olarak izlenirken kabindeki mikrofon da uzaktan etkinleştirildi. Deney için hazırlanan senaryoda gazeteci, araç içerisinde yaptığı telefon görüşmesi sırasında geçici banka şifresini oluşturmakta kullanacağı kişisel bilgileri yüksek sesle söyledi. Hreszczuk bu konuşmayı otomobilin mikrofonu üzerinden kaydetti.
Uzaktan Erişim ve Güvenlik Açıkları
Araştırmacı daha sonra gazetecinin “Hey Siri” ifadesini söylediği bölümü ayırarak kendi sorularıyla birleştirdi. Gazeteci otomobilden ayrılırken kilidi açık iPhone’unu içeride bıraktığında, hazırlanan ses kaydı aracın hoparlörlerinden oynatıldı. Siri, kullanıcının ev adresi, doğum tarihi, yaşı ve rehberindeki bazı telefon numaraları gibi bilgileri sesli olarak açıkladı.
Araştırmacı Hreszczuk, otomobil üzerinde yaptığı incelemede araç içi iletişim ağına ulaşmaya çalıştı. Bu ağ; kapı kilitleri, aydınlatma, silecekler ve diğer elektronik kontrol birimlerinin birbiriyle haberleşmesini sağlıyor. Hreszczuk, farklı zayıflıkları bir araya getirerek otomobilin bazı işlevlerine eriştiklerini ve yararlandıkları erişim noktalarından birinin parola korumasına dahi sahip olmadığını söyledi.
Sonuçlar ve Diğer Üreticiler
Deney araştırmacıların iki hafta boyunca araca fiziksel erişimi olması, aracı incelemesi ve bağlantı noktaları üzerindeki analizleri nedeniyle sonuçlar, bütün uzaktan erişim olan modellerin ele geçirilebileceği anlamına gelmediği belirtiliyor. Ayrıca saldırının ilk aşamasının ne kadar fiziksel erişim gerektirdiği ve elde edilen uzaktan erişimin farklı araçlara taşınıp taşınamayacağı konusunda bütün teknik ayrıntılar açığın kötü niyetli kişiler tarafından tekrarlanmasını önlemek amacıyla kamuoyuyla paylaşılmadı.
Tesla, Kia, Xpeng ve Subaru gibi farklı üreticilerin otomobillerinde de daha önce uzaktan erişim sağlayabilen güvenlik açıkları tespit edildi. Bu durum, otomotiv endüstrisinde siber güvenlik önlemlerinin artırılması gerektiğini bir kez daha gündeme getirdi.
