Zespół badawczy pod kierunkiem inżynier oprogramowania dr Srijity Basu przeanalizował 413 podatności w oprogramowaniu motoryzacyjnym zgłoszonych w okresie od stycznia 2022 do września 2024 roku w amerykańskiej bazie National Vulnerability Database (NVD) oraz innych źródłach branżowych.
Zestawienie tych danych z badaniami historycznymi z lat 2010–2019, opublikowane na łamach czasopisma Software Quality Journal, ujawniło wyraźny zwrot w architekturze zagrożeń: oprogramowanie zewnętrzne i usługi połączone stanowiły największy odsetek wszystkich luk, osiągając 36,2 procent.
Systemy te gromadzą newralgiczne informacje telemetryczne – w tym precyzyjną historię podróży, bieżące parametry eksploatacyjne czy prywatne dane właścicieli – a niewłaściwa separacja pomiędzy modułami telematyki a magistralami sterującymi stwarza ryzyko eskalacji uprawnień intruza z poziomu aplikacji do systemów bezpieczeństwa czynnego pojazdu.
Równolegle naukowcy zbadali problem gotowych komponentów programistycznych, czyli bibliotek kodu wielokrotnego użytku, po które powszechnie sięgają programiści, by uniknąć pisania każdej funkcji od zera. Przy użyciu pięciu niezależnych narzędzi skanujących zespół poddał audytowi 20 projektów otwartoźródłowych (open-source) wykorzystywanych bezpośrednio w oprogramowaniu motoryzacyjnym lub w procesie jego wytwarzania.
Ta odrębna ścieżka badawcza ujawniła aż 827 podatnych bibliotek kodu. Co szczególnie niebezpieczne, wiele z tych komponentów współdzielonych jest w projektach różnych marek, co sprawia, że pojedyncza luka w popularnej bibliotece może rykoszetem narazić na atak cyfrowy całe gamy modelowe konkurujących koncernów motoryzacyjnych.
Analiza cyklu powstawania błędów wykazała, że największa grupa podatności pojawia się bezpośrednio na etapie pisania kodu, a druga w kolejności – w fazie projektowania architektury systemu (design). Autorzy uspokajają jednak, że obecność luk w bazach danych nie oznacza automatycznie podatności każdego pojazdu na zdalny atak; w badanym okresie zaledwie 17 luk trafiło do oficjalnego katalogu aktywnie wykorzystywanych exploitów amerykańskiej agencji ds. cyberbezpieczeństwa (CISA).
Nie zmienia to jednak faktu, że dr Basu apeluje o implementację paradygmatu bezpieczeństwa od samego początku cyklu projektowego (security by design), wymuszającego fizyczną i logiczną izolację funkcji krytycznych od rozrywki. O ile kierowcy powinni dbać o bieżące aktualizacje, unikalne hasła i uprawnienia aplikacji w telefonach, o tyle główna odpowiedzialność za szczelność systemów spoczywa na producentach aut oraz ich poddostawcach.
