Вдигнете капака на нов автомобил и няма да намерите много неща, които можете да поправите с гаечен ключ. Това, което ще намерите, е софтуер, и то в големи количества. Екранът на таблото вероятно работи с Android или някаква версия на Linux. Система, която следи пътя вместо вас, може да работи с QNX или VxWorks – същият тип код, който управлява самолети и фабрични цехове.

Автомобилните производители прекараха последното десетилетие в този преход, което им донесе магазини за приложения, безжични актуализации и по-бързи цикли на разработване. То също така им донесе и нещо по-малко желано: всеки стар, публично документиран проблем, който тези платформи са събрали през годините.

Изследователи от Télécom SudParis решиха да преброят този багаж. Те създадоха скенер, наречен VERA, насочиха го към операционните системи в съвременните автомобили и преброиха известните слабости. Купчината е голяма. Тя също така е по-хаотична, отколкото изглежда от суровите цифри, което се оказва по-интересната част от историята.

Първо, изследователите установиха кой какво използва, което е по-трудно, отколкото звучи, тъй като автомобилните производители третират тази информация като търговска тайна. Таблото на BMW от 2023 г. работи с чип на Qualcomm, зареден с Automotive Grade Linux и Android. GM и Cadillac преминават към софтуера на Red Hat за превозни средства в своите модели за 2026 г. Tesla тихо използва Linux от години. Когато се обобщи всичко това, автопаркът започва да изглежда като движеща се колекция от компютри с общо предназначение, свързани с клетъчни мрежи, Wi-Fi, Bluetooth и собственото вътрешно окабеляване на автомобила.

След това те направиха сканиране. Резултатите се оказаха много разнообразни. Automotive Grade Linux оглави класацията с 1203 документирани дефекта в тестваната версия. Android не беше далеч назад. По-лека система, фокусирана върху безопасността, наречена Eclipse S-CORE, отчете общо едва осем. Част от тази разлика се дължи просто на това колко допълнителен софтуер доставя всяка платформа. Друга част е вниманието: популярните отворени платформи се изследват от повече специалисти, така че повече от техните слабости биват вписвани в регистрите. Проучването само по себе си е вид излагане на риск.

Сертифициран не означава неразбиваем

Може да очаквате сертифицираните за безопасност системи да излязат чисти. Те не излизат. QNX Neutrino притежава авторитетен сертификат за сигурност, но тестваната версия все пак регистрира 56 известни уязвимости. VxWorks 7 се намира на още по-високо ниво на сертифициране, но отчете резултат от няколко десетки.

Сертифицирането върши реална работа тук. То свива повърхността за атака и налага дисциплина в начина, по който се изгражда кодът. Това, което не може да направи обаче, е да спре планината от съпътстващ софтуер да генерира нови грешки, за които някой трябва да инсталира корекции за сигурност.

Голямото число е списък със задачи, а не присъда

Това е мястото, където изследването става реалистично и където много стряскащи заглавия се провалят. Регистрираната уязвимост е просто възможност. Тя е слабост, която би могла да има значение при правилните условия – ако уязвимият код изобщо е включен, ако атакуващият може да достигне до него и ако конфигурацията съвпадне по определен начин. Хиляда дефекта означават хиляда неща, които защитникът трябва да следи. Това не означава хиляда начина за проникване в колата.

За да покаже разликата, екипът разработи две работещи атаки. Едната беше насочена към дефект в SQLite – база данни, вградена в най-различни приложения, работещи под Android Automotive. Другата беше насочена към протокол за откриване на услуги, наречен SOME/IP, и тя показва цялата история в миниатюра.

Те извършиха една и съща атака срещу три платформи. Тя проработи при AutoSD на Red Hat и при софтуера на Tesla, като им позволи да извадят дадена услуга от строя. Атаката обаче се провали при Android Automotive, което изследователите отдават на факта, че платформата променя номерата на портовете си. Един и същ дефект, три системи, два напълно различни резултата. Еднаква оценка за сериозност на хартия, а крайният резултат се сведе до това кои защити действително бяха включени.

Всичко това беше изпълнено в Docker контейнери на лабораторна маса, избрани защото са лесни за възпроизвеждане. Тази конфигурация обхваща файловата система, инсталираните пакети и настройките. Тя обаче пропуска персонализираното ядро на производителя, хардуерните защити и спецификите на фърмуера. Числата описват какво се намира в софтуерния образ, но не показват какво точно се случва в кола, паркирана пред дома ви.

Скенерите имат проблем с автомобилите

Тук има и практически ъгъл. Всекидневните скенери, към които се насочват специалистите по сигурност, предполагат подредена система с чист опис на частите. Автомобилите не се поддават на това. Trivy, един от популярните скенери, изплю над хиляда фалшиви тревоги за едно изображение на роботика и почти нищо полезно за други. VERA работи над съществуващите инструменти и филтрира данните спрямо автомобилната реалност, като изхвърля слабостите в инструментите за команден ред и инструментите за разработчици, които една защитена кола никога не би изложила на риск. Това, което получавате обратно, е по-кратък и точен списък, по който някой действително може да работи, вместо да се удави в него.

И така, изводът е следният. Кодът във вашия автомобил вече споделя общо родословно дърво и досие с останалата част от компютърния свят. Дължината на това досие ви показва колко много неща трябва да се наблюдават. Истинската работа е да се разбере кои от тези стари грешки вашият конкретен автомобил би позволил на някого да доближи.