Modern otomobillerin görünmeyen tehlikesi: Yüzlerce güvenlik açığı

Otomobillerde kullanılan yazılımların giderek karmaşıklaşması, sürücülerin kişisel verilerinden araçların kritik kontrol sistemlerine kadar uzanan yeni güvenlik risklerini beraberinde getiriyor. İsveç'teki Göteborg Üniversitesi araştırmacıları, internete bağlı otomobilleri etkileyen 413 yazılım güvenlik açığını inceleyerek bu tehditlerin boyutunu ortaya koydu. Araştırmada belirlenen zafiyetlerin bazıları, uygun koşullar altında bilgisayar korsanlarının fren ve direksiyon gibi hayati sistemlere müdahale etmesinin önünü açabilecek nitelikte.

Araştırma ekibi, ABD hükümeti tarafından yönetilen Ulusal Güvenlik Açıkları Veritabanı'nı (NVD) tarayarak Ocak 2022 ile Eylül 2023 arasında bildirilen güvenlik açıklarını analiz etti. Software Quality Journal dergisinde yayımlanan çalışma, otomobillerin yalnızca kendi içlerindeki bilgisayarlardan değil, bağlantılı oldukları dijital hizmetlerden kaynaklanan tehditlerle de karşı karşıya olduğunu gösteriyor.

Ancak araştırmanın önemli bir sınırı var. Bilim insanları, inceledikleri 413 güvenlik açığının herhangi birini kullanarak bir aracın frenlerini veya sürüş işlevlerini ele geçirdiklerini göstermedi. Dolayısıyla söz konusu bulgular, yüzlerce otomobilin uzaktan kontrol edilebildiği anlamına gelmiyor. Yine de araştırmacılara göre bu tür saldırıların teknik olarak mümkün olması, tehlikenin ciddiye alınmasını gerektiriyor.

Bir yazılım açığı fren sistemine kadar ulaşabilir mi?

Araştırmanın başyazarı Dr. Srijita Basu, Daily Mail'e yaptığı açıklamada modern otomobillerde birbiriyle bağlantılı çok sayıda bilgisayar sistemi bulunduğunu hatırlattı. Bu sistemlerden bazıları eğlence ve iletişim işlevlerini yönetirken diğerleri frenleme, direksiyon ve hızlanma gibi doğrudan sürüş güvenliğini ilgilendiren görevleri üstleniyor.

Asıl tehlike, farklı sistemler arasındaki güvenlik sınırlarının yeterince güçlü olmaması durumunda ortaya çıkıyor. Bir saldırgan, daha az kritik bir yazılımdaki güvenlik açığını kullanarak sisteme sızabilir ve buradan başka bileşenlere erişmeye çalışabilir. Eğer gerekli güvenlik önlemleri bulunmuyorsa böyle bir saldırının sonuçları ciddi olabilir.

Üstelik bunun geçmişte yaşanmış bir örneği de var. Güvenlik araştırmacıları, 2015 yılında bir Jeep Cherokee'nin bilgi-eğlence sistemindeki güvenlik açığından yararlanarak aracın direksiyon ve fren sistemlerine müdahale etmeyi başarmıştı. Olayın ardından 1,4 milyon araç için geri çağırma kararı alındı.

Basu, buna rağmen her güvenlik açığının doğrudan böyle bir saldırıya yol açmayacağının altını çiziyor. Bir yazılımda zafiyet bulunması, saldırganın onu mutlaka uzaktan kullanabileceği veya güvenlik açısından kritik sistemlere erişebileceği anlamına gelmiyor. Saldırganın başlangıçtaki erişim düzeyi ve otomobilin güvenlik mimarisi, sonucun ne olacağını belirleyen temel etkenler arasında.

Güvenlik riskleri artık otomobilin dışına taşıyor

Araştırmanın dikkat çekici sonuçlarından biri, güvenlik açıklarının hangi yazılımlarda yoğunlaştığıyla ilgili. Otomobiller artık yalnızca kendi içlerinde çalışan sistemlere bağlı değil. Web uygulamaları, bulut platformları, mobil uygulamalar ve çeşitli çevrim içi hizmetler de araçların dijital altyapısının bir parçası haline geldi.

İncelenen 413 güvenlik açığının yüzde 36,2'si harici uygulamalarda tespit edildi. Bu oran, araştırmadaki en büyük kategoriyi oluşturuyor. İkinci sırada ise yüzde 23,5 ile çip üzerinde sistem (SoC) ve gömülü yazılımlar yer aldı. GPS yazılımları ve uzaktan anahtarsız giriş sistemleri, bu gruba dahil olan bileşenler arasında.

Araştırmacılar ayrıca otomotiv yazılımlarında kullanılan hazır kod bileşenlerini de mercek altına aldı. Yazılım kütüphaneleri olarak adlandırılan bu bileşenler, geliştiricilerin her işlevi sıfırdan yazmak yerine mevcut kodlardan yararlanmasını sağlıyor.

Beş farklı yazılım tarama aracıyla otomotiv alanında kullanılan 20 açık kaynaklı proje incelendiğinde, güvenlik açığı içeren 827 yazılım kütüphanesi belirlendi. Bu bulgu, araç yazılımlarında kullanılan üçüncü taraf bileşenlerin de güvenlik açısından değerlendirilmesi gerektiğini ortaya koydu.

Ekip, elde ettiği sonuçları 2010 ile 2019 yıllarını kapsayan daha eski bir araştırmayla da karşılaştırdı. Önceki dönemde güvenlik açıkları büyük ölçüde otomobilin fiziksel olarak içinde bulunan bilgisayar sistemlerinde yoğunlaşıyordu. Yeni veriler ise riskin giderek araç dışındaki dijital hizmetlere kaydığını gösterdi.

Basu'ya göre bu değişim, otomobil güvenliğini yalnızca aracın içine yerleştirilen bilgisayarları korumakla sınırlamanın artık yeterli olmadığını ortaya koyuyor.

Kritik güvenlik açıklarının oranı üç kattan fazla arttı

Araştırmada ortaya çıkan bir başka bulgu, güvenlik açıklarının önem derecesindeki değişim... Kritik olarak sınıflandırılan zafiyetlerin oranı 2019'da yüzde 5 seviyesindeyken 2023'te yüzde 16'ya yükseldi. Böylece en yüksek risk kategorisindeki açıkların payı üç kattan fazla artmış oldu.

Araştırmacıları şaşırtan noktalardan biri de normalde internet siteleri ve çevrim içi hizmetlerle ilişkilendirilen güvenlik sorunlarının otomotiv sistemlerinde görülmesiydi.

Bunlardan biri, SQL enjeksiyonu olarak bilinen saldırı yöntemi. Bu tür saldırılarda bilgisayar korsanları, bir uygulamanın veri tabanıyla kurduğu iletişimi manipüle ederek normalde erişemeyecekleri bilgilere ulaşmaya çalışıyor. Otomobiller söz konusu olduğunda araç bilgileri, yolculuk kayıtları ve müşterilere ait hassas veriler tehlikeye girebilir.

Basu, web uygulamalarında uzun zamandır bilinen bu tür güvenlik sorunlarının artık otomotiv sektörünün de karşısına çıkmasını özellikle endişe verici buluyor.

Çalışmada ayrıca yetki yükseltme ve bellek bozulmasıyla ilişkili güvenlik açıkları da tespit edildi. Yetki yükseltme saldırıları, bir kullanıcının veya saldırganın normalde sahip olmadığı sistem izinlerini elde etmesine yol açabiliyor. Bellek bozulması ise yazılımların kullandığı bellek alanlarında oluşan hatalarla ilişkili. Araştırmacılara göre bu tür açıklar, hassas araç işlevlerine erişimi bulunan sistemlerde ortaya çıktığında daha ciddi sonuçlar doğurabilir.