Обновления программного обеспечения занимают ключевую роль в обеспечении кибербезопасности современных подключенных автомобилей. Однако такие обновления несут с собой определённые риски: злоумышленники могут использовать их для получения масштабируемого доступа к системам транспортных средств, что может привести к серьезным последствиям.
Технология удалённой доставки обновлений (Over-the-Air, OTA) значительно облегчает исправление уязвимостей и сокращает расходы на отзывные кампании автопроизводителей. Но при этом она значительно расширяет поверхность возможных атак, что требует повышения уровня мер безопасности на всех этапах процесса.
За последние пять лет наблюдается постоянный рост выявленных уязвимостей в сфере транспортных технологий, особенно на уровне поставщиков компонентов второго уровня (Tier-2), что включает поставщиков программного обеспечения. В 2019 году было зафиксировано 24 уязвимости, а в 2024 — уже 422, из которых 237 связаны с компонентами Tier-2.
Несмотря на существующие международные стандарты и нормативы, такие как UN R155/R156, ISO/SAE 21434 и ISO 24089, основной метод устранения уязвимостей остаётся своевременное обновление программного обеспечения. Эти обновления позволяют устранить риски, связанные не только с программным обеспечением, но и с аппаратными компонентами автомобиля.
Недостаточный контроль процесса обновления создаёт для автопроизводителей не только репутационные, но и реальные финансовые риски, связанные с отзывами, штрафами, судебными издержками и потерями прибыли из-за неправомерного использования опций транспортных средств.
В ответ на эти вызовы на рынке появляются решения типа Secure Gateway — автомобильные шлюзы безопасности, которые обеспечивают защиту подключённых систем, в том числе при обновлении ПО. Такие системы реализуют политики нулевого доверия, контроль доступа и механизмы восстановления.
Для тех, кто заинтересован в подробном разборе реальных инцидентов, связанных с уязвимостями при OTA-обновлениях, а также методов обеспечения безопасности таких процессов, рекомендуется ознакомиться с дополнительной информацией в специализированном блоге.
Источник: @autopotoknews