ثغرة أمنية في أنظمة السيارات المتصلة تهدد سلامة السائقين والركاب

أُجري تقييم أمني عن بُعد يركّز على الخدمات العامة والبنية التحتية لشركة متعاقدة مرتبطة بأنظمة Telematics في السيارات المتصلة، وتبيَّن وجود مجموعة من الخدمات المعرضة للمخاطر التي كشفت عن ثغرات يمكن استغلالها عن بُعد.

نتائج التدقيق الأساسية

استُخدمت ثغرة حقن SQL من نوع اليوم صفر في تطبيق ويب من نوع wiki، مما أتاح للباحثين استخراج قائمة بأسماء المستخدمين وأجزاء من كلمات المرور، كما تمكنوا من التخمين نتيجة ضعف سياسات كلمات المرور لدى الشركة المتعاقدة.

واستُخدم الوصول إلى نظام تتبّع المشكلات المستخدم لإدارة المهام والأخطاء في المشروع، وهو يضم إعدادات بنية Telematics الحساسة، بما في ذلك ملف يحوي أجزاء من كلمات مرور المستخدمين على أحد خوادم النظام.

وأتاح هذا الاختراق الوصول إلى منظومة Telematics لدى الشركة المتعاقدة والتحكّم الكامل في بنيتها. كما وُجد أمر لتحديث البرامج الثابتة يمكّن من تنزيل برمجيات ثابتة للوحدة المسؤولة عن Telematics (TCU)، ما أتاح الوصول إلى شبكة المنطقة التحكمية CAN وربطها بالمكونات الداخلية للمركبة مثل المحرك والمستشعرات.

لاحقاً، تمكّن الباحثون من الوصول إلى أنظمة أخرى داخل السيارة كالمحرك وناقل الحركة وغيرها، وهو ما يجعل وظائف السيارة الحيوية عرضة للتلاعب ويمثّل خطراً على السائق والركاب.

أسباب الثغرات ومكامن الضعف

أوضح أرتيم زينيكو، رئيس قسم أبحاث وتقييم الثغرات ضمن فريق الاستجابة لطوارئ أنظمة التحكم الصناعية لدى كاسبرسكي، أن الثغرات تعود إلى مشكلات شائعة في قطاع السيارات مثل وجود خدمات ويب متاحة للعامة، كلمات مرور ضعيفة، غياب خيار المصادقة الثنائية (2FA)، وتخزين البيانات الحساسة دون تشفير.

التوصيات والإجراءات المقترحة

يؤكد الاختراق أن ثغرة واحدة في البنية التحتية لشركة متعاقدة قد تسمح باختراق جميع المركبات المتصلة، لذا ينبغي إعطاء الأولوية لتعزيز الأمن السيبراني، خصوصاً عند التعامل مع أنظمة خارجية، لحماية السائقين وزيادة الثقة في تقنيات السيارات المتصلة.

توصي الشركات المتعاقدة باتخاذ تدابير مثل حصر الوصول إلى الخدمات الإلكترونية عبر شبكات افتراضية خاصة VPN، وعزل هذه الخدمات عن الشبكات الداخلية، وتطبيق سياسات كلمات مرور صارمة، واعتماد المصادقة الثنائية، وتشفير البيانات الحساسة، ودمج تسجيل الدخول مع نظام إدارة معلومات وأحداث الأمان (SIEM) لضمان المراقبة الفورية.

وتوصي الشركات المصنعة للسيارات بتقييد الوصول إلى منظومة Telematics من شبكة السيارات، واعتماد قوائم السماح لتنظيم التفاعلات الشبكية، وتعطيل مصادقة كلمات المرور عبر SSH، وتشغيل الخدمات بصلاحيات محدودة، والتحقق من صحة الأوامر في وحدة Telematics (TCU)، إضافة إلى دمج نظام إدارة معلومات وأحداث الأمان (SIEM).