İsveç’teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesinden araştırmacılar, Yazılım Kalitesi Dergisinde yayımladıkları yeni bir çalışmada, modern otomotiv yazılımlarındaki güvenlik açıklarının önemli bir bölümünün dış bağlantılı sistemlerden kaynaklandığını belirledi. Ocak 2022 ile Eylül 2024 arasındaki 413 otomotiv yazılımı güvenlik açığını analiz eden ekip, dış uygulamaların toplam zafiyetlerin yüzde 36,2’sini oluşturduğunu ortaya koydu. Bu bulgu, siber güvenlik risklerinin araç içi sistemlerden daha geniş bir ağa yayıldığını gösterdi.
Çalışma, önceki araştırmalara kıyasla dışarıdan bağlanan yazılımlardaki güvenlik açıklarında bir artış tespit etti. Yazılım mühendisliği araştırmacısı Srijita Basu, sıradan çevrim içi hizmetlerde yaygın olarak kullanılan teknolojilerin artık otomotiv güvenliği manzarasının önemli bir parçası haline geldiğini vurguladı. Bu geniş ağ, mobil ve web uygulamaları ile bulut hizmetlerini kapsıyor.
Basu, bir otomobile bağlı uygulamaların ve bulut hizmetlerinin aracın seyahat ettiği yer, kullanım şekli ve bazen de sahibine ilişkin verileri depolayabileceğini açıkladı. Yetersiz güvenlik önlemleri, dışarıdan kişilerin bu verilere erişmesine olanak tanıyabilir. Eğlence ve telematik sistemleri gibi araç içi bileşenler de diğer kritik sistemlerle veri alışverişinde bulunarak potansiyel güvenlik riskleri oluşturabiliyor.
Araştırmacılar, güvenlik zayıflıklarının nerede yoğunlaştığını belirlemek amacıyla ABD Ulusal Güvenlik Açığı Veri Tabanı’ndan Ocak 2022 – Eylül 2024 dönemine ait otomotivle ilgili kayıtları inceledi. Ekip, kusurları etkilenen yazılıma, ciddiyetine ve yazılım geliştirme sürecindeki ortaya çıkış noktalarına göre kategorize etti. Bu analiz, 2010-2019 yıllarını kapsayan önceki araştırmalarla karşılaştırıldığında, harici yazılımları içeren güvenlik açığı payının arttığını gösterdi.
Çalışma ayrıca, otomotiv yazılımlarına hazır kod bileşenleri olan kütüphaneler aracılığıyla girebilecek kusurları da inceledi. Araştırmacılar, beş tarama aracı kullanarak otomotiv yazılımı veya geliştirilmesinde kullanılan 20 açık kaynaklı projeyi analiz etti. Bu incelemede 827 savunmasız kütüphane tespit edildi. Ortak kullanılan bir bileşendeki zayıflığın birden fazla sistemi etkileyebileceği belirtildi.
Srijita Basu, üreticilerin yazılımlarına dahil edilen bileşenleri bilmeleri, üçüncü taraf kütüphaneleri düzenli olarak taramaları ve yeni bildirilen kusurları takip ederek düzeltmeleri uygulamak için bir planları olması gerektiğini belirtti. Analizler, en büyük güvenlik açığı grubunun kod yazım aşamasıyla, bir sonraki en büyük grubun ise tasarımla bağlantılı olduğunu ortaya koydu.
Basu, güvenliğin en baştan itibaren inşa edilmesi ve bir aracın ömrü boyunca test edilmesi gerektiğini vurguladı. Uzman, sürüş sistemlerinin eğlence ve dışarıdan bağlanan bileşenlerden ayrılmasını önerdi. Bu ayrım, bir sistemdeki ihlalin doğrudan sürüş işlevlerine ulaşmasını engelleyebilir.
Çalışma, bildirilen her kusurun uzaktan istismar edilebileceği veya sürüş kontrollerine erişim sağladığı anlamına gelmediğini de ekledi. Araştırma, araç sahiplerine yazılımlarını güncel tutmalarını, bağlı araç hesapları için güçlü şifreler kullanmalarını ve konum ile kişisel detaylara erişim izni olan hizmetleri kontrol etmelerini tavsiye etti. Ancak Basu, yazılım güvenlik açıklarını önleme ve kontrol altına alma konusundaki ana sorumluluğun üreticilere ve tedarikçilerine ait olduğunu ifade etti.
