İsveç’teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesi araştırmacıları, modern otomobillerin siber güvenlik zafiyetlerinin dış bağlantılı mobil uygulamalar ve bulut hizmetlerinde yoğunlaştığını belirledi. Ocak 2022 ile Eylül 2024 arasındaki verileri analiz eden ekip, 413 otomotiv yazılımı güvenlik açığını inceledi. Çalışma, dış uygulamaların güvenlik açıklarının yüzde 36,2’sini oluşturduğunu gösterdi.
Yazılım Kalitesi Dergisi’nde yayımlanan bu araştırma, önceki çalışmalara kıyasla dışarıdan bağlanan yazılımlardaki güvenlik açığı payının arttığını ortaya koydu. Araştırmacılar, araçlara bağlı uygulamalar ve çevrim içi hizmetler de dahil olmak üzere daha geniş bir ağı mercek altına aldı.
Her iki kurumda da yazılım mühendisliği araştırmacısı olarak görev yapan Srijita Basu, sıradan çevrim içi hizmetlerde yaygın olarak kullanılan teknolojilerin artık otomotiv güvenliğinin bir parçası haline geldiğini vurguladı. Geniş ağ, mobil ve web uygulamaları ile bulut hizmetlerini kapsıyor. Bu sistemler, aracın konumu, kullanım şekli ve sahibine ilişkin verileri depolayabiliyor.
Basu, zayıf güvenliğin dışarıdaki kişilerin bu verilere erişmesine olanak sağlayabileceğini belirtti. Ayrıca eğlence ve telematik sistemlerinin, otomobilin nasıl çalıştığına dair verileri kaydeden ve ileten yazılımlarla diğer araç bileşenleri arasında veri alışverişi yapabildiğini kaydetti. Bir güvenlik açığından yararlanılması durumunda, saldırganların güvenlik açısından kritik işlevlere potansiyel olarak erişebileceği uyarısında bulundu.
Araştırmacılar, ABD Ulusal Güvenlik Açığı Veri Tabanı’ndan topladıkları kayıtları inceleyerek zayıflıkların yoğunlaştığı alanları belirledi. Bulgular, en büyük güvenlik açığı grubunun kodun yazıldığı aşamayla bağlantılı olduğunu ortaya koydu. Bir sonraki en büyük grup ise tasarımla ilişkiliydi. Geliştiricilerin kullandığı hazır kod bileşenleri (kütüphaneler) aracılığıyla da güvenlik kusurlarının otomotiv yazılımlarına girebildiği tespit edildi.
Srijita Basu, üreticilerin yazılımlarına hangi bileşenlerin girdiğini bilmeleri gerektiğini ifade etti. Ayrıca, diğer geliştiricilerden elde edilen kütüphaneleri düzenli olarak taramaları, yeni bildirilen kusurları izlemeleri ve düzeltmeleri uygulamak için bir plana sahip olmaları gerektiğini ekledi. Basu, sürüş sistemlerinin eğlence ve dışarıdan bağlanan bileşenlerden ayrılmasının önemini de vurguladı.
Araştırma, bildirilen her kusurun uzaktan istismar edilebileceği veya sürüş kontrollerine erişim sağladığı anlamına gelmediğini de belirtti. Ancak araç sahiplerine yazılımları güncel tutmaları, güçlü şifreler kullanmaları ve bağlantılı telefon uygulamalarını güvence altına almaları tavsiye edildi. Basu, yazılım güvenlik açıklarını önleme ve kontrol altına alma konusundaki ana sorumluluğun üreticilere ve tedarikçilerine ait olduğunun altını çizdi.
