İsveç’teki Gothenburg Üniversitesi ve Chalmers Teknoloji Üniversitesinden araştırmacılar, araçlara bağlı uygulamalar ve çevrimiçi hizmetler dahil olmak üzere geniş bir otomotiv yazılımı ağındaki güvenlik açıklarını inceledi. Çalışma, 2010-2019 dönemiyle karşılaştırıldığında, dışarıdan bağlanan yazılımlardaki güvenlik açıklarının arttığını ortaya koydu.
Yazılım mühendisliği araştırmacısı Srijita Basu, sıradan çevrim içi hizmetlerde kullanılan teknolojilerin artık otomotiv güvenliği alanında önemli bir yer tuttuğunu belirtti. Bu geniş ağ; mobil ve web uygulamaları ile bulut hizmetlerini kapsıyor. Bu sistemler, aracın kullanımına ve sahibine ilişkin hassas verileri depolayabiliyor. Zayıf güvenlik önlemleri, bu verilere yetkisiz erişime yol açabilir.
Araştırmacılar, 413 otomotiv yazılımı güvenlik açığını analiz ederek, dış uygulamaların yüzde 36,2 ile en büyük payı oluşturduğunu tespit etti. Bu durum, önceki araştırmalara kıyasla dış kaynaklı yazılımlara yönelik bir kaymayı gösteriyor. Basu, bir güvenlik açığının istismar edilmesi ve kritik sürüş işlevleriyle bağlantılı sistemler arasındaki güvenlik duvarlarının yetersiz olması durumunda, saldırganların potansiyel olarak aracın temel işlevlerine ulaşabileceği uyarısında bulundu.
Araştırmacılar, Ocak 2022 ile Eylül 2024 arasındaki otomotivle ilgili güvenlik kayıtlarını ABD Ulusal Güvenlik Açığı Veri Tabanından topladı. Kusurlar, etkilenen yazılıma, ciddiyetine ve geliştirme aşamasındaki kökenlerine göre sınıflandırıldı. Bulgular, önceki araştırmalarla karşılaştırıldığında harici yazılımları içeren güvenlik açıklarının payının arttığını gösterdi. Ayrıca, geliştiricilerin kullandığı hazır kod bileşenleri olan kütüphaneler aracılığıyla da zayıflıkların otomotiv yazılımına girebileceği belirlendi. İncelenen 20 açık kaynaklı projede 827 savunmasız kütüphane tespit edildi. Bu durum, yaygın olarak kullanılan bir bileşendeki zayıflığın birden fazla sistemi etkileyebileceği anlamına geliyor.
Basu, üreticilerin yazılımlarına entegre edilen bileşenleri bilmeleri, dışarıdan alınan kütüphaneleri düzenli olarak taramaları ve tespit edilen kusurları gidermek için bir planları olması gerektiğini vurguladı. Analizler, en büyük güvenlik açığı grubunun kod yazım aşamasıyla, ardından tasarım aşamasıyla ilişkili olduğunu gösterdi. Güvenliğin en başından itibaren tasarlanması ve aracın kullanım ömrü boyunca test edilmesi önerildi. Basu, araç sahiplerine yazılımlarını güncel tutmalarını, güçlü şifreler kullanmalarını ve konum ile kişisel bilgilere erişim izni veren hizmetleri kontrol etmelerini tavsiye etti. Ancak, güvenlik açıklarını önleme ve kontrol altına alma sorumluluğunun öncelikli olarak üreticiler ve tedarikçilere ait olduğunu belirtti. Araştırma bulguları Yazılım Kalitesi Dergisinde yayımlandı.
