Bảo mật xe hơi: Thị trường đang trỗi dậy

(PCWorldVN) Năm ngoái, ngành công nghiệp ô tô đã nhận được lời cảnh báo khi chiếc xe Jeep Cherokee bị tấn công và bị điều khiển từ xa.

• Xe hơi ngày càng trở nên thông minh hơn
• Công nghệ cao đe dọa tương lai của xe hơi
• Công nghệ tích hợp trong xe hơi
• Xe hơi - sân chơi lớn tiếp theo của CNTT-TT
• Tại sao xe hơi sẽ được kết nối với Internet vào năm 2020?

Trên một chiếc xe ô tô hiện đại có khoảng chục máy tính, đồng thời nó cũng chứa khoảng 100 triệu dòng mã lệnh, và cứ 1.000 dòng mã lệnh như vậy lại có trung bình khoảng 15 lỗi bảo mật tiềm năng mà hacker có thể lợi dụng bất kỳ lúc nào.

Khi xe hơi ngày càng thông minh hơn, trở thành phương tiện tự động, kết nối với Internet, với các phương tiện giao thông khác và thậm chí với hạ tầng giao thông đường bộ nói chung thì chúng cũng đang có tiềm năng bị lợi dụng tấn công, theo công ty nghiên cứu thị trường Navigant Research.

Trong khi việc đối phó với tội phạm mạng trở thành ưu tiên hàng đầu đối với các nhà sản xuất ô tô từ sau vụ chiếc Jeep Cherokee bị tấn công thì đa phần xe ô tô hiện đang chạy trên  đường thường có hệ thống thông tin khá cũ, lỗi thời so với những thiết bị điện tử tiêu dùng hiện nay. Khung thời gian để phát triển một chiếc ô tô mới là từ ba đến năm năm, và dòng đời dịch vụ của xe là từ 20 năm trở lên. Điều này đã khiến các nhà nghiên cứu dự đoán sẽ có một thị trường khổng lồ xuất hiện nhằm đảm bảo an toàn, bảo mật, chống malware cho các phương tiện giao thông.

Hồi đầu tháng 6 vừa qua, hội nghị TU - Automatic Detroit diễn ra tại Mỹ, quy tụ nhiều công ty phần mềm và công ty khởi nghiệp, đã giới thiệu nhiều giải pháp, sản phẩm bảo mật cho ô tô. Trong số này, có những công ty tên tuổi trong ngành bảo mật như Symantec, Savari và Karamba Security.

Nhiều cách để bảo vệ xe hơi

Một báo cáo gần đây của chuyên gia bảo mật cho ô tô cho rằng đã có vài công ty nhắm đến thị trường bảo mật xe hơi từ lâu, nhất là ở Israel, như Argus Cyber Security và TowerSec. Tuy nhiên, mỗi công ty lại có cách tiếp cận với giải pháp riêng, không giống nhau.

Ví dụ, Argus đưa ra module nhận diện và ngăn chặn xâm nhập gắn trực tiếp vào mạng điều khiển theo vùng CAN (controller area network) của ô tô, nghĩa là kết nối trực tiếp vào các thiết bị điều khiển điện tử ECU (electronic control unit) hoặc máy tính trên xe. Còn TowerSec lại đưa ra phần mềm nhúng vào các ECU hiện thời. Trong khi đó, phần mềm của Karamba tích hợp như là một phần thiết lập gốc của xe và tạo ra tường lửa giữa các phần điều khiển ECU thông tin – giải trí (infotainment), hệ thống viễn tin (telematics), và hệ thống chẩn đoán OBD (on-board diagnostics).

Với giải pháp của Karamba, công cụ này quét dựa trên những điểm bất thường trong luồng dữ liệu của ô tô... thay vì quét như các phần mềm chống virus thông thường là tìm ra đặc điểm nhận diện virus.

Về định nghĩa, phần mềm dựa trên những điểm bất thường (heuristic - pattern software) không hoàn hảo là vì nó không trực tiếp chặn malware, mà chỉ theo dõi trên hệ thống mạng của xe có bất kỳ dấu hiệu nào bất thường hay không, như một tin nhắn hay đoạn mã lạ nào đó xuất hiện. Sau đó, nó sẽ khoanh vùng khối bị nhiễm để tránh lây lan hoặc thực thi những lệnh quan trọng liên quan đến hệ thống như đổi hướng đi hoặc phanh xe.

Theo chuyên gia, tiếp cận theo cách này là tích cực, chủ động hơn cách tìm những dấu hiệu đặc trưng của malware truyền thống, vì không phụ thuộc vào việc cập nhật liên tục. Thay vì đó phần mềm nhắm vào việc phát hiện những hành vi của malware trước khi nó gây ảnh hưởng.

Trong lĩnh vực chống mã độc cho xe hơi đang hình thành, bảo mật hệ thống có tầm quan trọng đặc biệt bởi thông thường, nhà sản xuất ô tô không sử dụng những phần cứng mới nhất, mà thay vào đó, có xu hướng chọn những thành phần cũ chẳng hạn như bộ xử lý của một đến hai thế hệ trước, nhằm đảm bảo sự ổn định và mạnh mẽ. Phần cứng cũ tuy vẫn có thể chạy được với hệ thống bảo mật mới nhất, nhưng vẫn tiềm tàng lỗi bảo mật nơi chính phần cứng.

Tầm quan trọng của bảo mật cho ô tô được giới công nghiệp cực kỳ quan tâm. Bằng chứng là Liên hiệp các nhà sản xuất ô tô (Alliance of Automobile Manufacturers) và Hiệp hội nhà sản xuất ô tô toàn cầu (Association of Global Automakers), mỗi nhóm đã lập ra Trung tâm Phân tích và chia sẻ thông tin ISAC (Information Sharing and Analysis Center) để chia sẻ kinh nghiệm, cách đối phó những vấn đề liên quan đến an ninh mạng.

Thực chất, những nhóm chia sẻ thông tin như vậy đều tồn tại với những ngành công nghiệp quan trọng khác, như ngành chăm sóc sức khỏe, dịch vụ tài chính và hàng không, nhưng mãi đến năm 2014 thì ngành công nghiệp sản xuất ô tô mới nhận thấy họ cần quan tâm đến mạng lưới an ninh mạng.

Theo công ty nghiên cứu thị trường Gartner, trong vòng 5 năm tới, hầu hết ô tô được sản xuất sẽ có khả năng kết nối Internet. Còn theo công ty nghiên cứu IHS Automotive, đến năm 2035, sẽ có đến 21 triệu xe tự lái chạy trên đường.

Hệ thống thông tin – giải trí trên xe hơi dễ dàng trở thành mục tiêu tấn công của hacker

Thời khắc quyết định

Giám đốc nghiên cứu tại IHS Automotive đã từng phát biểu trước thời điểm xe Jeep Cherokee được hai chuyên gia bảo mật thử hack để điều khiển từ xa thì ngành công nghiệp chế tạo ô tô hầu như không thấy có mối đe dọa bảo mật nào nghiêm trọng.

Fiat Chrysler Automobiles (FCA) hiện là nhà sản xuất ô tô lớn thứ 7 thế giới, từng phải ra lệnh thu hồi 1,4 triệu chiếc xe để sửa một lỗi phần mềm cho phép tin tặc tấn công chiếc Jeep Cherokee từ xa và có thể điều khiển các chức năng quan trọng của xe. Vị giám đốc cho biết năm 2015 là thời điểm khiến cả ngành công nghiệp thay đổi quan điểm. Lúc mới nhận diện được lỗ hổng, họ chỉ cần bỏ ra 100 USD/chiếc để vá lỗi phần mềm cho 1,4 triệu chiếc xe. Nhưng bỗng dưng gộp lại, phải tốn đến 140 triệu USD, số tiền không hề nhỏ. Lúc đó, nhà sản xuất chỉ nhìn vào việc xử lý các hệ thống hiện tại, nhưng giờ đây họ bắt đầu lên kế hoạch cho những hệ thống mới, sẽ áp dụng cho các mẫu xe sản xuất năm 2018 hoặc 2019.

Trong khi ô tô kết nối Internet đang mở ra cửa ngõ mới cho hacker nhưng về mặt tích cực, chúng cũng mang đến giải pháp tiềm năng để cập nhật phần mềm bảo mật trực tiếp (over the air - OTA). Hiện nay, chỉ có một số ít các nhà sản xuất ô tô mới thực hiện được những cập nhật này. Nhưng rất có thể số lượng sẽ nhanh chóng thay đổi trong thời gian tới.

Đến năm 2022, có khoảng 203 triệu ô tô trên đường có thể nhận được cập nhật trực tiếp, qua mạng không dây. Theo ABI Research, trong số này, sẽ có ít nhất 22 triệu ô tô sẽ được nâng cấp firmware.

Còn theo Navigant, đến năm 2025, gần phân nửa lượng ô tô bán ra trên toàn cầu dự kiến sẽ có khả năng thông tin liên lạc từ xa, trong đó có tính năng cập nhật phần mềm thông qua OTA để vá lỗi bảo mật, bổ sung/chỉnh sửa chức năng hệ thống và để áp dụng các chuẩn, luật giao thông tại từng địa phương.

Khi có thể cập nhật phần mềm giống như bất kỳ thiết bị di động nào hiện nay thì những mối đe dọa bảo mật có thể được khắc phục ngay, gần như theo thời gian thực.

Tấn công xe hơi kết nối Các nhà sản xuất ô tô đang chạy đua đưa các chức năng xử lý càng nhiều càng tốt trong xe của họ, và điều không có gì ngạc nhiên khi các máy tính có thể dễ dàng bị tấn công. Trước đây, tin tặc đã biết được cách làm thế nào để mở khóa xe ô tô bằng chìa khóa điều khiển không dây và ngăn chặn người dùng khóa xe từ xa. Các chuyên gia cũng cho thấy tính năng điều khiển radio từ xa của xe có thể liên kết hoặc có thể được kết nối với hệ thống điều khiển quan trọng của chiếc xe. Một kết luận được đưa ra là gần như tất cả xe được sản xuất hiện nay là đề có thể bị xâm nhập. Bây giờ các nhà sản xuất xe hơi đang nỗ lực tiếp bước các công ty phần mềm trước đây là thuê hacker mũ trắng để giúp cải thiện sự an toàn của hệ thống xe. Năm 2014, một thử nghiệm tấn công từ xa chiếc Jeep Cherokee, vô hiệu hoá hệ thống phanh/thắng và bộ truyền động của xe. Chỉ bấy nhiêu thôi cũng đã khiến hãng xe Fiat Chrysler thu hồi 1,4 triệu xe của họ, sau đó họ gửi thư cho khách hàng, có kèm USB để vá một lỗi trong hệ thống thông tin - giải trí (infotainment) và chặn tấn công từ xa qua mạng Sprint kết nối với xe ô tô và xe tải. Vụ tấn công Jeep trên mới chỉ là vụ đầu tiên trong một loạt vụ tấn công từ xa liên quan đến ngành công nghiệp ô tô trong suốt hè 2014. Tại hội nghị tin tặc DefCon hồi tháng 8/2015, nhà nghiên cứu bảo mật Marc Rogers và người đồng sáng lập, CTO của công ty bảo mật Lookout, Kevin Mahaffey, đã trưng ra một loạt lỗ hổng họ phát hiện được trong chiếc xe tự lái Tesla Model S, cho phép kẻ xấu kết nối laptop của chúng đến đường cáp mạng của xe bên dưới kính chắn gió của tài xế, và khởi động chiếc xe trị giá 100.000 USD này bằng một lệnh với phần mềm và điều khiển lái chiếc xe từ xa. Hay thậm chí, tin tặc cũng có thể cấy trojan vào mạng nội bộ của xe để có thể sau này tắt máy xe trong khi có người nào đó đang dùng. Các lỗ hổng khác được phát hiện về mặt lý thuyết cũng có thể điều khiển chiếc xe từ xa nhưng họ chưa thử qua. Tesla đã nhanh chóng vá ngay. Rõ ràng, những demo tấn công như trên là thông điệp không chỉ cho ngành công nghiệp ô tô nói riêng, mà còn cho cả người dùng và các nhà làm luật nói chung. Bộ thu phát radio UConnect của chiếc xe Jeep Cherokee 2015, tương tự như loại đã bị hack bởi hai chuyên gia bảo mật.

Các mối hiểm họa

Không như các ngành công nghiệp như dịch vụ tài chính, chăm sóc sức khỏe, ngành công nghiệp ô tô ít khiến kẻ xấu chú ý hơn. Trong khi các hệ thống infotainment trên xe một ngày nào đó có thể giúp người dùng mua sắm hàng hóa hay dịch vụ ngay trên xe thì nó lại không phải là tính năng phổ biến và có lẽ còn khá lâu mới trở thành hiện thực. Tuy nhiên, hiểm họa đáng ngại hơn là mã độc ransomware tống tiền và khủng bố. Ví dụ, tin tặc có thể mã hóa một hệ thống infotainment của chiếc xe nào đó, không cho truy cập và sau đó tống tiền chủ xe hay nhà sản xuất để mở khóa hệ thống.

Còn đối với khủng bố, rất có khả năng chúng sẽ tắt máy hàng loạt xe đang chạy trên đường hoặc  hệ thống vận chuyển. Các chuyên gia cho rằng đây là điều có thể khiến các nhà sản xuất lo ngại nhất. Hacker sẽ chi rất nhiều tiền nếu có thể vô hiệu hóa 10.000 chiếc xe tại New York hay bất kỳ thành phố nào khác. Đây thực sự sẽ là thảm họa.

PC World VN 07/2016