Már megint Kína, avagy rejthet-e kockázatokat az elektromos buszok távoli elérése?

A norvég közösségi közlekedési szervezet, a Ruter AS, nyilvánosságra hozta annak a kiberbiztonsági tesztnek az eredményét, amelyet egy bánya mélyén hajtott végre két, egy európai és egy kínai gyártású elektromos autóbusz részvételével. A hároméves VDL és a vadonatúj Yutong vizsgálata érdekes eredménnyel zárult és lángba borította mind a közlekedési ágazatot, mind a politikát.

„Ez az átfogó és egyedülálló teszt lehetővé teszi számunkra, hogy létrehozzuk a megfelelő védelmet a buszokban. Oslo és Akershus tömegközlekedésének hozzá kell férnie a legkorszerűbb technológiához – és a legnagyobb biztonsághoz” – mondta Bernt Reitan Jenssen, a társaság vezérigazgatója.

A teszt során kiderült, hogy a járművek fedélzetén működő biztonsági kamerák nem rendelkeznek internetkapcsolattal, azok zárt rendszerben működnek, így adatvédelmi kockázatokat sem rejtenek magukban. A kételyek és aggodalmak a Yutong busz OTA (Over-The-Air, azaz távoli elérés) képességét vizsgálva merültek fel a szakemberekben. (A másik, VDL által gyártott autóbusz nem rendelkezik ilyen funkcióval.)

fotó: Ruter

Mint az napvilágra került, a kínai gyártó (a távoli diagnosztika és a szoftverfrissítés biztosítása végett) minden egyes járműhöz digitális hozzáféréssel rendelkezik. Mobilhálózaton keresztül – melynek eléréséhez egy román SIM kártya található a buszokban – lehetőség van az áramellátás és az akkumulátor vezérlőrendszerének működésébe történő beavatkozásra, ezáltal a gyártó – elméletileg – akár távolról leállíthatja és működésképtelenné teheti a járműveket. Öröm az ürömben, hogy mivel a rendszereknek alacsony az integráltsági foka és csak egyetlen kapcsolat biztosítja a kritikus hozzáférést, a SIM kártya eltávolításával az autóbuszok könnyedén offline üzemmódra alakíthatók át, a járművekre érkező frissítések pedig késleltethetők, így azokat górcső alá lehet venni még azelőtt, hogy a buszokra feltelepülnének. A szakértők azon a kínai szoftverfrissítési platformon is sebezhetőségeket fedeztek fel, amelynek ügyfelei között a Yutong is szerepel; a hibákat azonnal jelezték a szolgáltatónak és azóta kijavították.

A tesztet követően a Ruter megkezdte a konkrét intézkedések foganatosítását, melyek eredményeképpen a jövőbeli beszerzéseknél még szigorúbb biztonsági követelményeket támasztanak majd a járművekkel szemben, emellett egy olyan tűzfal fejlesztését is elkezdték, amely megfelelő védelmet biztosít a hackertámadások ellen és szavatolja a buszok kizárólagos, helyi felügyeletét. A társaság kiemelte, hogy fontos kihasználni a rendelkezésre álló időt a világos kiberbiztonsági követelmények kidolgozására, még mielőtt az újabb generációs autóbuszok rendszerei integráltabbá, nehezebben védhetővé nem válnak; ennek érdekében szorosan együttműködnek a helyi és nemzeti hatóságokkal. Jenssen szerint:

„A tesztet követően a Ruter az aggályoktól a konkrét tudás felé halad azzal kapcsolatban, hogyan valósíthatunk meg olyan biztonsági rendszereket, amelyek megvédenek minket a nem kívánt tevékenységektől vagy a busz adatrendszereinek feltörésétől.”

Dékány Zsolt