في عالم يتزايد فيه الاعتماد على التكنولوجيا في كل جوانب الحياة، لا سيما في قطاع السيارات الذكية، تأتي الاكتشافات الأمنية لتثير القلق والاهتمام. في هذا السياق، كشف باحثو الأمن السيبراني عن أربع ثغرات أمنية في مكتبة بلوتوث المعروفة باسم بلو إس دي كيه (BlueSDK) من شركة أوبن سينرجي (OpenSynergy) والتي قد تسمح بتنفيذ تعليمات برمجية عن بُعد على ملايين المركبات من مختلف الشركات المصنعة.

تحليل مفصل للسياق الأمني

تمت تسمية هذه الثغرات بـ “PerfektBlue”، ويمكن استغلالها كسلسلة لاستهداف مركبات من شركات مرسيدس-بنز وفولكس فاجن وسكودا، إضافة إلى شركة تصنيع أخرى لم يتم الكشف عن اسمها. تتضمن هذه الثغرات نقاط ضعف في أنظمة الذاكرة والمنطق التي يمكن دمجها معًا للحصول على تنفيذ تعليمات برمجية عن بُعد (Remote Code Execution – RCE).

في حين أن أنظمة الترفيه داخل السيارة عادة ما تعتبر معزولة عن أنظمة التحكم الحيوية، إلا أن هذه العزلة تعتمد بشكل كبير على كيفية تصميم كل شركة مصنعة للتقسيم الداخلي للشبكة. في بعض الحالات، قد يسمح ضعف العزلة للمهاجمين باستخدام الوصول إلى النظام الترفيهي كمدخل لمناطق أكثر حساسية، خاصة إذا كان النظام يفتقر إلى إنفاذ عند مستوى البوابة أو بروتوكولات الاتصالات الآمنة.

تأثيرات وتحديات أمنية

تتطلب العملية الهجومية أن يكون المهاجم ضمن نطاق البلوتوث وقادرًا على الاقتران مع نظام الترفيه المستهدف في السيارة. يعتبر هذا الهجوم من نوع “النقرة الواحدة” حيث يمكن تنفيذه عن بعد عبر البلوتوث. ومع ذلك، فإن هذا القيد يعتمد على كيفية تنفيذ النظام، حيث قد يختلف عملية الاقتران بين الأجهزة المختلفة من حيث عدد طلبات الاقتران المتاحة أو غياب أو وجود تفاعل المستخدم.

الثغرات المكتشفة تشمل:

• CVE-2024-45434: ثغرة “استخدام بعد التحرير” في خدمة AVRCP (درجة CVSS: 8.0)
• CVE-2024-45431: عدم التحقق الصحيح من قناة L2CAP (درجة CVSS: 3.5)
• CVE-2024-45433: إنهاء الوظيفة بشكل غير صحيح في RFCOMM (درجة CVSS: 5.7)
• CVE-2024-45432: استدعاء وظيفة بمعامل غير صحيح في RFCOMM (درجة CVSS: 5.7)

عند النجاح في تنفيذ التعليمات البرمجية على نظام الترفيه داخل السيارة، يمكن للمهاجم تعقب إحداثيات GPS وتسجيل الصوت والوصول إلى قوائم الاتصال وحتى التحرك إلى أنظمة أخرى وربما السيطرة على وظائف حيوية للسيارة، مثل المحرك.

إصلاحات وتوصيات

بعد الإبلاغ المسؤول في مايو 2024، تم إصدار التصحيحات في سبتمبر 2024. تعتبر PerfektBlue مدخلاً محتملاً للنظام المستهدف، وهو أمر حيوي عند الحديث عن المركبات، حيث يمكن أن يعتمد التحرك الجانبي داخل السيارة على بنيتها وقد يتطلب ثغرات إضافية.

اتجاهات واستنتاجات

في أبريل الماضي، قدمت نفس الشركة مجموعة من الثغرات التي يمكن استغلالها للدخول عن بعد إلى سيارة نيسان ليف والتحكم في وظائف حيوية. تم عرض النتائج في مؤتمر بلاك هات آسيا في سنغافورة.

يشير هذا الاتجاه إلى تزايد أهمية أمان السيارات في مواجهة التهديدات السيبرانية المتطورة. مع تعزيز الاعتماد على التكنولوجيا في المركبات، يصبح من الضروري للشركات المصنعة التفكير في الأمن السيبراني منذ المراحل الأولى لتطوير الأنظمة.

دعوة للنقاش

ما الذي يمكن أن تفعله الشركات المصنعة للسيارات لتعزيز أمان أنظمتها في مواجهة التهديدات السيبرانية المتزايدة؟ وكيف يمكن للمستهلكين التأكد من أن سياراتهم محمية من الهجمات المحتملة؟