แคสเปอร์สกี้เตือน พบช่องโหว่ Telematics อันตราย เข้าถึงและควบคุมรถยนต์ที่เชื่อมต่อ (Connected Car) ของผู้ผลิตรายใหญ่ได้

สำนักข่าวบริคอินโฟ – แคสเปอร์สกี้ (Kaspersky) บริษัทด้านความปลอดภัยทางไซเบอร์ ได้เปิดเผยผลการตรวจสอบที่น่าตกใจ โดยระบุถึง ช่องโหว่ ด้านความปลอดภัยที่สำคัญในระบบ Telematics ของผู้ผลิตรถยนต์รายหนึ่ง ซึ่งทำให้บุคคลภายนอกสามารถ เข้าถึง และ ควบคุม รถยนต์ที่เชื่อมต่อ (Connected Car) ทั้งหมดของบริษัทดังกล่าวได้โดยไม่ได้รับอนุญาต การใช้ประโยชน์จาก ช่องโหว่ ดังกล่าวอาจนำไปสู่การ ควบคุม ฟังก์ชันสำคัญของรถยนต์ เช่น การบังคับ เปลี่ยนเกียร์ หรือ ดับเครื่องยนต์ ขณะรถกำลังขับขี่ ซึ่งถือเป็นภัยคุกคามร้ายแรงต่อ ความปลอดภัยทางกายภาพ ของผู้ขับขี่และผู้โดยสาร

การเจาะระบบผ่านโครงสร้างพื้นฐานของผู้รับเหมาและช่องโหว่ Zero-Day

การตรวจสอบความปลอดภัยของ แคสเปอร์สกี้ (Kaspersky) มุ่งเน้นไปที่บริการที่เข้าถึงได้สาธารณะของ ผู้ผลิตรถยนต์ และ โครงสร้างพื้นฐานของผู้รับเหมา ในระยะไกล นักวิจัยได้ค้นพบบริการเว็บที่เปิดเผยหลายรายการ รวมถึงการใช้ ช่องโหว่ SQL injection แบบ Zero-Day ในแอปพลิเคชัน Wiki ของผู้รับเหมา การเจาะระบบในขั้นตอนนี้ทำให้สามารถดึงรายชื่อผู้ใช้ฝั่งผู้รับเหมาพร้อม แฮชรหัสผ่าน ได้ ซึ่งบางรหัสมีความง่ายต่อการคาดเดา

การละเมิดดังกล่าวช่วยให้ผู้โจมตีสามารถเข้าถึง ระบบติดตามปัญหา ของผู้รับเหมา ซึ่งบรรจุรายละเอียดการกำหนดค่าที่ละเอียดอ่อนเกี่ยวกับ โครงสร้างพื้นฐาน Telematics ของผู้ผลิต รวมถึงไฟล์ที่มี แฮชรหัสผ่าน ของผู้ใช้เซิร์ฟเวอร์ Telematics ของรถยนต์ ผู้เชี่ยวชาญชี้ว่าในรถยนต์สมัยใหม่ Telematics มีบทบาทสำคัญในการรวบรวม, ส่ง, วิเคราะห์ และใช้งานข้อมูลจากรถยนต์ที่เชื่อมต่อ อาทิ ข้อมูล ความเร็ว และ ตำแหน่งทางภูมิศาสตร์

การควบคุม Telematics Control Unit (TCU) และระบบ CAN Bus

จากการตรวจสอบเพิ่มเติมในส่วนของ รถยนต์ที่เชื่อมต่อ (Connected Car) นักวิจัยของ แคสเปอร์สกี้ ได้ค้นพบ ไฟร์วอลล์ ที่กำหนดค่าไม่ถูกต้อง ซึ่งเปิดเผย เซิร์ฟเวอร์ภายใน โดยได้ใช้ รหัสผ่าน บัญชีบริการที่ได้มาเพื่อเข้าถึง ระบบไฟล์ ของเซิร์ฟเวอร์ และเปิดเผย ข้อมูลประจำตัว ของผู้รับเหมารายอื่น นำไปสู่การ ควบคุมโครงสร้างพื้นฐาน Telematics ได้อย่างสมบูรณ์

สิ่งที่น่ากังวลที่สุดคือ การค้นพบ คำสั่งอัปเดตเฟิร์มแวร์ ที่อนุญาตให้ อัปโหลดเฟิร์มแวร์ที่แก้ไขแล้ว ไปยัง หน่วยควบคุม Telematics (Telematics Control Unit – TCU) ซึ่งทำให้สามารถเข้าถึง เน็ตเวิร์กควบคุมพื้นที่ของรถยนต์ (Controller Area Network – CAN) ได้ ระบบ CAN นี้เป็นระบบที่เชื่อมต่อส่วนสำคัญต่างๆ ของรถยนต์ เช่น เครื่องยนต์ และ เซ็นเซอร์ การเข้าถึงนี้ทำให้นักวิจัยสามารถจัดการฟังก์ชันสำคัญต่างๆ ของรถยนต์ได้ เช่น เครื่องยนต์ และ ระบบส่งกำลัง ซึ่งอาจเป็นอันตรายต่อ ความปลอดภัย ของผู้ขับขี่และผู้โดยสารโดยตรง

นายอาร์เทม ซิเนนโก (Artem Sinego) หัวหน้าฝ่ายวิจัยและประเมินช่องโหว่ Kaspersky ICS CERT กล่าวว่า “ข้อบกพร่องด้านความปลอดภัย มีสาเหตุมาจากปัญหาที่พบได้บ่อยใน อุตสาหกรรมยานยนต์ ได้แก่ บริการเว็บที่เข้าถึงได้โดยสาธารณะ, รหัสผ่านที่คาดเดาได้ง่าย, การขาดการ ยืนยันตัวตนแบบสองปัจจัย และการจัดเก็บข้อมูลสำคัญที่ไม่ได้เข้ารหัส การละเมิดนี้แสดงให้เห็นว่า จุดอ่อน เพียงจุดเดียวในโครงสร้างพื้นฐานของผู้รับเหมาสามารถส่งผลเสียต่อ รถยนต์ที่เชื่อมต่ออินเทอร์เน็ต ทั้งหมดได้ อุตสาหกรรมยานยนต์ ต้องให้ความสำคัญกับแนวปฏิบัติด้าน ความปลอดภัยทางไซเบอร์ ที่เข้มงวด โดยเฉพาะอย่างยิ่งสำหรับ ระบบของเธิร์ตปาร์ตี้ เพื่อปกป้องผู้ขับขี่และรักษาความไว้วางใจใน เทคโนโลยีรถยนต์ที่เชื่อมต่ออินเทอร์เน็ต”

คำแนะนำเพื่อเสริมความปลอดภัย

แคสเปอร์สกี้ (Kaspersky) ได้ให้คำแนะนำแก่ ผู้รับเหมา ให้จำกัดการเข้าถึงอินเทอร์เน็ตผ่าน VPN, แยกบริการออกจากเครือข่ายองค์กร, บังคับใช้นโยบาย รหัสผ่าน ที่เข้มงวด, ดำเนินการ 2FA (การยืนยันตัวตนแบบสองปัจจัย), เข้ารหัส ข้อมูลสำคัญ และผสานรวมการบันทึกข้อมูลเข้ากับ ระบบ SIEM เพื่อการตรวจสอบแบบเรียลไทม์

สำหรับ ผู้ผลิตยานยนต์ คำแนะนำคือการจำกัดการเข้าถึงแพลตฟอร์ม Telematics จากเซ็กเมนต์เครือข่ายยานยนต์, ใช้ รายการอนุญาต (Allowlist) สำหรับการโต้ตอบเครือข่าย, ปิดการใช้งานการตรวจสอบ รหัสผ่าน SSH, รันบริการด้วย สิทธิ์ขั้นต่ำ และรับรองความถูกต้องของคำสั่งใน TCU ควบคู่ไปกับการรวม SIEM เพื่อเพิ่มระดับ ความปลอดภัยทางไซเบอร์ ของ รถยนต์ที่เชื่อมต่อ