В России создана методика проверки автомобилей на кибербезопасность CyberNCAP — она войдёт в состав национального рейтинга RuNCAP. Официальный запуск тестов и самого рейтинга пока не состоялся, но первые машины испытания уже прошли.
Проверки идут в изолированной камере без стороннего трафика в лаборатории на Дмитровском автополигоне НАМИ. Цель — не взломать автомобиль любой ценой, а найти уязвимости в штатных каналах связи с внешними устройствами: специалисты перебирают варианты подключения и передачи команд и смотрят, насколько им противостоит заводское ПО. Внимание уделяют и безобидным настройкам, и системам, вмешательство в которые чревато аварией.
Методика включает шесть пакетов испытаний с разным весом в итоговой оценке:
- физические порты и носители (USB, SD, OBD-II, диагностические разъёмы) — 15%;
- беспроводные интерфейсы ближнего действия (Wi-Fi, Bluetooth) — 20%;
- диагностический доступ и сервисные функции (OBD/UDS) — 25%;
- телематика и удалённые сервисы, включая мобильное приложение и облако, — 25%;
- связь с дорожной инфраструктурой и другими машинами (V2V, V2X) — 10%;
- прочие беспроводные интерфейсы: RFID, NFC, бесключевой доступ, радиоканалы — 5%.
За каждое испытание выставляется одна из трёх оценок: неудовлетворительная защита (0 баллов), приемлемая с некритичными уязвимостями (50%) или надёжная (100%). Общая часть результата становится публичной, а подробный технический отчёт уходит производителю — на анализ и выпуск исправленного ПО у него есть 90 дней.
Первыми по утверждённой программе прогнали два электромобиля — кроссовер Tesla Model Y и седан Xiaomi SU7. Tesla набрала 72% и четыре звезды из пяти: отмечена слабая защита CAN-шины при неавторизованном физическом подключении через OBD-II, а также возможность перехватить управление бесключевым доступом по Bluetooth с ретрансляцией сигнала. У Xiaomi — три звезды и 60%: доступ к CAN-шине через OBD-II тоже возможен, испытателям удалось отправить команды управления тормозами и рулём. Пробелы найдены в защите телематики, удалённых сервисов, диагностики и сервисных функций, а также в алгоритмах доступа по Bluetooth и ключ-карте.
Отдельная тема — сбор данных. В ряде стран ограничивают движение машин, чаще китайских, в отдельных зонах, обычно у военных объектов: есть опасения, что камеры передают запись на сторону. По словам представителей НАМИ, на автомобилях встречаются камеры, не задействованные в работе ассистентов водителя, — например, у Tesla на средних стойках кузова и ветровом стекле, а у кроссовера Zeekr 9X таких насчитали восемь. В «стерильной» камере НАМИ эксперты фиксировали на некоторых машинах заметный исходящий поток данных, которому, судя по официально заявленным функциям, взяться неоткуда. Производители не скрывают, что удалённо собирают данные с машин, официально — обезличенно и для развития своих систем.