R155 YAZILIM GÜNCELLEMESİNE DİKKAT!

“Sıfır araçlarda ayrıca üreticinin 'UN Regulation No. 155' ve 'No. 156' çerçevesindeki siber güvenlik ve yazılım güncelleme yönetimi yaklaşımı mutlaka sorgulanmalı” uyarısında bulunan Osman Demircan, “R155, araç siber güvenliği ve üreticinin Siber Güvenlik Yönetim Sistemi’ne; R156 ise yazılım güncellemeleri ve Yazılım Güncelleme Yönetim Sistemi'ne ilişkin uluslararası düzenlemeler. Android Auto ile Android tabanlı multimedya sistemi kesinlikle aynı şey değil. Android Auto, ağırlıklı olarak telefondaki bazı fonksiyonların otomobil ekranına yansıtılması. Burada yaşanan vakada ise kendi Android işletim sistemiyle çalışan sistemlerden söz ediliyor. Ucuz bir multimedya cihazının riski bazen donanım kalitesinden değil, üreticisinin iki yıl sonra ortadan kaybolması ve cihazın bir daha güvenlik güncellemesi alamamasından kaynaklanabilir” şeklinde konuştu.

GÜNCELLEME YAPARKEN BİLE HACKLENEBİLİRSİNİZ! ‘İŞTE OLAYIN EN RAHATSIZ EDİCİ TARAFLARINDAN BİRİ BU’

Bu saldırıda zararlı yazılım, normal bir yazılım güncellemesi üzerinden araca ulaşabiliyor. Güncelleme yapmak güvenlik için önemliyken, ‘güncelleme yaparken bile saldırıya uğrama’ ihtimali ortaya çıkıyor. Kullanıcı güvenli bir güncelleme ile şüpheli bir güncellemeyi nasıl ayırt edebilir?

“İşte bu olayın en rahatsız edici taraflarından biri bu” diyen Osman Demircan, şu önemli bilgileri paylaştı:

-- Normalde vatandaşlara sisteminizi güncel tutun diyoruz. Fakat burada saldırganlar tam tersine güvenilir güncelleme mekanizmasını dağıtım aracı olarak kullanmışlar. TWCore normalde üreticinin sunucusundan güncelleme talimatları alan meşru bir uygulama. Güvenlik araştırmacılarının bulgularına göre saldırganlar bu kanalı kullanarak zararlı yazılım göndermiş. Dolayısıyla bazı tedarik zinciri saldırılarında kullanıcı güvenli güncelleme ile zararlı güncellemeyi gözle ayırt edemez.

-- Ekranda üreticinin logosu bulunabilir, güncelleme normal menüden gelebilir ve kullanıcı hiçbir hata yapmamış olabilir. Bu nedenle sorumluluğun önemli bölümü üreticide. Firmware’in kriptografik olarak imzalanması, cihazın imzayı yüklemeden önce doğrulaması, Secure Boot, yetkisiz veya eski sürüme dönüşü engelleyen mekanizmalar, güncelleme sunucularının korunması ve güncelleme altyapısının sürekli izlenmesi gerekiyor. Zaten UN R156’nın temel mantığı da yazılım güncellemelerinin yönetilebilir ve güvenli bir süreç hâline getirilmesinin sağlanması.

-- Kullanıcının yapabileceği ise daha sınırlı ama yine de önemli. Güncellemeyi yalnızca aracın resmî OTA sistemi, üreticinin resmî uygulaması/web sitesi veya yetkili servis üzerinden almak, mesajlaşma uygulamalarından, forumdan, e-postadan veya rastgele internet sitesinden gelen APK/firmware dosyalarını yüklememek, bilinmeyen kaynaklardan yüklemeye izin ver talep eden güncellemelere karşı özellikle şüpheci olmaları gerekiyor.