Những rủi ro khó lường từ tấn công mạng

Các chuyên gia ở ĐH Virginia hợp tác với cảnh sát bang trong một nghiên cứu tìm hiểu nguy cơ bị tấn công mạng của xe hơi hiện đại và những cách phòng chống

Texas Auto Center - một đại lý bán xe ở Texas, Mỹ - ngập trong những lời than phiền: xe các khách hàng của họ bỗng trở thành “xe điên”, tự bóp kèn vào giữa đêm làm hàng xóm nổi giận, rồi khi sáng ra thì không tài nào khởi động được... Các nhân viên ở đại lý ban đầu nghi ngờ một thiết bị kết nối Internet mới được kết nối vào xe không hoạt động, nhưng kiểm tra lại thì họ thấy vấn đề nghiêm trọng hơn nhiều: chính đại lý đã bị tấn công mạng!

Ngoài các xe hoạt động bất thường, ai đó cũng đã thay thế danh sách những dòng xe rẻ tiền Dodge và Chevrolet bằng tên các xe thể thao. Tên khách hàng trong danh sách lưu trữ máy tính được kết nối mạng ở trung tâm bị đổi thành tên của các nhân vật giả tưởng và ca sĩ nhạc rap.

“Chuột Mickey lái một chiếc Lamborghini” - Martin Garcia, giám đốc đại lý bán xe ở Austin, nói với Washington Post.

Garcia đã báo cảnh sát. Nhà chức trách tìm ra hơn 100 nạn nhân và buộc tội một nhân viên cũ của đại lý là “hacker” chính. Từng xảy ra năm năm trước, đây chỉ là một trong rất nhiều sự cố điển hình khi xe hơi bắt đầu được kết nối với mạng Internet ngày càng nhiều và ngày càng gắn bó.

Số lượng phương tiện vận tải có kết nối đang bước vào giai đoạn bùng nổ, từ khoảng 2 tỉ năm 2010 và sẽ là 25 tỉ vào năm 2020, theo dự báo của các chuyên gia.

Nguy cơ chắc chắn sẽ xảy ra

Cùng với đó, những vụ tấn công mạng vào xe hơi chắc chắn sẽ xảy ra. Câu hỏi chỉ là khi nào những người có động cơ đạt được phương tiện và kỹ năng cần thiết. “Nếu chúng ta học được gì từ Internet thì đó là việc các xe hơi kết nối bị tấn công mạng chắc chắn sẽ xảy ra” - Kathleen Fisher, giáo sư về khoa học và an ninh máy tính ở Đại học Tufts, khẳng định.

Một trong những ví dụ điển hình xảy ra mới tuần trước, khi hai chuyên gia an ninh mạng Charlie Miller và Chris Valasek trình diễn kỹ năng “bắt cóc” một chiếc xe qua mạng Internet. Bằng cách tấn công mạng với một chiếc Jeep Cherokee 2014 của Hãng Jeep, họ đã có thể bẻ bánh lái, trong một thời gian ngắn làm thắng (phanh) xe không hoạt động và gây chết máy.

Chỉ bằng cách gõ những dòng mã lệnh chính xác trên máy tính, Valasek và Miller cho biết họ có thể tấn công không chỉ với các chiếc Jeep mà cả các xe Dodge và Chrysler gần như ở bất kỳ nơi đâu. Chính phủ và ngành công nghiệp xe hơi hiện đang nỗ lực ngăn chặn những người có khả năng như Miller và Valasek nhưng lại có ý đồ xấu.

“Họ có thể tấn công một chiếc xe, nhưng chưa thể làm ở quy mô lớn với hàng nghìn chiếc” - John Ellis, cựu chuyên gia kỹ thuật toàn cầu của Hãng Ford, nói. Những chiếc xe hơi xuất xưởng thời gian gần đây thật ra không khác gì các máy tính có bốn bánh, với hàng chục con chip chạy hàng triệu dòng mã lệnh.

Những chiếc xe đời mới nhất có thể giao tiếp dễ dàng với thế giới bên ngoài thông qua hệ thống chìa khóa điều khiển từ xa, radio vệ tinh, kết nối Bluetooth, kết nối Internet để chỉ đường... Với các chuyên gia an ninh, đó là những “điểm tấn công”, tức là những nơi mà người bên ngoài có thể xâm nhập vào xe.

Một khi đã xâm nhập được hệ thống, hầu hết hệ thống máy tính trên các xe hơi hiện đại ngày nay đều được kết nối với nhau theo một cách nào đó, trực tiếp hoặc gián tiếp. Những chuyên gia đã hack được vào các máy tính điều khiển màn hình, hệ thống chiếu sáng hay túi khí sau đó cũng tìm được đường tới hệ thống truyền động, xilanh động cơ và trong những chiếc đời mới nhất là cả hệ thống bánh lái.

Các hệ thống này đều nói cùng một ngôn ngữ kỹ thuật số, một bộ mã máy tính được tạo ra từ những năm 1980, khi chỉ những chuyên gia lão luyện trong nghề mới hiểu và viết được các mã.

An ninh chung của các xe hơi nối mạng vì thế “đi sau 15, có thể là 20 năm so với an ninh của máy tính cá nhân ngày nay. Thật đáng lo” - chuyên gia Peiter Zatko, từng là giám đốc Cơ quan các dự án nghiên cứu quốc phòng hiện đại (DARPA) của Bộ Quốc phòng Mỹ giờ đã chuyển ra làm tư nhân, nhận xét.

Một kẻ tấn công không cần phải gây tai nạn cho một chiếc xe. Một tay hacker có thể sử dụng thiết bị định vị của chiếc xe để theo dõi vợ (hoặc chồng), trong khi các máy nghe lén nhỏ gắn trong xe có thể truyền về các cuộc đối thoại.

Mọi kiểu tấn công xe hơi nối mạng

Những kịch bản tấn công xe hơi nối mạng là thiên hình vạn trạng. “Xe hơi là một phần quan trọng của thế giới Internet” - thượng nghị sĩ Mỹ Edward J. Markey nói. Tuần trước, ông vừa trình một dự luật yêu cầu chính quyền liên bang thiết lập các tiêu chuẩn an ninh mạng tối thiểu cho xe hơi, điều đã được áp dụng từ lâu với các bộ phận an toàn khác trong xe như thắng và dây an toàn.

Các hệ thống định vị và chỉ đường tích hợp trong xe hiện được coi là nhiều rủi ro nhất. Các nhà nghiên cứu đã phát hiện với việc cài một mã độc vào các hệ thống đó, họ có thể kiểm soát hoàn toàn chiếc xe. “Chúng tôi có thể làm điều đó từ cách cả ngàn dặm” - Tadayoshi Kohno, một nhà nghiên cứu ở Đại học Washington, nói.

Sự dễ tổn thương của những thiết bị được kết nối với Internet, ngoài máy tính, không phải là điều gì mới. Năm 2007, phó tổng thống Mỹ khi đó là Richard B. Cheney từng ngắt kết nối không dây trong thiết bị trợ tim được cấy vào người ông vì lo sợ một tên khủng bố có thể tấn công được thiết bị đó qua mạng Internet.

Một trong những vụ tấn công mạng vào các thiết bị kết nối Internet gây nhiều thiệt hại khá nổi tiếng là khi tình báo Mỹ và Israel năm 2009 phát tán phần mềm độc hại Stuxnet phá hủy các máy ly tâm làm giàu uranium của Iran.

Các nhà nghiên cứu Tiffany Rad, Teague Newman và John Strauchs viết năm 2011 rằng họ có thể tấn công các hệ thống kiểm soát cổng ra vào nhà tù, đóng mở tùy thích. Họ cũng khẳng định nhiều hệ thống cơ khí - điện tử - Internet khác cũng dễ tổn thương như thế. Hay năm 2008, một cậu nhóc 14 tuổi ở Ba Lan đã chỉnh lại một chiếc điều khiển tivi để kiểm soát các xe điện ở Lodz, thành phố lớn thứ ba tại Ba Lan, gây ra vài vụ trật đường ray và tai nạn nhỏ.

Vụ của Texas Auto Center, xảy ra hai năm sau đó, hóa ra có thủ phạm là một thanh niên 20 tuổi mê máy tính đã bị đại lý đuổi việc. Người này đã dùng thông tin của nhân viên để đăng nhập vào hệ thống trên Internet từ nhà, để lại dấu vết khiến cảnh sát Austin lần ra.

Các máy bay không người lái lan tràn hiện giờ cũng là một phương tiện tấn công những xe hơi nối mạng rất hữu hiệu. Chuyên gia an ninh Samy Kamkar đã chứng minh điều đó năm 2013 qua một thiết bị với tên gọi SkyJack. Những gì ông làm còn được ghi lại trong một đoạn video trên YouTube.

Với SkyJack và thêm không đầy 100 USD nữa, Kamkar đã biến một máy bay không người lái cơ bản, có thể mua ở bất cứ đâu, thành một phương tiện tìm và kiểm soát các thiết bị mà nó tiếp cận. Nếu có đủ các mục tiêu, Kamkar nói trên YouTube, SkyJack có thể tạo ra “một đạo quân các xác sống” được kiểm soát từ chỉ một chiếc điện thoại thông minh. Kamkar hiện cũng là một nhân vật lớn của ngành an ninh mạng cho xe hơi.

“Tôi không thể khởi động mọi xe, nhưng tôi đã có thể mở khóa bất cứ chiếc xe nào tôi muốn” - Kamkar tuyên bố. Lý do rất đơn giản: chỉ có vài nhà cung cấp thiết bị kết nối lớn cho nhiều nhà sản xuất xe hơi. Tất cả hệ thống khóa mà Kamkar nghiên cứu, theo lời ông, đều sử dụng cùng một tần số sóng radio. Vượt qua được hệ thống đó, hầu như mọi cánh cửa xe khác cùng loại cũng chỉ là bài toán tương tự.

Những chiếc xe hơi, vốn một thời chỉ là những cỗ máy chết, kiểm soát bằng xăng dầu, dây nhợ và điện, ngày nay đã trở thành cả một hệ thống được vi tính hóa, bắt đầu với bộ phận xả thải, rồi sau đó là thắng, khóa xe...

Các hệ thống máy tính tích hợp trong xe hơi mỗi ngày một hiện đại ở các mẫu xe đời mới. Vấn đề là các hệ thống đó không tồn tại riêng lẻ. Những chiếc thắng xe hiện đại cần phải biết bánh xe đang quay được bao nhiêu vòng. Hệ thống túi khí cần biết xe có bị giảm tốc đột ngột hay không. Màn hình điều khiển cần biết bình xăng có đầy không hay máy có quá nóng không. Tất cả điều đó khiến từng bộ phận trong xe ngày càng được kết nối với nhau nhiều hơn, cũng như được kết nối với cả thế giới bên ngoài.

“Máy tính của bạn bị tấn công và hỏng hóc là một chuyện, nhưng khi xe hơi của bạn bị tấn công mạng, đó là chuyện hoàn toàn khác” - Ashkan Soltani, trưởng bộ phận kỹ thuật ở Ủy ban Thương mại Mỹ, kết luận.