Chiếc xe bạn lái hôm nay có thể vá lỗi động cơ, nâng cấp hệ thống pin hay bổ sung tính năng mới chỉ sau một đêm, không cần ghé xưởng. Đó là sức mạnh của cập nhật qua mạng, hay OTA (over-the-air), công nghệ vốn quen thuộc với điện thoại nay đã lan sang gần như mọi dòng xe hiện đại. Nhưng khác với smartphone bị treo máy khi cập nhật bị lỗi, một chiếc xe nặng hai tấn đang chạy 80km/h mà nhận nhầm firmware thì hậu quả không dừng ở phiền toái. Các chuyên gia bảo mật gần đây cảnh báo rằng chính kênh cập nhật tiện lợi này đang trở thành điểm yếu chí mạng của ngành ô tô.

Một chiếc xe là hàng chục máy tính nối mạng với nhau

Ô tô hiện đại không có một bộ não trung tâm mà là mạng lưới hàng chục đến hơn một trăm ECU (electronic control unit), mỗi con chip nhỏ đảm nhiệm một việc: phanh, túi khí, quản lý pin, màn hình giải trí, radar hỗ trợ lái. Chúng nói chuyện với nhau qua bus CAN nội bộ. Vấn đề là khi hãng xe mở một cổng kết nối mạng di động để đẩy bản cập nhật xuống, cổng đó vô tình trở thành cửa vào cho toàn bộ mạng lưới ECU phía sau, kể cả những bộ phận đáng lẽ chỉ nên giao tiếp nội bộ trong xe.

Secure boot và ký số: hàng rào đầu tiên

Để một ECU không chạy bừa bất kỳ đoạn firmware nào tải về, các hãng dùng secure boot kết hợp code signing. Mỗi bản cập nhật được nhà sản xuất ký bằng khóa riêng, và chip trong xe chỉ chấp nhận chạy nếu chữ ký khớp với khóa công khai đã nạp sẵn từ nhà máy, một quy trình xác thực gần giống cách hệ điều hành máy tính kiểm tra driver trước khi cài. Nếu kẻ tấn công không có khóa ký hợp lệ, họ không thể ép ECU chạy mã độc, dù có chặn được gói tin cập nhật giữa đường.

Rollback attack: kẽ hở mà chữ ký không ngăn được

Nhưng ký số chỉ xác nhận firmware đến từ đúng nhà sản xuất, nó không tự động biết phiên bản nào mới hơn. Đây là chỗ rollback attack (tấn công hạ cấp phiên bản) phát huy tác dụng: kẻ xấu ép ECU cài lại một bản firmware cũ hơn, vẫn có chữ ký hợp lệ vì từng được chính hãng phát hành, nhưng chứa lỗ hổng đã biết và đã được vá ở bản mới. Để chặn kiểu này, hệ thống cần thêm bộ đếm phiên bản chống hạ cấp lưu trong phần cứng an toàn, buộc ECU từ chối mọi bản cũ hơn số phiên bản đã ghi nhận, dù chữ ký có đúng đến đâu.

Tại sao rủi ro này lớn hơn một chiếc điện thoại bị tấn công

Một smartphone bị chiếm quyền làm lộ dữ liệu cá nhân, còn một ECU quản lý pin hay phanh bị chiếm quyền có thể làm mất kiểm soát vật lý của phương tiện, như báo cáo về xe buýt bị vô hiệu hóa từ xa qua kết nối mạng di động đã cho thấy. Khi công nghệ OTA còn đang mở rộng sang xe buýt, tàu hỏa, drone và robot công nghiệp, ranh giới giữa một bản vá tiện lợi và một cửa hậu quốc gia ngày càng mong manh, điều mà giới chuyên gia trong lĩnh vực bảo mật đang thúc giục siết chặt quy chuẩn kiểm định trước khi quá muộn. Độc giả quan tâm sâu hơn về xu hướng công nghệ này có thể theo dõi thêm tại chuyên mục công nghệ của VnRead.