Ruter, обществената транспортна агенция, която управлява автобусите в норвежките градове Осло и Акерсхус, реши да не се задоволява с обикновени проверки на документи и хартиен одит, когато трябваше да разбере дали нейните електрически автобуси могат да бъдат похитени чрез дистанционно управление.

Вместо това агенцията паркира два от своите автобуса в изолирано съоръжение, изградено дълбоко в планина — тип екранирана среда, която обикновено се използва за предотвратяване на навлизането или изтичането на радиосигнали. Там екип от инженери по киберсигурност получи възможността да се разрови подробно в електронните системи на превозните средства.

Единият от автобусите беше тригодишен модел на нидерландския производител VDL. Другият беше чисто нов, току-що слязъл от производствената линия на Yutong — китайската компания, която тихомълком се превърна в един от най-големите доставчици на електрически автобуси в Европа.

Какво всъщност тества Норвегия в планината?

Агенция Ruter не преследваше теории на конспирацията, а проучваше два съвсем конкретни сценария:

Дали бордовите камери на автобусите могат да бъдат подслушвани и използвани за нерегламентирано наблюдение. Дали системите им за свързаност могат да бъдат използвани за оказване на влияние върху начина, по който функционира самият автобус.

Въпросът с камерите даде напълно чист резултат. От Ruter потвърдиха, че камерите не са свързани с интернет, така че няма начин заснетите видеокадри да напуснат превозното средство.

Въпросът със свързаността обаче се оказа мястото, където нещата станаха наистина интересни и където се видя, че двата автобуса са конструирани въз основа на съвсем различни философии.

Автобусът на нидерландската фирма VDL няма никакви възможности за актуализиране на софтуера по безжичен път (Over-The-Air / OTA). Всяка промяна в неговите системи трябва да се извършва чрез физическа връзка с кабел. Именно затова в доклада на Ruter той се разглежда като сравнително нисък приоритет от гледна точка на рисковете за сигурността.

При автобуса Yutong ситуацията е точно противоположната. Той е проектиран така, че да получава софтуерни актуализации и диагностика от разстояние — по същия начин, по който един смартфон изтегля нови версии на операционната си система през нощта. Разликата е, че този „телефон“ тежи около 13,6 тона (около 13 600 кг) и превозва десетки пътници ежедневно.

Румънската SIM карта и какво всъщност означава „бутон за дистанционно изключване“ (Kill Switch)

Ето детайлът, който би трябвало да има много по-голямо значение за купувачите на автопаркове, отколкото националността на самия производител: автобусът на Yutong осъществява връзка със своя производител чрез мобилна връзка за данни, която се пренасочва през румънска SIM карта. Това дава на китайския производител Yutong директен цифров достъп до контролните системи на автобуса, отговарящи за управлението на батерията и захранването.

Инженерите на Ruter стигат до извода, че на теория този път за достъп може да бъде използван за спиране на автобуса или за пълното му извеждане от строя. И това не би станало чрез някакъв сложен и труден хакерски пробив, а просто защото производителят вече има отворена постоянна врата към тези системи за законни цели, свързани с диагностика и актуализация.

Това, което всъщност ограничава риска в случая, е архитектурата на превозното средство, а не намеренията на производителя. Ruter установява сравнително ниска степен на интеграция между различните системи на автобуса, като съществува само един-единствен маршрут за вход и изход към критичните му функции.

От гледна точка на сигурността това е наистина полезно дизайнерско решение. То означава, че инженерите в Осло могат да изолират този единичен път за достъп, да проверяват софтуерните актуализации, преди те да достигнат до автобуса, и да изградят локална защитна стена (файъруол) около него, без да се налага да преправят цялото превозно средство.

Отделно от това, изследователите са открили и уязвимости в китайска софтуерна платформа, която се използва за актуализации при Yutong и други клиенти. Тези пролуки в сигурността са били докладвани и отстранени още преди Ruter да публикува окончателните си констатации. Самата компания Yutong е получила доклада предварително и е предоставила разяснителни коментари, които според Ruter не променят същността на откритията на инженерите.

Главният изпълнителен директор на Ruter, Бернт Рейтан Йенсен, определя крайния резултат като преминаване от теория към реални действия. Той заявява, че тестването премества фокуса „от притеснения към конкретни знания“ за това как да се защити автобусният парк от точно такъв тип излагане на риск.

В момента Ruter залага много по-строги изисквания за киберсигурност в бъдещите си договорености за покупка на автобуси, изгражда локални защитни стени и работи съвместно с Министерството на транспорта на Норвегия за създаване на национални правила. Това се прави своевременно, тъй като експертите отбелязват, че днешните автобуси функционират с технологична сложност, сходна с тази на лек автомобил от 2016 година — разлика, която се стопява изключително бързо с навлизането на все повече системи за подпомагане на водача и функции за автономно управление.

Вашият личен автомобил вероятно вече разполага със същата система

В нищо от това няма нищо екзотично или необичайно. Това е стандартната архитектура на всеки съвременен свързан към мрежата автомобил.

Например, системата OnStar на General Motors може по преценка на компанията да изпрати клетъчна команда до откраднато превозно средство, която да блокира запалването му след паркиране или постепенно да намали скоростта на движещ се автомобил до празен ход, така че полицията да може безопасно да го възстанови.

Функционално това е абсолютно същата категория достъп, която Ruter открива в китайския автобус Yutong: постоянна клетъчна връзка, контролирана от производителя, която включва възможност за управление на системите за задвижване и мощност, вградена в автомобила още преди той да бъде доставен на клиента.

General Motors превърна тази свързаност в печеливш бизнес, а не просто във функция за сигурност — OnStar и свързаните с него услуги днес носят милиарди евро приходи на компанията всяка година. Това е напомняне, че този канал съществува целенасочено и се използва за търговски цели, а не само при извънредни ситуации като кражба.

Съществената разлика обаче не е в това дали даден производител може да осъществи дистанционен достъп до превозното средство. Почти всеки съвременен свързан автомобил позволява това по дизайн — за актуализации, диагностика и възстановяване при кражба.

Това, което наистина има значение, е кой притежава правото да използва този достъп, въз основа на какви законови процедури, с какъв надзор и колко превозни средства биха спрели едновременно, ако този достъп бъде злоупотребен, изискан по съдебен път или пробит от хакери. Спирането на един откраднат автомобил от неговия производител е функция, работеща по предназначение. Но целият автобусен парк на една градска транспортна агенция да бъде подвластен на дистанционна команда от сървър на чуждестранен доставчик е риск от съвсем друг мащаб. Именно затова Ruter ескалира този въпрос до правителството на Норвегия, вместо да го третира като обикновен технически проблем.

Законодателни мерки и глобални действия

В САЩ правителството вече води подобен дебат, който се развива по-бързо, отколкото повечето купувачи на автомобили осъзнават. На 22 юли Комисията по търговия към Сената на САЩ прие единодушно Закона за сигурност на свързаните превозни средства от 2026 г. (Connected Vehicle Security Act of 2026).

Текстът на този закон отива много по-далеч от обикновената забрана за автомобили, сглобени физически в Китай. Той поставя таван за чуждестранна собственост върху софтуера на превозното средство до максимум 25 процента, както и върху хардуера за телематика — клетъчните модеми и контролните модули, които осигуряват постоянната връзка на автомобила с външния свят — също до максимум 25 процента, като спазването на тези изисквания става задължително до 2030 година.

Това е абсолютно същата хардуерна категория, която инженерите на Ruter тестваха с месеци в норвежката планина: физическата кутия, която позволява на един производител да комуникира с превозно средство от всяка точка на Земята. Законопроектът не е насочен единствено срещу китайските марки — неговите прагове за собственост са достатъчно строги, за да засегнат и традиционни европейски производители, ако разполагат с определени чуждестранни акционери. Това показва ясно, че основното притеснение е самата връзка, а не емблемата на предната решетка.

Какво означава това за собствениците на автомобили и купувачите на автопаркове?

За индивидуалния купувач на лек автомобил практическият риск в случая е нисък, но не и незабележими, и е важно да бъде разбран правилно, без да се стига до паника. Изцяло софтуерно управляваните превозни средства означават, че сервизните акции и ремонтите все по-често се извършват през мрежата, а не в сервизния пункт. Това може да бъде изключително удобно — вече не се налага да чакате седмици за час в сервиз, за да бъде отстранена софтуерна грешка.

Но това означава също, че гаранцията, застраховката и поддръжката на превозното средство вече зависят от софтуерен код, който собственикът никога не вижда и за който рядко дава съзнателно съгласие, освен чрез отбелязване на едно поле при получаването на автомобила. Това е същата битка, която се води в областта на селскостопанската техника относно „Правото на ремонт“ (Right to Repair), където производителите използват заключен софтуер, за да контролират кой може да сервизира една машина дълго след като тя е била продадена. Регулаторните органи все по-често заемат позицията, че притежаването на хардуера трябва да има истинско значение, дори когато софтуерният код остава собственост на производителя.

За купувачите на автопаркове — общински транспортни фирми, училищни райони, компании за доставки — сметката е много по-сериозна. Тестът на Ruter предлага готов и полезен модел: да се изисква точно изясняване по кой път за данни превозното средство изпраща информация към домашното си радио, кой контролира този път, дали достъпът може да бъде изолиран или забавен за проверка и какво се случва по договор, ако този достъп бъде използван без изрично съгласие.

Това вече е ключов въпрос при обществените поръчки, а не просто странична подробност. И той ще бъде поставян пред всеки производител, който продава свързани превозни средства за обществени автопаркове, независимо от това къде са произведени те.