@autovisor

- Можно, а зачем?

2025-12-17T20:28:06.497Z

Ещё десять лет назад разговоры о хакинге автомобилей вызывали у инженеров снисходительную улыбку. Машина же - это металл, бензин и механика. Какие хакеры?
Сегодня всё иначе. Современный автомобиль - один из самых сложных потребительских продуктов в мире. В среднем - больше 100 миллионов строк кода, а к 2030 году, по прогнозам UNECE, их станет около 300 миллионов. Это больше, чем в современном истребителе.

Мы научились встраивать десятки ECU, гонять данные по CAN-шине, обновлять прошивки по воздуху (OTA) и подключать машину ко всему, к чему только можно. И вот тут возникает парадокс: потребители осознали киберриски быстрее, чем сама отрасль. Формальные требования вроде UN R155 или ISO/SAE 21434 задали рамку, но настоящий драйвер пришёл с рынка.

Сегодня вопрос уже не в том, можно ли сделать автомобиль кибербезопасным. Вопрос в другом: зачем это делать?
Ответ довольно приземлённый - потому что этого ждут клиенты, они готовы за это платить, и в конечном счёте от наших решений зависит их жизнь.

Физическая безопасность важнее данных

Инженеры традиционно думают о безопасности через краш-тесты, зоны деформации и ASIL. Кибербезопасность долго оставалась где-то сбоку. Но восприятие меняется - и довольно быстро.

По данным RunSafe Security’s 2025 Connected Car Cyber Safety & Security Index:

79% водителей ставят физическую безопасность от кибератак выше, чем защиту персональных данных.
65% считают, что автомобиль в принципе можно взломать удалённо.
И лишь 19% чувствуют себя очень уверенно в защищённости своей машины.

Для пользователя разница между ноутбуком и автомобилем очевидна. В первом случае - утечка данных. Во втором - риск аварии. Это меняет саму логику проектирования. Речь уже не только о конфиденциальности, а о гарантированной функциональной и кибербезопасности. Уязвимость в прошивке ABS или EPS - это не «просто баг», а потенциальное ДТП.

Безопасность продаёт - буквально

Самый прямой ответ на вопрос «зачем?» - деньги. Кибербезопасность перестала быть чистой статьёй затрат и стала конкурентным преимуществом.

Цифры говорят сами за себя:

87% покупателей учитывают уровень киберзащиты при выборе автомобиля.
35% готовы платить больше за модель с усиленной защитой.
37% готовы уйти к другому бренду, если выбранная модель окажется уязвимой.

Есть и тревожный сигнал: 70% водителей готовы рассмотреть более старый и менее «подключённый» автомобиль, лишь бы снизить риски. Для компаний, строящих бизнес на подписках, OTA и монетизации данных, это прямой удар по модели.

Security-by-design - это уже не просто соответствие UN R155 или будущему CRA. Это инвестиция, которую можно и нужно монетизировать: через архитектуру, runtime-защиту, управление уязвимостями и, да, через маркетинг. Безопасность стала продаваемой характеристикой.

Парадоксы, с которыми придётся жить

OTA - лекарство и угроза одновременно.
Около 80% водителей считают, что обновления «по воздуху» могут быть скомпрометированы. Мы предлагаем OTA как способ закрывать уязвимости, а пользователь видит в нём новую точку атаки. Инженерная задача здесь предельно жёсткая: обеспечить криптографическую целостность и аутентичность обновлений на всём пути - от сервера до ECU - с учётом 15-летнего жизненного цикла автомобиля.

Цепочка поставок вызывает тревогу.
77% потребителей справедливо опасаются сторонних компонентов, а 83% хотят понимать, откуда берётся ПО в их машине. Требование CRA по SBOM - это не бюрократия, а ответ на реальный запрос рынка. Кибербезопасность больше нельзя строить «вертикально», только внутри своего кода. Нужно контролировать весь стек - включая open source-библиотеки и сторонние SDK.

Ответственность всё равно на OEM.
53% потребителей считают, что за инцидент отвечает производитель, даже если уязвимость была у Tier-1 поставщика. С инженерной точки зрения это означает простую вещь: переложить проблему на вендора не получится. Нужны контракты с жёсткими security-требованиями, регулярные аудиты и, что критически важно, архитектурная сегментация. Взлом мультимедиа не должен иметь ни единого шанса «дотянуться» до домена движения.

Приватность - та же кибербезопасность, только с другого угла

Отдельный пласт - данные. Исследование Mozilla Foundation с говорящим названием
«Cars Are the Worst Product Category We Have Ever Reviewed for Privacy» дополняет картину киберрисков:

автомобили собирают гигабайты данных - от стиля вождения до аудио- и видеозаписей в салоне;
делятся ими с десятками и сотнями третьих сторон - от страховщиков до рекламных брокеров;
часто не дают пользователю удалить эти данные;
а согласие на сбор считают полученным… по факту использования автомобиля.

Это создаёт огромную атакующую поверхность. Да, сегодня водители больше боятся аварий, чем слежки. Но эти риски напрямую связаны. Утечка базы поездок - это не только про приватность, но и про физическую безопасность: слежка, угоны, преследование.

Privacy by Design здесь - не абстрактный лозунг. Локальная обработка данных, минимизация сбора, шифрование на устройстве и понятные настройки для пользователя - такие же инженерные задачи, как и защита от удалённого взлома.

Что с этим делать на практике

Если коротко - действовать системно.

Начинать с «входной двери». Инфотейнмент сегодня - главный вектор атак. Жёсткая изоляция между ним и критическими доменами (движение, торможение) – безальтернативная необходимость.
Бороться с уязвимостями памяти в корне. Миллионы строк C/C++ - это неизбежный риск. SAST и DAST должны быть стандартом, а для легаси - runtime-защита вроде ASLR и Control Flow Integrity, чтобы ломать эксплуатацию, а не переписывать всё с нуля.
Жить в парадигме Assume Harm. Любой подключённый узел может быть скомпрометирован. Архитектура обязана это предполагать и локализовывать ущерб.
Быть прозрачными. Подробные SBOM и внятное объяснение security-фич для пользователей превращают «обязанность» в конкурентное преимущество.
Готовиться к долгой игре. 10–15 лет безопасных OTA - это вызов не только технологиям, но и процессам. Без автоматизированных конвейеров тестирования и доставки патчей здесь просто не выжить.

Кибербезопасные автомобили - это уже не вопрос будущего. Это вопрос доверия, выживания бизнес-модели и, в самом прямом смысле, безопасности людей.

Индийский "Cybershield": национальный щит для автомобильной кибербезопасности

2025-11-14T17:24:27.462Z

В Индии, где рынок подключённых автомобилей и электромобилей растёт стремительно, правительство развивает инициативу "Cybershield" - инициативу по обязательной защите транспортных средств от киберугроз. Это комплекс мер, делающий акцент на многоуровневой безопасности, чтобы предотвратить взломы ECU, манипуляции данными и атаки на подключённые системы. "Cybershield" соответствует глобальным стандартам UNECE WP.29 и требует от производителей (OEM) и поставщиков внедрения защитных механизмов в автомобили, а также в зарядные станции для EV. Инициатива финализирована в 2023 году и станет обязательной после парламентского одобрения, с поэтапным внедрением к 2027 году.

Как работает "Cybershield"? 🔜 Это не просто регуляции, а экосистема, включающая Vehicle Security Operations Center (VSOC) - централизованный хаб для мониторинга и реагирования на угрозы в реальном времени. VSOC собирает телеметрию из автомобилей (логи CAN-шины, алерты от датчиков, GPS-данные) через встроенные системы обнаружения вторжений (IDPS). AI и аналитики анализируют аномалии, отправляют уведомления водителям, отключают уязвимые модули или выпускают OTA-патчи. Локальные компании вроде HackersEra и Sibros уже предлагают такие решения, внедрённые в сотнях проектов.

Связь с CERT-In 🔜 "Cybershield" тесно интегрируется с CERT-In (Indian Computer Emergency Response Team) - национальным центром по реагированию на киберинциденты при Министерстве электроники и ИТ. CERT-In координирует общий мониторинг угроз, включая автомобильный сектор, и требует от производителей отчётов об инцидентах в течение 6 часов (по IT Rules 2022). VSOC в "Cybershield" передаёт данные в CERT-In для анализа и коллективного реагирования: от уведомлений до расследований. Это делает инициативу частью национальной экосистемы - CERT-In предоставляет данные о трендах угроз (ежеквартальные отчёты), проводит аудиты и тренинги для OEM, интегрируя их с платформой I4C (Indian Cyber Crime Coordination Centre). Штрафы за несоблюдение - до 10 миллионов рупий (около 9 миллионов рублей).

Сколько инцидентов выявлено? 🔜 CERT-In фиксирует рост угроз: в 2024 году обработано свыше 1,6 млн инцидентов по всей стране, с фокусом на критическую инфраструктуру, включая транспорт. В automotive секторе - более 500 атак: relay-атаки на ключи (до 98% краж авто), CAN-спуфинг (взлом тормозов), GPS-спуфинг и ransomware (например, утечка 1,4 ТБ данных в 2025 году). Общий рост угроз - 25% в Q3 2025, с 369 млн malware-детекций за год. CERT-In провёл почти 10 тыс. аудитов в FY 2024-25.

Связь со стандартами 🔜 "Cybershield" дополняет AIS-189 (аналог UN R155) для CSMS и AIS-190 (SUMS для OTA-обновлений, как UN R156). К 2027-му - полный контроль: аудиты, отчёты, штрафы до 1% выручки. Это готовит Индию к экспорту в ЕС (Cyber Resilience Act) и повышает локальную устойчивость.
"Cybershield" с VSOC - шаг к проактивной защите, где угрозы выявляются до ущерба. С ростом EV и подключённых авто это критично для безопасности и экономики.

В России запущен пилотный эксперимент по созданию Центра обнаружения, предупреждения и ликвидации последствий компьютерных атак на транспортные средства (ЦКБА) при Минпромторге. Участвуют АО «ГЛОНАСС» (телематика), НПП «ГАММА» (центр компетенций), ФГУП «НАМИ» (исследования) и регуляторы (Минтранс, ФСБ, ФСТЭК). За 10 месяцев проверят анализ уязвимостей, сбор телематики с 4 подключённых ТС, моделирование атак, автоматизацию мониторинга и подготовят нормативы (с опорой на ISO 21434 и UN R155). Участие добровольное и безвозмездное, что позволяет доказать концепцию без давления и затрат на старте. Однако это лишь начальный шаг, и Россия пока отстаёт в реализации полноценных систем: в Индии VSOC в «Cybershield» проектируется к 2027-му, а в Европе (AUTO-ISAC) и Китае (платформы MIIT/CAC) такие центры уже работают, обеспечивая обмен данными о кибератаках на ТС.

Китайский автопром: зло или будущее? Аналитический обзор

2025-02-28T19:57:29.547Z

Китайские автомобили — тема, которая вызывает жаркие споры. Одни утверждают, что это «топ за свои деньги», другие уверены, что европейцы и корейцы всё ещё впереди по надёжности и безопасности. Но есть ещё один аспект, который часто упускают из виду — кибербезопасность и вопросы приватности. Давайте разберёмся, что же на самом деле представляет собой китайский автопром сегодня. Спойлер: это уже не те «жестянки», которые вы помните с начала 2000-х, но с киберугрозами и передачей данных всё не так радужно.

История китайского автопрома: от копий до инноваций

Начало пути: 1950-е годы

Всё началось в середине XX века, когда Китай решил создать собственную автомобильную промышленность. В 1953 году, при поддержке Советского Союза, был основан Первый автомобильный завод (FAW) в Чанчуне. Уже в 1956 году FAW выпустил первый китайский грузовик Jiefang CA-10, который был копией советского ЗИС-150.

Первый легковой автомобиль, Chingganshan, появился в 1958 году. Он был построен на узлах Volkswagen Beetle. А вот Dongfanghong — это уже вариация на тему нашей любимой «Волги» ГАЗ-21. Это был последний «автомобильный плод» советско-китайской дружбы.

1960-1970-е: Трудные времена

Экономические трудности, политическая нестабильность (вспомним Культурную революцию) и изоляция страны не способствовали развитию автопрома. Основное внимание уделялось грузовикам и военной технике — приоритетам экономики и обороны.

1980-е: Открытие рынка и первые совместные предприятия

С началом экономических реформ в конце 1970-х Китай начал открывать свои двери для иностранных инвестиций и технологий.

1984 год: Появилось первое совместное предприятие с иностранным автопроизводителем — Beijing Jeep Corporation (совместно с American Motors Corporation).
1985 год: Volkswagen открыл совместное предприятие с SAIC (Shanghai Automotive Industry Corporation), начав производство модели Santana. Эта машина стала символом становления среднего класса в Китае.

1990-е: Рост и появление новых брендов

В 1990-е годы китайский автопром начал активно расти. Появились новые бренды: Chery, Geely, BYD. Они начали конкурировать с иностранными производителями.

1990-е годы: Китай установил первый рекорд — объём производства превысил 1 миллион автомобилей в год!

2000-е: Китай становится мировым лидером

С начала 2000-х Китай стал крупнейшим автомобильным рынком в мире.

2006 год: КНР обогнала Японию.
2009 год: Китай обошёл США, став самым большим автомобильным рынком.
2021 год: Продажи в Китае составили 26 миллионов автомобилей, из них 44,4% — китайские бренды.

Современные китайские автомобили: что внутри?

JAC Motors

Компания, которая стала экспортёром новых «Москвичей», привлекла итальянского дизайнера Даниэля Гальоне (работал над Alfa Romeo и Maserati). В 2022 году треть выручки компания получала за пределами Китая.

Geely

Geely — один из крупнейших китайских автопроизводителей. Компания привлекла к себе внимание, купив Volvo в 2010 году. Сейчас в Geely работают такие звёзды автомобильного дизайна, как Питер Хорбери (бывший дизайнер Volvo и Ford) и Штефан Зилафф (бывший шеф-дизайнер Bentley).

FAW

FAW — второй по объёмам производства автопроизводитель в Китае. В 2021 году продажи FAW составили 3,5 миллиона автомобилей.

Chery

Chery — ещё один пример успешного развития. В 2021 году мировые продажи Chery достигли 962 тысяч автомобилей.

Кибербезопасность и приватность: слабое звено

Китайские автомобили, особенно такие популярные марки, как Haval, часто становятся мишенью для хакеров. Основная цель — угоны, но также возможны атаки на системы управления автомобилем.

Уязвимости в системах

Многие китайские автомобили используют устаревшие протоколы связи и слабо защищённые электронные системы. Например, в 2022 году исследователи обнаружили, что некоторые модели Haval можно взломать через Bluetooth, используя уязвимости в прошивке.

Примеры атак

Haval: В 2021 году хакеры взломали систему бесключевого доступа, используя дешёвое оборудование, доступное на AliExpress.
Geely: В 2023 году была обнаружена уязвимость в системе дистанционного управления, позволяющая злоумышленникам отключать двигатель на ходу.

Передача данных: двойные стандарты

Одна из самых спорных тем — передача телематических данных с автомобилей на серверы в Китай. Многие китайские автомобили собирают информацию о местоположении, маршрутах, стиле вождения и даже состоянии систем автомобиля. Эти данные часто передаются без явного согласия владельцев.

Что особенно интересно, сам Китай запретил иностранным автопроизводителям передавать телематические данные за пределы страны, понимая риски для национальной безопасности. Однако китайские производители активно экспортируют автомобили, которые передают данные в Китай, игнорируя аналогичные риски для пользователей в других странах. Например, в 2022 году исследователи выяснили, что некоторые модели BYD и Geely отправляют данные даже при отключённых «умных» функциях.

Что делают производители?

Китайские автопроизводители начинают осознавать проблему. Например, Geely и BYD внедряют более современные системы шифрования и регулярно выпускают обновления прошивок. Однако вопросы приватности данных остаются открытыми, а двойные стандарты в отношении передачи данных вызывают серьёзные опасения.

Надёжность и безопасность: мифы и реальность

Безопасность

Современные китайские автомобили, такие как Geely Emgrand EC7 и Deepal S07, показывают отличные результаты в краш-тестах. Например, Deepal S07 в 2024 году получил 5 звёзд в тесте Euro NCAP.

Кузов и антикоррозионная обработка

Китайские производители освоили методики проектирования кузовов, отвечающих современным требованиям безопасности. Однако антикоррозионная обработка всё ещё оставляет желать лучшего.

Двигатели и коробки передач: прогресс налицо

Двигатели

Китайские двигатели прошли долгий путь от простых «копий» до современных высокотехнологичных агрегатов. Например, Chery Acteco использует цикл Миллера и двухступенчатые масляные насосы.

Коробки передач

Китайские автомобили всё чаще оснащаются роботизированными коробками с двойным сцеплением. Например, Chery использует коробки Getrag 7DCT300, которые устанавливаются на BMW и Nissan.

Электроника и качество сборки

Китайские автомобили сегодня оснащены передовыми системами безопасности и мультимедийными системами. Однако обилие электроники иногда приводит к проблемам с совместимостью прошивок.

Качество сборки и материалы салона значительно улучшились. Согласно исследованию J.D. Power China Vehicle Dependability Study 2023 года, китайские бренды демонстрируют показатели проблем на 100 автомобилей (PP100) на уровне 200-202, что сопоставимо с европейскими марками.

Заключение

Китайский автопром прошёл долгий путь от копирования до инноваций. Сегодня китайские автомобили — это не просто дешёвые «жестянки», а современные, технологичные машины, которые конкурируют с европейскими и японскими брендами.

Однако кибербезопасность и передача данных остаются слабыми местами. Двойные стандарты в отношении телематических данных вызывают серьёзные вопросы: почему Китай запрещает иностранным компаниям передавать данные за пределы страны, но позволяет своим производителям делать это бесконтрольно?

Если вы планируете покупку китайского автомобиля, обязательно учитывайте эти факторы. Устанавливайте дополнительные системы защиты, регулярно обновляйте прошивки и внимательно изучайте, какие данные собирает ваш автомобиль.

Будущее уже здесь, но оно требует осторожности.