เดนมาร์กเร่งอุดช่องโหว่ความปลอดภัยของรถโดยสารไฟฟ้าจีน หลังนอร์เวย์ทดสอบพบความเสี่ยง

เหตุใดการทดสอบรถโดยสารในนอร์เวย์จึงทำให้เดนมาร์กตื่นตัว

เดนมาร์กกำลังเร่งรักษาความปลอดภัยเครือข่ายรถโดยสารสาธารณะ หลังการทดสอบแบบควบคุมในนอร์เวย์พบว่ารถโดยสารไฟฟ้าที่ผลิตในจีนมีระบบเชื่อมต่อระยะไกล ซึ่งอาจถูกใช้ปิดรถขณะให้บริการได้ ระบบดังกล่าวมีไว้เพื่อวัตถุประสงค์ที่ชอบด้วยเหตุผล โดยหลักคือการอัปเดตซอฟต์แวร์และการวินิจฉัยปัญหา ผู้ตรวจสอบด้านความปลอดภัยระบุว่า หากใช้ช่องทางเดียวกันในทางที่ผิด ก็อาจขัดขวางการเดินรถได้ ขณะนี้หน่วยงานและผู้ให้บริการของเดนมาร์กกำลังตรวจสอบรถโดยสารหลายร้อยคันที่ใช้งานอยู่ทุกวัน รวมถึงรถ Yutong 262 คันที่ Movia ให้บริการในและรอบกรุงโคเปนเฮเกน เพื่อให้แน่ใจว่าไม่มีระบบควบคุมระยะไกลที่ไม่ได้รับการจัดการซึ่งจะกระทบต่อการให้บริการ

Ruter ผู้ให้บริการขนส่งสาธารณะของนอร์เวย์ ทดสอบรถโดยสาร Yutong สองคันในสภาพแวดล้อมที่แยกออกจากระบบอื่น วิศวกรยืนยันว่าผู้ผลิตสามารถเชื่อมต่อกับระบบที่รองรับการอัปเดต การวินิจฉัยปัญหา และการจัดการพลังงานได้ ผู้ตรวจสอบพบว่าการถอดซิมการ์ดทำให้ติดต่อจากภายนอกไม่ได้ แต่ขั้นตอนดังกล่าวยังปิดบริการสำคัญ เช่น ข้อมูลเวลารถถึงแบบเรียลไทม์ การตรวจหาข้อขัดข้องจากระยะไกล และการบำรุงรักษาเชิงคาดการณ์ Ruter แจ้งเรื่องนี้ต่อหน่วยงานระดับชาติและท้องถิ่นแล้ว และกำลังเตรียมข้อกำหนดด้านความปลอดภัยที่เข้มงวดขึ้นสำหรับการจัดซื้อในอนาคต

Yutong ปฏิเสธข้อกล่าวหาว่าผู้จัดหาสามารถบังคับเลี้ยว เบรก หรือเร่งความเร็วรถโดยสารจากระยะไกลได้ บริษัทระบุว่าการเชื่อมต่อข้อมูลมีไว้เพื่อการบำรุงรักษา และข้อมูลในยุโรปจัดเก็บอยู่ในศูนย์ข้อมูล Amazon Web Services ที่แฟรงก์เฟิร์ต โดยมีการเข้ารหัสและควบคุมการเข้าถึง ยังไม่มีรายงานกรณีปิดรถโดยสารจากระยะไกลในนอร์เวย์หรือเดนมาร์ก ถึงอย่างนั้น ผู้ให้บริการมองว่าช่องทางเข้าถึงอุปกรณ์สำคัญที่ไม่มีการควบคุมเป็นความเสี่ยงที่ยอมรับไม่ได้

นอร์เวย์พบอะไรจากการทดสอบรถโดยสาร

Ruter ระบุว่าทีมงานพบซิมการ์ดแบบฝังและโมดูลจัดเก็บข้อมูล ซึ่งเปิดให้รถโดยสารเชื่อมต่อกับเซิร์ฟเวอร์ภายนอกผ่านเครือข่ายมือถืออย่างปลอดภัย การเชื่อมต่อนี้รองรับการวินิจฉัยปัญหาและการอัปเดตซอฟต์แวร์ วิศวกรสรุปว่าผู้ไม่หวังดีหรือบัญชีผู้จำหน่ายที่ถูกเจาะระบบอาจขัดขวางการจ่ายไฟหรือการทำงานอื่นที่ทำให้รถเคลื่อนที่ได้ การทดสอบไม่ได้แสดงให้เห็นว่าสามารถบังคับเลี้ยวหรือเบรกจากระยะไกลได้ แต่ชี้ให้เห็นความเป็นไปได้ที่จะทำให้รถหยุดได้ด้วยการตัดระบบขับเคลื่อนหรือไฟฟ้า

ผู้ให้บริการยังตรวจสอบรถโดยสารจากผู้ผลิตยุโรปที่มีอายุใกล้เคียงกันด้วย รถเหล่านั้นไม่ได้ใช้ฟังก์ชันอัปเดตระยะไกล จึงมีช่องทางโจมตีน้อยกว่า แต่ก็มีความยืดหยุ่นและประสิทธิภาพในการบำรุงรักษาลดลง ความแตกต่างนี้ประกอบกับผลการตรวจสอบรถ Yutong ทำให้เจ้าหน้าที่นอร์เวย์เห็นว่าจำเป็นต้องมีข้อกำหนดการจัดซื้อที่ชัดเจนขึ้นสำหรับทุกยี่ห้อที่ใช้บริการเชื่อมต่อ

การถอดซิมการ์ดและข้อแลกเปลี่ยน

การถอดซิมการ์ดตัดการเชื่อมต่อระยะไกลได้ทันที แต่ยังปิดเครื่องมือที่หน่วยงานขนส่งหลายแห่งต้องพึ่งพา ป้ายและแอปบนมือถือที่แสดงเวลารถถึงแบบเรียลไทม์ต้องอาศัยการเชื่อมต่อของรถ เช่นเดียวกับการวินิจฉัยปัญหาระยะไกลและการวางแผนบำรุงรักษาซอฟต์แวร์ การตัดการเชื่อมต่อถาวรจะทำให้การกลับมาให้บริการหลังเกิดข้อขัดข้องช้าลง และอาจเพิ่มค่าใช้จ่าย เพราะช่างเทคนิคจะสูญเสียข้อมูลการทำงานโดยละเอียดและสัญญาณเตือนล่วงหน้า ผู้ให้บริการกำลังพิจารณามาตรการป้องกันแบบเจาะจง ซึ่งยังคงให้ข้อมูลที่จำเป็นไหลเวียนได้ แต่ปิดกั้นการเข้าถึงของผู้จำหน่ายที่ไม่ได้รับอนุญาตและกำกับดูแลอย่างชัดเจน

มีการยึดควบคุมรถโดยสารจริงหรือไม่

เจ้าหน้าที่ระบุว่ายังไม่มีกรณีควบคุมรถโดยสารที่กำลังใช้งานจากระยะไกล Yutong ระบุว่าฟังก์ชันสำคัญต่อความปลอดภัย เช่น การบังคับเลี้ยว ระบบขับเคลื่อน และเบรก ไม่รับคำสั่งจากเครือข่ายภายนอก ผลการทดสอบของ Ruter และคำชี้แจงจากผู้เชี่ยวชาญชี้ถึงความเสี่ยงที่จำกัดกว่า กล่าวคือ รถโดยสารอาจใช้งานไม่ได้หากมีการเปลี่ยนแปลงระบบจ่ายไฟหรือการจัดการแบตเตอรี่ผ่านช่องทางเชื่อมต่อ แม้ผู้ขับขี่ยังคงควบคุมรถได้เต็มที่ขณะรถกำลังเคลื่อนที่ แต่การหยุดชะงักลักษณะนี้ก็ส่งผลร้ายแรงต่อการเดินรถได้

Bernt Reitan Jenssen ประธานเจ้าหน้าที่บริหารของ Ruter กล่าวว่าโอกาสที่จะเกิดความพยายามแทรกแซงยังอยู่ในระดับต่ำ แต่เรียกร้องให้ดำเนินการเพื่อลดความเสี่ยง

เราต้องถือว่าความเสี่ยงนี้เป็นเรื่องจริงจัง

เดนมาร์กกำลังตอบสนองอย่างไร

สำนักงานคุ้มครองพลเรือนและบริหารจัดการเหตุฉุกเฉินของเดนมาร์กระบุว่า ยังไม่ทราบกรณีที่ยืนยันได้ว่ามีการปิดรถจากระยะไกลในเดนมาร์ก หน่วยงานเตือนว่าระบบย่อยและเซ็นเซอร์ที่เชื่อมต่ออินเทอร์เน็ตอาจถูกใช้โจมตีเพื่อขัดขวางการให้บริการได้ หากมาตรการควบคุมความปลอดภัยไม่รัดกุม ขณะนี้กำลังติดตามสถานการณ์และประเมินว่าแนวทางที่ใช้อยู่เพียงพอหรือไม่ พร้อมให้คำแนะนำแก่ผู้ให้บริการเกี่ยวกับการป้องกันและการรับมือ

Movia บริษัทขนส่งสาธารณะที่ใหญ่ที่สุดของเดนมาร์ก ให้บริการรถโดยสารไฟฟ้าที่ผลิตในจีน 469 คันทั่วเกาะเชลลันด์ โดยเป็นรถ Yutong 262 คัน Jeppe Gaard ประธานเจ้าหน้าที่ฝ่ายปฏิบัติการของ Movia ยอมรับว่ารถที่เชื่อมต่ออินเทอร์เน็ตอาจเสี่ยงต่อการแทรกแซงจากระยะไกล เมื่อระบบซอฟต์แวร์อยู่บนเครือข่ายเปิด เขาระบุว่าข้อกังวลนี้ครอบคลุมยานพาหนะและอุปกรณ์เชื่อมต่อหลากหลายประเภท ไม่ได้จำกัดเฉพาะรถโดยสารจีน Movia วางแผนเพิ่มความเข้มงวดด้านความมั่นคงปลอดภัยไซเบอร์ในการประกวดราคาใหม่ และกำลังประเมินมาตรการป้องกันสำหรับรถที่มีอยู่

นักการเมืองและกลุ่มภาคประชาสังคมต้องการมาตรฐานระดับชาติที่กำหนดให้ระบบขนส่งสาธารณะเป็นโครงสร้างพื้นฐานสำคัญ พวกเขาให้เหตุผลว่าการพึ่งพาผู้จำหน่ายต่างชาติมากเกินไปทำให้ความสามารถในการรับมือวิกฤตลดลง สมาชิกสภานิติบัญญัติกำลังพิจารณาทางเลือกต่าง ๆ เช่น เกณฑ์การประกวดราคาที่เป็นมาตรฐานเดียวกัน การตรวจสอบความเสี่ยงของผู้จัดหา กฎการจัดเก็บข้อมูลภายในประเทศ และการจำกัดการเข้าถึงระยะไกลที่ไม่มีการกำกับดูแล การเปลี่ยนแปลงใด ๆ จะต้องเป็นไปตามกฎหมายจัดซื้อจัดจ้างของเดนมาร์กและสหภาพยุโรป พร้อมมอบเครื่องมือที่ใช้งานได้จริงให้ผู้ให้บริการรักษาความต่อเนื่องของบริการ

Yutong ชี้แจงเรื่องการเข้าถึงและข้อมูลอย่างไร

Yutong ระบุว่าไม่สามารถควบคุมฟังก์ชันสำคัญต่อความปลอดภัยจากระยะไกลบนรถโดยสารของบริษัทได้ บริษัทระบุว่าชุดควบคุมหลักแยกออกจากระบบบังคับเลี้ยว ระบบขับเคลื่อน และระบบเบรก การเชื่อมต่อข้อมูลรองรับการวินิจฉัยปัญหา การติดตามสมรรถนะ และฟังก์ชันด้านความสะดวกสบาย เช่น การปรับอุณหภูมิห้องโดยสารล่วงหน้า การอัปเดตต้องได้รับอนุมัติอย่างชัดเจนจากผู้ให้บริการ บริษัทยังระบุว่าข้อมูลภายในสหภาพยุโรปจัดเก็บไว้ที่แฟรงก์เฟิร์ตและได้รับการปกป้องด้วยการเข้ารหัสและการควบคุมการเข้าถึงอย่างเข้มงวด Ruter ชี้แจงว่าผลการตรวจสอบกล่าวถึงความเสี่ยงเชิงทฤษฎี และยังไม่มีกรณีที่เกี่ยวข้องกับความปลอดภัย

อธิบายความเสี่ยงทางเทคนิค

รถโดยสารสมัยใหม่มีชุดเทเลเมติกส์ที่เชื่อมต่อกับเครือข่ายมือถือ ชุดดังกล่าวสื่อสารกับแพลตฟอร์มคลาวด์เพื่อส่งข้อมูลสถานะและรับแพ็กเกจซอฟต์แวร์หรือการเปลี่ยนแปลงการตั้งค่า ภายในรถ เครือข่ายควบคุมอุปกรณ์ (CAN) เชื่อมโยงระบบย่อยต่าง ๆ สำหรับระบบขับเคลื่อน แบตเตอรี่ ประตู ระบบทำความร้อน และจอแสดงผลของผู้ขับขี่ การออกแบบที่ดีจะแยกวงจรที่สำคัญต่อความปลอดภัยไว้บนสายสัญญาณต่างหากและป้องกันการเชื่อมต่ออย่างเข้มงวด ในทางปฏิบัติจะมีจุดเชื่อมต่อระหว่างเครือข่าย เพื่อให้ทีมสนับสนุนวินิจฉัยปัญหาและติดตั้งการแก้ไขได้ จุดเชื่อมต่อเดียวกันนี้ดึงดูดผู้โจมตี หากการตรวจสอบตัวตนหรือกฎการเข้าถึงไม่รัดกุม

ความเสี่ยงที่เป็นไปได้จริงไม่ใช่การยึดรถจากระยะไกลแบบในภาพยนตร์ฮอลลีวูด ข้อกังวลหลักคือคำสั่งจากระยะไกลที่ปิดระบบขับเคลื่อนหรือไฟฟ้า หรือการอัปเดตซอฟต์แวร์ที่ทำให้ส่วนประกอบเสียหายจนรถเคลื่อนที่ไม่ได้ หากรถหลายร้อยคันใช้การตั้งค่าและบัญชีผู้จัดหาเดียวกัน การเจาะระบบเพียงครั้งเดียวอาจทำให้เกิดการหยุดชะงักเป็นวงกว้างได้ แม้ไม่แตะต้องระบบบังคับเลี้ยวหรือเบรก หน่วยงานต้องการหลักฐานว่าช่องทางระยะไกลถูกปิดไว้เป็นค่าเริ่มต้น มีการบังคับใช้การเข้าถึงตามบทบาท และผู้ให้บริการสามารถตัดการเชื่อมต่อภายนอกได้ทันทีเมื่อสงสัยว่ามีการใช้งานในทางที่ผิด

ระบบใดบ้างที่อาจได้รับผลกระทบในทางปฏิบัติ

• การเปิดใช้กำลังขับเคลื่อนและเงื่อนไขการเริ่มทำงานของอินเวอร์เตอร์
• การตั้งค่าระบบจัดการแบตเตอรี่ รวมถึงขีดจำกัดการชาร์จและการคายประจุ
• ตรรกะและตารางเวลาควบคุมการชาร์จ
• ระบบจ่ายไฟแรงดันต่ำที่ส่งไฟให้ชุดควบคุมและเซ็นเซอร์
• ระบบห้องโดยสาร เช่น ระบบทำความร้อน การระบายอากาศ และไฟส่องสว่าง

ทีมรักษาความปลอดภัยมุ่งเน้นการป้องกันช่องทางเหล่านี้ให้รัดกุม พร้อมรักษาข้อมูลที่จำเป็นต่อการเดินรถอย่างปลอดภัยและมีประสิทธิภาพ เป้าหมายคือคงการวินิจฉัยปัญหาระยะไกลและการอัปเดตที่ไม่สำคัญต่อความปลอดภัยไว้ พร้อมใช้มาตรการควบคุมที่มีประสิทธิภาพเพื่อหยุดการดำเนินการจากระยะไกลซึ่งอาจทำให้รถใช้งานไม่ได้หากไม่ได้รับอนุมัติจากผู้ปฏิบัติงานในพื้นที่

กฎใหม่อาจมีลักษณะอย่างไร

บริษัทขนส่ง หน่วยงานกำกับดูแล และผู้จัดหากำลังร่างมาตรการป้องกันที่เหมาะกับกองรถที่เชื่อมต่ออินเทอร์เน็ต มาตรการเหล่านี้มุ่งรักษาประโยชน์จากการส่งข้อมูลเทเลเมติกส์และการสนับสนุนระยะไกล พร้อมปิดช่องทางที่ไม่มีการกำกับดูแลเข้าสู่ระบบขับเคลื่อน ทั้งข้อกำหนดในสัญญา การรับรองมาตรฐาน และมาตรการควบคุมทางเทคนิคจะต้องสอดคล้องกัน เพื่อให้ผู้ให้บริการมีอำนาจตัดสินใจขั้นสุดท้ายว่าสิ่งใดจะเข้าสู่เครือข่ายรถโดยสารและเมื่อใด

• ให้ผู้ให้บริการควบคุมการเชื่อมต่อในพื้นที่ และสามารถปิดการเข้าถึงของผู้จำหน่ายได้ทันที
• กำหนดขั้นตอนอนุมัติการอัปเดต โดยตรวจสอบและลงนามรับรองเฟิร์มแวร์และการเปลี่ยนแปลงการตั้งค่าก่อนติดตั้ง
• แยกเครือข่ายวินิจฉัยปัญหาออกจากเครือข่ายที่สำคัญต่อความปลอดภัยอย่างเข้มงวด
• ใช้การกำหนดสิทธิ์ตามบทบาทและการยืนยันตัวตนหลายปัจจัยสำหรับการเชื่อมต่อระยะไกลทุกครั้ง
• จัดเก็บบันทึกที่แก้ไขไม่ได้ และตรวจสอบการเชื่อมต่อระยะไกลโดยหน่วยงานอิสระ
• กำหนดกฎชัดเจนเกี่ยวกับที่จัดเก็บข้อมูลและมาตรฐานการเข้ารหัส
• ตรวจสอบความเสี่ยงของผู้จัดหาในการประกวดราคา รวมถึงแนวทางการพัฒนาที่ปลอดภัยและความสามารถในการรับมือเหตุการณ์
• ทดสอบเจาะระบบและรับรองแพลตฟอร์มยานพาหนะเชื่อมต่อโดยบุคคลที่สาม

ผลกระทบต่อผู้โดยสารและเมือง

ผู้โดยสารไม่ควรคาดว่าจะมีการเปลี่ยนแปลงบริการในทันที รถโดยสารมีคนขับและไม่สามารถควบคุมจากภายนอกตัวรถได้ ผู้ให้บริการระบุว่ากล้องในรถเหล่านี้ไม่ได้เชื่อมต่ออินเทอร์เน็ต จึงไม่มีความเสี่ยงที่จะส่งภาพสด หากผู้ให้บริการถอดซิมการ์ดเพื่อแยกรถออกจากเครือข่าย การคาดการณ์เวลารถถึงแบบเรียลไทม์ แดชบอร์ดติดตามกองรถ และการวินิจฉัยปัญหาระยะไกลจะทำงานได้ด้อยลง หน่วยงานจึงต้องการมาตรการควบคุมหลายชั้นที่ยังคงส่งข้อมูลบริการได้ ขณะเดียวกันก็ป้องกันคำสั่งที่ไม่ได้รับอนุญาต

เมืองต่าง ๆ ต้องแลกความสะดวกในการบำรุงรักษาระยะไกลกับความมั่นใจที่ได้จากการควบคุมในพื้นที่อย่างเข้มงวดขึ้น การตัดการเชื่อมต่อช่วยลดความเสี่ยงได้ แต่ก็ส่งผลต่อความน่าเชื่อถือและเพิ่มค่าใช้จ่าย แนวทางที่สมดุลต้องอาศัยการกำกับดูแลที่เข้มแข็ง ความโปร่งใส และมาตรการควบคุมทางเทคนิคที่ตรวจสอบได้ เพื่อให้ผู้ให้บริการยังได้รับประโยชน์จากกองรถที่เชื่อมต่ออินเทอร์เน็ต โดยไม่เปิดช่องให้มีการแทรกแซงระบบขับเคลื่อนจากภายนอก

ประเด็นสำคัญ

• เดนมาร์กกำลังตรวจสอบรถโดยสารไฟฟ้าที่ผลิตในจีนหลายร้อยคัน หลังการทดสอบในนอร์เวย์พบช่องทางเข้าถึงระยะไกลในรถ Yutong
• การทดสอบแบบแยกระบบของ Ruter พบว่าการถอดซิมการ์ดปิดกั้นการเข้าถึงระยะไกล แต่ยังทำให้ข้อมูลเรียลไทม์และระบบวินิจฉัยปัญหาใช้งานไม่ได้
• Yutong ปฏิเสธว่าสามารถควบคุมการบังคับเลี้ยว ระบบขับเคลื่อน หรือเบรกได้ และระบุว่าข้อมูลในสหภาพยุโรปจัดเก็บที่แฟรงก์เฟิร์ต โดยมีการเข้ารหัสและควบคุมการเข้าถึง
• สำนักงานคุ้มครองพลเรือนของเดนมาร์กระบุว่าไม่พบกรณีปิดรถที่ทราบแน่ชัด แต่เตือนว่าระบบย่อยที่เชื่อมต่ออินเทอร์เน็ตอาจถูกโจมตีได้หากไม่มีมาตรการควบคุมที่เข้มงวด
• Movia ให้บริการรถโดยสารไฟฟ้าจากจีน 469 คัน รวมถึงรถ Yutong 262 คัน และมีแผนเพิ่มข้อกำหนดด้านความมั่นคงปลอดภัยไซเบอร์ในการประกวดราคาในอนาคต
• ความเสี่ยงหลักคือการขัดขวางระบบไฟฟ้าหรือการจัดการแบตเตอรี่จากระยะไกล ซึ่งอาจทำให้รถหยุดนิ่งได้ แม้ผู้ขับขี่ยังคงควบคุมพวงมาลัยและเบรกได้
• มาตรการบรรเทาความเสี่ยงที่เสนอ ได้แก่ สวิตช์ตัดการเชื่อมต่อในพื้นที่ การอนุมัติการอัปเดต การแยกเครือข่าย การยืนยันตัวตนหลายปัจจัย และการตรวจสอบโดยหน่วยงานอิสระ
• ผู้ให้บริการมุ่งปกป้องคุณภาพบริการไปพร้อมกับปิดช่องทางเข้าถึงระยะไกลที่ไม่มีการกำกับดูแล แทนที่จะปิดการเชื่อมต่อของรถทั้งกอง