Denmark bertindak menangani kelemahan keselamatan bas elektrik buatan China selepas ujian di Norway

Mengapa ujian bas di Norway mencetuskan kebimbangan di Denmark

Denmark sedang bergegas melindungi rangkaian bas awamnya selepas ujian terkawal di Norway menunjukkan bas elektrik buatan China mempunyai sambungan jauh yang boleh digunakan untuk mematikan kenderaan ketika sedang beroperasi. Sambungan itu diwujudkan atas sebab yang sah, terutamanya untuk kemas kini perisian dan diagnostik. Penilai keselamatan berkata saluran yang sama, jika disalahgunakan, boleh mengganggu operasi. Agensi dan pengendali Denmark kini meneliti ratusan bas yang digunakan setiap hari, termasuk 262 kenderaan Yutong yang dikendalikan Movia di dalam dan sekitar Copenhagen, bagi memastikan tiada kawalan jauh tanpa pengurusan yang boleh menjejaskan perkhidmatan.

Pengendali pengangkutan awam Norway, Ruter, menjalankan ujian terhadap dua bas Yutong dalam persekitaran terpencil. Jurutera mengesahkan pengeluar boleh menyambung kepada sistem yang menyokong kemas kini, diagnostik dan pengurusan tenaga. Penyiasat mendapati bahawa mengeluarkan kad SIM menyekat hubungan dengan pihak luar. Langkah itu juga memutuskan perkhidmatan penting seperti maklumat ketibaan langsung, pengesanan kerosakan dari jauh dan penyelenggaraan ramalan. Ruter telah memaklumkan pihak berkuasa negara dan tempatan serta sedang menyediakan keperluan keselamatan yang lebih ketat bagi perolehan akan datang.

Yutong menolak dakwaan bahawa pembekal boleh mengawal stereng, membrek atau memecut bas dari jauh. Syarikat itu berkata pautan data digunakan untuk penyelenggaraan dan data Eropah disimpan di kemudahan Amazon Web Services di Frankfurt, dengan perlindungan penyulitan dan kawalan akses. Tiada kes bas dimatikan dari jauh direkodkan di Norway atau Denmark. Namun begitu, pengendali menganggap sebarang laluan akses tanpa kawalan kepada peralatan kritikal sebagai risiko yang tidak boleh diterima.

Apakah yang ditemui Norway dalam ujian basnya

Ruter berkata pasukannya menemui modul SIM terbenam dan storan yang membolehkan sambungan mudah alih selamat antara bas dengan pelayan luaran. Pautan itu menyokong diagnostik jarak jauh dan kemas kini perisian. Jurutera menyimpulkan bahawa pengguna berniat jahat, atau akaun vendor yang telah diceroboh, mungkin boleh mengganggu bekalan kuasa atau fungsi lain yang membolehkan bas bergerak. Ujian itu tidak menunjukkan kawalan stereng atau brek dari jauh. Namun, ia mengetengahkan kemungkinan bas dihentikan dengan memutuskan daya tarikan atau kuasa.

Pengendali itu turut meneliti bas daripada pengeluar Eropah yang seusia. Kenderaan tersebut tidak menggunakan fungsi kemas kini jarak jauh, sekali gus mengurangkan permukaan serangan tetapi turut mengehadkan fleksibiliti dan kecekapan penyelenggaraan. Perbezaan itu, bersama-sama penemuan mengenai Yutong, meyakinkan pegawai Norway bahawa keperluan perolehan yang lebih jelas perlu ditetapkan bagi mana-mana jenama yang bergantung pada perkhidmatan bersambung.

Penyelesaian kad SIM dan kesannya

Mengeluarkan kad SIM segera memutuskan pautan jarak jauh, tetapi langkah itu juga melumpuhkan alat yang diandalkan banyak agensi transit. Papan paparan ketibaan masa nyata dan ramalan dalam aplikasi mudah alih bergantung pada sambungan kenderaan. Begitu juga diagnostik jarak jauh dan perancangan penyelenggaraan perisian. Pemutusan sambungan secara kekal akan melambatkan pemulihan perkhidmatan apabila berlaku kerosakan dan boleh meningkatkan kos kerana juruteknik kehilangan data telemetri terperinci serta amaran awal. Pengendali sedang menimbang perlindungan bersasar yang mengekalkan aliran data penting sambil menyekat sebarang akses vendor yang tidak dibenarkan dan dipantau secara jelas.

Adakah bas benar-benar diambil alih

Pegawai berkata tiada kes manipulasi bas secara langsung dari jauh. Yutong menyatakan fungsi kritikal keselamatan seperti stereng, pendorongan dan brek tidak menerima arahan daripada rangkaian luaran. Ujian Ruter serta penjelasan pakar menunjukkan risiko yang lebih terhad. Bas boleh menjadi tidak beroperasi jika kuasa atau pengurusan bateri diubah melalui saluran bersambung. Gangguan seperti itu akan menjejaskan operasi dengan serius walaupun pemandu masih mengawal sepenuhnya kenderaan ketika ia sedang bergerak.

Ketua eksekutif Ruter, Bernt Reitan Jenssen, berkata kemungkinan berlakunya cubaan gangguan kekal rendah, namun beliau menggesa tindakan diambil untuk mengurangkan pendedahan.

Kita mesti memandang serius risiko ini.

Langkah yang diambil Denmark

Agensi Perlindungan Awam dan Pengurusan Kecemasan Denmark berkata pihaknya tidak mengetahui sebarang kes penyahaktifan jarak jauh yang disahkan di Denmark. Agensi itu memberi amaran bahawa subsistem dan sensor yang bersambung ke internet boleh dieksploitasi untuk mengganggu perkhidmatan jika kawalan keselamatan lemah. Agensi itu memantau perkembangan dan menilai sama ada panduan semasa mencukupi, serta bersedia menasihati pengendali tentang langkah pencegahan dan tindak balas.

Movia, syarikat pengangkutan awam terbesar Denmark, mengendalikan 469 bas elektrik buatan China di seluruh Zealand, termasuk 262 bas Yutong. Ketua pegawai operasi Movia, Jeppe Gaard, mengakui bahawa kenderaan bersambung boleh terdedah kepada gangguan jarak jauh apabila sistem perisian beroperasi melalui rangkaian terbuka. Beliau berkata kebimbangan itu melibatkan pelbagai jenis kenderaan dan peranti bersambung, bukan bas China sahaja. Movia merancang untuk mengetatkan keperluan keselamatan siber dalam tender baharu dan sedang menilai perlindungan bagi armada semasanya.

Tokoh politik dan kumpulan masyarakat sivil mahukan piawaian kebangsaan yang menganggap pengangkutan awam sebagai infrastruktur kritikal. Mereka berhujah bahawa kebergantungan tinggi pada vendor asing melemahkan daya tahan ketika krisis. Penggubal undang-undang sedang meneliti pilihan seperti kriteria tender seragam, saringan risiko pembekal, peraturan penyimpanan data dalam negara dan had terhadap akses jauh tanpa pengurusan. Sebarang perubahan perlu mematuhi undang-undang perolehan Denmark dan Kesatuan Eropah sambil menyediakan alat praktikal kepada pengendali untuk memastikan perkhidmatan terus berjalan.

Kenyataan Yutong mengenai akses dan data

Yutong berkata kawalan jauh terhadap fungsi kritikal keselamatan tidak boleh dilakukan pada basnya. Syarikat itu menyatakan unit kawalan utama diasingkan daripada sistem stereng, pendorongan dan brek. Sambungan data menyokong diagnostik, pemantauan prestasi dan fungsi keselesaan seperti prapengkondisian kabin. Kemas kini memerlukan kelulusan jelas daripada pengendali. Syarikat itu turut berkata data dalam Kesatuan Eropah disimpan di Frankfurt dan dilindungi melalui penyulitan serta kawalan akses yang ketat. Ruter menjelaskan bahawa penemuannya menggambarkan risiko teori dan tiada kes berkaitan keselamatan berlaku.

Penjelasan risiko teknikal

Bas moden dilengkapi unit telematik yang disambungkan kepada rangkaian selular. Unit itu berkomunikasi dengan platform awan untuk menyampaikan data status dan menerima pakej perisian atau perubahan konfigurasi. Di dalam kenderaan, rangkaian kawasan pengawal menghubungkan subsistem untuk pendorongan, bateri, pintu, pemanasan dan paparan pemandu. Reka bentuk yang baik meletakkan litar keselamatan kritikal pada talian berasingan dengan pengasingan kukuh. Dalam praktiknya, terdapat antara muka antara rangkaian supaya pasukan sokongan boleh mendiagnosis kerosakan dan melaksanakan pembaikan. Antara muka yang sama menarik perhatian penyerang jika pemeriksaan identiti atau peraturan akses lemah.

Risiko yang munasabah bukanlah pengambilalihan jauh seperti dalam filem Hollywood. Kebimbangan utama ialah arahan jauh yang melumpuhkan pendorongan atau kuasa, atau kemas kini perisian yang merosakkan komponen sehingga bas tidak dapat bergerak. Jika ratusan kenderaan berkongsi konfigurasi dan akaun pembekal yang sama, satu pencerobohan boleh menyebabkan gangguan meluas walaupun tanpa menyentuh stereng atau brek. Agensi mahukan bukti bahawa saluran jauh dilumpuhkan secara lalai, akses berasaskan peranan dikuatkuasakan dan pengendali boleh memutuskan sambungan luaran serta-merta jika mengesyaki penyalahgunaan.

Perkara yang mungkin terjejas dalam praktik

• Pengaktifan kuasa daya tarikan dan syarat permulaan penyongsang
• Tetapan pengurusan bateri, termasuk had pengecasan dan nyahcas
• Logik dan jadual kawalan pengecasan
• Pengagihan kuasa voltan rendah yang membekalkan unit kawalan dan sensor
• Sistem kabin seperti pemanasan, pengudaraan dan pencahayaan

Pasukan keselamatan memberi tumpuan kepada pengukuhan laluan ini sambil mengekalkan data yang diperlukan untuk operasi yang selamat dan cekap. Matlamatnya ialah mengekalkan diagnostik jarak jauh dan kemas kini bukan kritikal, dengan kawalan teguh yang menghalang sebarang tindakan jarak jauh yang boleh melumpuhkan kenderaan tanpa kelulusan setempat.

Bentuk peraturan baharu yang mungkin

Syarikat pengangkutan, pengawal selia dan pembekal sedang merangka perlindungan yang sesuai untuk armada bersambung. Langkah-langkah itu bertujuan mengekalkan manfaat telemetri dan sokongan jarak jauh sambil menutup sebarang laluan tanpa pengurusan ke dalam sistem pemacu. Peruntukan kontrak, pensijilan dan kawalan teknikal perlu diselaraskan supaya pengendali mempunyai kuasa muktamad menentukan perkara yang boleh memasuki rangkaian bas dan bila.

• Kawalan sambungan setempat, dengan keupayaan menyahaktifkan akses vendor serta-merta
• Kawalan kelulusan kemas kini, dengan semakan dan pengesahan tandatangan perisian tegar serta perubahan konfigurasi sebelum pemasangan
• Pengasingan ketat antara diagnostik dengan rangkaian kritikal keselamatan
• Akses berasaskan peranan dan pengesahan berbilang faktor untuk semua sesi jarak jauh
• Log yang tidak boleh diubah dan audit bebas terhadap sambungan jarak jauh
• Peraturan penyimpanan data yang jelas dan piawaian penyulitan
• Saringan risiko pembekal dalam tender, termasuk amalan pembangunan selamat dan keupayaan bertindak balas terhadap insiden
• Ujian penembusan pihak ketiga dan pensijilan bagi platform kenderaan bersambung

Impak terhadap penumpang dan bandar

Penumpang tidak sepatutnya menjangkakan perubahan serta-merta pada perkhidmatan. Bas dipandu manusia dan tidak boleh dikendalikan dari luar kenderaan. Pengendali berkata kamera dalam bas ini tidak disambungkan ke internet, maka tiada risiko pemindahan imej secara langsung. Jika pengendali mengeluarkan kad SIM untuk mengasingkan kenderaan, ramalan ketibaan masa nyata, papan pemuka armada dan diagnostik jarak jauh akan terjejas. Oleh itu, agensi lebih mengutamakan kawalan berlapis yang memastikan maklumat perkhidmatan terus mengalir sambil mencegah arahan tanpa kebenaran.

Bandar berdepan pertukaran antara kemudahan penyelenggaraan jarak jauh dengan kepastian yang hadir bersama kawalan setempat yang lebih ketat. Memutuskan sambungan boleh mengurangkan risiko, tetapi turut menjejaskan kebolehpercayaan dan meningkatkan kos. Pendekatan seimbang menggunakan tadbir urus yang kukuh, ketelusan dan kawalan teknikal yang boleh disahkan supaya pengendali terus menikmati kelebihan armada bersambung tanpa mendedahkan rangkaian kuasa kepada gangguan luar.

Perkara Utama

• Denmark mengaudit ratusan bas elektrik buatan China selepas ujian di Norway menunjukkan adanya saluran akses jauh pada kenderaan Yutong.
• Ujian terpencil Ruter mendapati pengeluaran kad SIM menyekat akses jauh tetapi turut melumpuhkan maklumat langsung dan diagnostik.
• Yutong menafikan keupayaan mengawal stereng, pendorongan atau brek, dan berkata data EU disimpan di Frankfurt dengan perlindungan penyulitan serta kawalan akses.
• Agensi perlindungan awam Denmark melaporkan tiada kes penyahaktifan yang diketahui, tetapi memberi amaran bahawa subsistem bersambung boleh dieksploitasi jika tiada kawalan kukuh.
• Movia mengendalikan 469 bas elektrik buatan China, termasuk 262 bas Yutong, dan merancang keperluan keselamatan siber yang lebih ketat dalam tender akan datang.
• Risiko utamanya ialah gangguan jarak jauh terhadap kuasa atau pengurusan bateri yang boleh melumpuhkan bas walaupun pemandu masih boleh mengawal stereng dan brek.
• Langkah mitigasi yang dicadangkan termasuk suis pemutus sambungan setempat, kawalan kelulusan kemas kini, pengasingan rangkaian, akses berbilang faktor dan audit bebas.
• Pengendali mahu melindungi mutu perkhidmatan sambil menutup akses jauh tanpa pengurusan, bukannya melumpuhkan sambungan seluruh armada.