Đan Mạch tìm cách khắc phục lỗ hổng an ninh trên xe buýt điện Trung Quốc sau các cuộc thử nghiệm ở Na Uy

Vì sao cuộc thử nghiệm xe buýt ở Na Uy khiến Đan Mạch báo động

Đan Mạch đang khẩn trương bảo đảm an ninh cho mạng lưới xe buýt công cộng sau khi các cuộc thử nghiệm có kiểm soát tại Na Uy cho thấy xe buýt điện do Trung Quốc sản xuất có kết nối từ xa, có thể bị lợi dụng để tắt xe khi đang hoạt động. Kết nối này phục vụ những mục đích chính đáng, chủ yếu là cập nhật phần mềm và chẩn đoán lỗi. Các chuyên gia đánh giá an ninh cho biết nếu bị sử dụng sai mục đích, cùng kênh kết nối đó có thể làm gián đoạn hoạt động. Các cơ quan và đơn vị vận hành tại Đan Mạch hiện rà soát hàng trăm xe buýt đang hoạt động hằng ngày, trong đó có 262 xe Yutong do Movia khai thác ở Copenhagen và khu vực lân cận, nhằm bảo đảm không có cơ chế điều khiển từ xa thiếu kiểm soát nào ảnh hưởng đến dịch vụ.

Đơn vị vận tải công cộng Ruter của Na Uy đã thử nghiệm hai xe buýt Yutong trong môi trường cách ly. Các kỹ sư xác nhận nhà sản xuất có thể kết nối với những hệ thống hỗ trợ cập nhật, chẩn đoán lỗi và quản lý năng lượng. Nhóm điều tra nhận thấy việc tháo thẻ SIM sẽ chặn liên lạc từ bên ngoài. Tuy nhiên, biện pháp đó cũng làm gián đoạn các dịch vụ quan trọng như thông tin giờ xe đến theo thời gian thực, phát hiện lỗi từ xa và bảo trì dự báo. Ruter đã thông báo cho chính quyền trung ương và địa phương, đồng thời chuẩn bị các yêu cầu an ninh nghiêm ngặt hơn cho những đợt mua sắm trong tương lai.

Yutong bác bỏ khả năng nhà cung cấp có thể điều khiển, phanh hoặc tăng tốc xe buýt từ xa. Công ty cho biết đường truyền dữ liệu chỉ phục vụ bảo trì, còn dữ liệu châu Âu được lưu trữ tại một cơ sở của Amazon Web Services ở Frankfurt và được bảo vệ bằng mã hóa cùng các biện pháp kiểm soát truy cập. Chưa ghi nhận trường hợp xe buýt nào bị tắt từ xa ở Na Uy hoặc Đan Mạch. Dù vậy, các đơn vị vận hành xem mọi đường truy cập không được kiểm soát vào thiết bị trọng yếu là rủi ro không thể chấp nhận.

Na Uy phát hiện gì trong các cuộc thử nghiệm xe buýt

Ruter cho biết các nhóm của họ phát hiện những mô-đun SIM nhúng và bộ nhớ cho phép xe buýt kết nối di động an toàn với máy chủ bên ngoài. Đường truyền này hỗ trợ chẩn đoán từ xa và cập nhật phần mềm. Các kỹ sư kết luận rằng người dùng có ý đồ xấu hoặc tài khoản nhà cung cấp bị xâm nhập có thể làm gián đoạn nguồn điện hoặc những chức năng khác giúp xe buýt vận hành. Thử nghiệm không cho thấy khả năng điều khiển lái hoặc phanh từ xa. Tuy nhiên, thử nghiệm làm nổi bật khả năng khiến xe buýt dừng hoạt động bằng cách ngắt lực kéo hoặc nguồn điện.

Đơn vị vận hành cũng kiểm tra xe buýt có tuổi đời tương đương của một nhà sản xuất châu Âu. Những xe này không sử dụng chức năng cập nhật từ xa, giúp giảm bề mặt tấn công nhưng cũng hạn chế tính linh hoạt và hiệu quả bảo trì. Sự khác biệt đó, cùng với những phát hiện về Yutong, khiến giới chức Na Uy cho rằng cần có các yêu cầu mua sắm rõ ràng hơn đối với mọi thương hiệu dựa vào dịch vụ kết nối.

Giải pháp tháo thẻ SIM và những đánh đổi

Tháo thẻ SIM sẽ lập tức cắt đường kết nối từ xa, nhưng đồng thời vô hiệu hóa các công cụ mà nhiều cơ quan vận tải phụ thuộc vào. Bảng thông tin giờ xe đến theo thời gian thực và dự báo trên ứng dụng di động đều cần kết nối với phương tiện. Chẩn đoán từ xa và lập kế hoạch bảo trì phần mềm cũng vậy. Việc ngắt kết nối vĩnh viễn sẽ khiến khôi phục dịch vụ sau khi xảy ra sự cố chậm hơn và có thể làm tăng chi phí, do kỹ thuật viên mất quyền truy cập vào dữ liệu đo từ xa chi tiết và cảnh báo sớm. Các đơn vị vận hành đang cân nhắc những biện pháp bảo vệ có trọng điểm, vừa duy trì luồng dữ liệu thiết yếu, vừa chặn mọi quyền truy cập của nhà cung cấp nếu không được cho phép và giám sát rõ ràng.

Xe buýt có thực sự bị chiếm quyền điều khiển không

Giới chức cho biết chưa có trường hợp nào xe buýt bị thao túng trực tiếp từ xa khi đang hoạt động. Yutong khẳng định các chức năng thiết yếu về an toàn như lái, truyền động và phanh không nhận lệnh từ mạng bên ngoài. Các thử nghiệm của Ruter và giải thích bổ sung từ chuyên gia cho thấy rủi ro hẹp hơn. Xe buýt có thể bị vô hiệu hóa nếu nguồn điện hoặc hệ thống quản lý pin bị thay đổi thông qua một kênh kết nối. Gián đoạn kiểu này sẽ ảnh hưởng nghiêm trọng đến hoạt động, ngay cả khi tài xế vẫn toàn quyền điều khiển phương tiện trong lúc xe đang chạy.

Giám đốc điều hành Ruter, Bernt Reitan Jenssen, cho biết khả năng xảy ra hành vi can thiệp vẫn thấp, nhưng ông kêu gọi hành động để giảm mức độ phơi nhiễm.

Chúng ta phải xem xét nghiêm túc rủi ro này.

Đan Mạch ứng phó ra sao

Cơ quan Bảo vệ Dân sự và Quản lý Khẩn cấp Đan Mạch cho biết họ chưa ghi nhận trường hợp nào được xác nhận là phương tiện bị tắt từ xa tại nước này. Cơ quan cảnh báo các phân hệ và cảm biến kết nối internet có thể bị khai thác để làm gián đoạn dịch vụ nếu biện pháp kiểm soát an ninh yếu. Cơ quan đang theo dõi diễn biến, đánh giá liệu hướng dẫn hiện hành có đầy đủ hay không và sẵn sàng tư vấn cho các đơn vị vận hành về phòng ngừa và ứng phó.

Movia, công ty vận tải công cộng lớn nhất Đan Mạch, vận hành 469 xe buýt điện do Trung Quốc sản xuất trên khắp đảo Zealand, trong đó có 262 xe Yutong. Giám đốc vận hành của Movia, Jeppe Gaard, thừa nhận phương tiện kết nối có thể bị can thiệp từ xa khi hệ thống phần mềm hoạt động trên các mạng mở. Ông lưu ý mối lo ngại này liên quan đến nhiều loại phương tiện và thiết bị kết nối, không chỉ riêng xe buýt Trung Quốc. Movia dự định siết chặt yêu cầu an ninh mạng trong các hồ sơ mời thầu mới và đang đánh giá biện pháp bảo vệ cho đội xe hiện tại.

Các chính trị gia và nhóm xã hội dân sự muốn có tiêu chuẩn quốc gia coi giao thông công cộng là cơ sở hạ tầng thiết yếu. Họ cho rằng phụ thuộc quá nhiều vào nhà cung cấp nước ngoài làm suy yếu khả năng chống chịu trong khủng hoảng. Các nhà lập pháp đang xem xét những phương án như tiêu chí mời thầu thống nhất, sàng lọc rủi ro nhà cung cấp, quy định về nơi lưu trữ dữ liệu và hạn chế quyền truy cập từ xa không được quản lý. Mọi thay đổi cần tuân thủ luật mua sắm của Đan Mạch và Liên minh châu Âu, đồng thời cung cấp cho đơn vị vận hành những công cụ thiết thực để duy trì dịch vụ.

Yutong nói gì về quyền truy cập và dữ liệu

Yutong cho biết không thể điều khiển từ xa các chức năng thiết yếu về an toàn trên xe buýt của hãng. Công ty khẳng định bộ điều khiển chính được tách biệt khỏi hệ thống lái, truyền động và phanh. Kết nối dữ liệu hỗ trợ chẩn đoán lỗi, giám sát hiệu suất và các chức năng tiện nghi, chẳng hạn như làm nóng hoặc làm mát khoang xe trước khi vận hành. Mọi bản cập nhật đều cần được đơn vị vận hành phê duyệt rõ ràng. Công ty cũng cho biết dữ liệu trong Liên minh châu Âu được lưu trữ tại Frankfurt và được bảo vệ bằng mã hóa cùng cơ chế kiểm soát truy cập nghiêm ngặt. Ruter giải thích rằng các phát hiện của họ mô tả một rủi ro trên lý thuyết và chưa có trường hợp nào liên quan đến an toàn.

Giải thích về rủi ro kỹ thuật

Xe buýt hiện đại có một bộ phận viễn thông kết nối với mạng di động. Bộ phận này liên lạc với nền tảng đám mây để gửi dữ liệu trạng thái và nhận gói phần mềm hoặc thay đổi cấu hình. Bên trong xe, mạng điều khiển khu vực kết nối các phân hệ về truyền động, pin, cửa, hệ thống sưởi và màn hình của tài xế. Thiết kế tốt sẽ bố trí các mạch an toàn trọng yếu trên những đường truyền riêng biệt, có cách ly chặt chẽ. Trên thực tế, vẫn có các giao diện giữa những mạng này để đội ngũ hỗ trợ chẩn đoán lỗi và áp dụng bản sửa chữa. Những giao diện đó cũng hấp dẫn kẻ tấn công nếu việc xác minh danh tính hoặc quy tắc truy cập lỏng lẻo.

Rủi ro đáng tin cậy không phải là màn chiếm quyền điều khiển từ xa kiểu phim Hollywood. Mối lo ngại lớn nhất là một lệnh từ xa vô hiệu hóa hệ thống truyền động hoặc nguồn điện, hay một bản cập nhật phần mềm làm hỏng linh kiện khiến xe buýt không thể di chuyển. Nếu hàng trăm phương tiện dùng chung cấu hình và tài khoản nhà cung cấp, chỉ một vụ xâm nhập cũng có thể gây gián đoạn trên diện rộng mà không cần can thiệp vào hệ thống lái hoặc phanh. Các cơ quan muốn có bằng chứng rằng những kênh từ xa mặc định đã bị vô hiệu hóa, quyền truy cập được phân theo vai trò và đơn vị vận hành có thể lập tức ngắt kết nối bên ngoài nếu nghi ngờ bị sử dụng sai mục đích.

Những bộ phận có thể bị ảnh hưởng trên thực tế

• Kích hoạt nguồn lực kéo và điều kiện khởi động bộ biến tần
• Cài đặt quản lý pin, bao gồm giới hạn sạc và xả
• Logic điều khiển và lịch trình sạc
• Phân phối nguồn điện áp thấp cấp điện cho các bộ điều khiển và cảm biến
• Hệ thống khoang xe như sưởi, thông gió và chiếu sáng

Các nhóm an ninh tập trung gia cố những đường kết nối này, đồng thời duy trì dữ liệu cần thiết để vận hành an toàn và hiệu quả. Mục tiêu là giữ lại khả năng chẩn đoán từ xa và cập nhật các chức năng không thiết yếu, với biện pháp kiểm soát vững chắc để ngăn mọi hành động từ xa có thể khiến phương tiện bất động nếu chưa được phê duyệt tại chỗ.

Các quy định mới có thể ra sao

Các công ty vận tải, cơ quan quản lý và nhà cung cấp đang xây dựng biện pháp bảo vệ phù hợp với đội xe kết nối. Những biện pháp này nhằm duy trì lợi ích của dữ liệu viễn thông và hỗ trợ từ xa, đồng thời đóng mọi đường truy cập không được quản lý vào hệ thống truyền động. Điều khoản hợp đồng, chứng nhận và biện pháp kiểm soát kỹ thuật cần thống nhất với nhau để đơn vị vận hành có quyền quyết định cuối cùng về nội dung nào được đưa vào mạng lưới xe buýt và vào thời điểm nào.

• Đơn vị vận hành kiểm soát kết nối tại chỗ, có khả năng lập tức vô hiệu hóa quyền truy cập của nhà cung cấp
• Kiểm soát quy trình cập nhật, theo đó phần sụn và thay đổi cấu hình được rà soát, ký xác thực trước khi cài đặt
• Tách biệt nghiêm ngặt mạng chẩn đoán với mạng an toàn trọng yếu
• Phân quyền truy cập theo vai trò và xác thực đa yếu tố cho mọi phiên kết nối từ xa
• Ghi nhật ký bất biến và kiểm toán độc lập các kết nối từ xa
• Quy định rõ nơi lưu trữ dữ liệu và tiêu chuẩn mã hóa
• Sàng lọc rủi ro nhà cung cấp trong hồ sơ mời thầu, bao gồm quy trình phát triển an toàn và năng lực ứng phó sự cố
• Kiểm thử xâm nhập của bên thứ ba và chứng nhận cho các nền tảng phương tiện kết nối

Ý nghĩa đối với hành khách và thành phố

Hành khách chưa cần lo dịch vụ sẽ thay đổi ngay lập tức. Xe buýt do con người điều khiển và không thể vận hành từ bên ngoài phương tiện. Các đơn vị vận hành cho biết camera trên xe buýt không kết nối internet, nên không có nguy cơ truyền hình ảnh trực tiếp. Nếu đơn vị vận hành tháo thẻ SIM để cách ly phương tiện, dự báo giờ đến theo thời gian thực, bảng điều khiển đội xe và chức năng chẩn đoán từ xa sẽ bị suy giảm. Vì vậy, các cơ quan ưu tiên biện pháp kiểm soát nhiều lớp, vừa duy trì luồng thông tin dịch vụ, vừa ngăn chặn lệnh trái phép.

Các thành phố phải cân nhắc giữa sự tiện lợi của bảo trì từ xa và mức độ an tâm có được nhờ kiểm soát chặt hơn tại chỗ. Cắt kết nối có thể giảm rủi ro nhưng cũng làm giảm độ tin cậy và tăng chi phí. Cách tiếp cận cân bằng cần có cơ chế quản trị vững chắc, tính minh bạch và biện pháp kiểm soát kỹ thuật có thể kiểm chứng, để đơn vị vận hành duy trì lợi ích của đội xe kết nối mà không khiến hệ thống truyền động phải đối mặt với sự can thiệp từ bên ngoài.

Điểm chính

• Đan Mạch đang kiểm tra hàng trăm xe buýt điện do Trung Quốc sản xuất sau khi các cuộc thử nghiệm ở Na Uy phát hiện kênh truy cập từ xa trên xe Yutong.
• Thử nghiệm cách ly của Ruter cho thấy tháo thẻ SIM sẽ chặn truy cập từ xa nhưng cũng vô hiệu hóa thông tin trực tiếp và chức năng chẩn đoán.
• Yutong phủ nhận khả năng điều khiển hệ thống lái, truyền động hoặc phanh, đồng thời cho biết dữ liệu EU được lưu trữ tại Frankfurt, có mã hóa và kiểm soát truy cập.
• Cơ quan bảo vệ dân sự Đan Mạch cho biết chưa có trường hợp vô hiệu hóa nào được ghi nhận, nhưng cảnh báo các phân hệ kết nối có thể bị khai thác nếu thiếu biện pháp kiểm soát chặt chẽ.
• Movia vận hành 469 xe buýt điện Trung Quốc, trong đó có 262 xe Yutong, và dự định siết chặt yêu cầu an ninh mạng trong các hồ sơ mời thầu tương lai.
• Rủi ro cốt lõi là làm gián đoạn nguồn điện hoặc hệ thống quản lý pin từ xa, khiến xe buýt bất động ngay cả khi tài xế vẫn điều khiển được hệ thống lái và phanh.
• Các biện pháp giảm thiểu được đề xuất gồm công tắc ngắt kết nối tại chỗ, kiểm soát cập nhật, tách biệt mạng, xác thực đa yếu tố và kiểm toán độc lập.
• Các đơn vị vận hành hướng tới bảo vệ chất lượng dịch vụ đồng thời chặn quyền truy cập từ xa thiếu kiểm soát, thay vì vô hiệu hóa kết nối trên toàn đội xe.