1.

Aukšto lygio grėsmių ir atitinkamų saugumo spragų ar išpuolio metodo aprašymai išvardyti lentelėje A1. Lentelė A1 Su grėsmėmis susijusių saugumo spragų ar išpuolio metodų sąrašas Aukšto lygio ir žemesnio lygio saugumo spragų / grėsmių aprašymai Saugumo spragos ar išpuolio metodo pavyzdys 4.3.1. Grėsmės su eksploatuojamomis transporto priemonėmis susijusiems duomenų saugyklos serveriams 1 Duomenų saugyklos serveriai naudojami kaip priemonė išpuoliui prieš transporto priemonę įvykdyti arba duomenims išgauti 1.1 Privilegijomis piktnaudžiauja darbuotojai (vidaus subjektų išpuolis) 1.2 Neleistina prieiga internetu prie serverio (jai sudaromos sąlygos, pavyzdžiui, pasitelkiant užpakalines duris, nepašalintas sistemos programinės įrangos saugumo spragas, SQL išpuolius arba kitas priemones) 1.3 Neleistina fizinė prieiga prie serverio (pavyzdžiui, pasitelkiant USB laikmenas ar kitas prie serverio prijungiamas laikmenas) 2 Sutrikdomos paslaugos iš duomenų saugyklos serverio ir tai turi poveikį transporto priemonės eksploatacijai 2.1 Dėl išpuolio prieš duomenų saugyklos serverį jis nustoja veikti, pavyzdžiui, dėl išpuolio serveris negali sąveikauti su transporto priemonėmis ir teikti paslaugų, nuo kurių priklauso transporto priemonių veikimas 3 Duomenų saugyklos serveriuose laikomi su transporto priemonėmis susiję duomenys prarandami arba pažeidžiami („duomenų saugumo pažeidimas“) 3.1 Privilegijomis piktnaudžiauja darbuotojai (vidaus subjektų išpuolis) 3.2 Prarandama informacija debesijoje. Neskelbtini duomenys gali būti prarasti dėl išpuolių arba avarijų, kai duomenis saugo debesijos paslaugas teikiančios trečiosios šalys 3.3 Neleistina prieiga internetu prie serverio (jai sudaromos sąlygos, pavyzdžiui, pasitelkiant užpakalines duris, nepašalintas sistemos programinės įrangos saugumo spragas, SQL išpuolius arba kitas priemones) 3.4 Neleistina fizinė prieiga prie serverio (pavyzdžiui, pasitelkiant USB laikmenas ar kitas prie serverio prijungiamas laikmenas) 3.5 Informacijos saugumo pažeidimas netyčia išplatinant duomenis (pvz., administratoriaus klaidos) 4.3.2. Grėsmės transporto priemonėms dėl jų ryšių kanalų 4 Transporto priemonės gaunamų pranešimų arba duomenų klastojimas 4.1 Pranešimų klastojimas imitacijos būdu (pvz., 802.11p V2X per važiavimą vilkstine, GNSS pranešimai ir kt.) 4.2 Sibilės išpuolis (siekiant imituoti kitas transporto priemones, tarsi kelyje yra daug transporto priemonių) 5 Ryšių kanalais atliekamas neleistinas manipuliavimas transporto priemonės turimu kodu / duomenimis, jų ištrynimas ar kiti pakeitimai 5.1 Ryšių kanaluose palikta galimybė įterpti kodą, pavyzdžiui, į ryšio duomenų srautą gali būti įterpiamas pakeistas programinės įrangos dvejetainis kodas 5.2 Ryšių kanaluose palikta galimybė manipuliuoti transporto priemonės turimais duomenimis / kodu 5.3 Ryšių kanaluose palikta galimybė ant viršaus perrašyti transporto priemonės turimus duomenis / kodą 5.4 Ryšių kanaluose palikta galimybė ištrinti transporto priemonės turimus duomenis / kodą 5.5 Ryšių kanaluose palikta galimybė įrašyti duomenis / kodą į transporto priemonę (įrašyti duomenų kodą) 6 Ryšių kanaluose palikta galimybė priimti nepatikimais laikomus ar nepatikimus pranešimus arba saugumo spraga sesijos užgrobimo arba pakartojimų išpuoliams vykdyti 6.1 Priimama informacija iš nepatikimo arba nepatikimu laikomo šaltinio 6.2 Komunikacijos perėmimo išpuolis / sesijos užgrobimo išpuolis 6.3 Pakartojimo išpuolis, pavyzdžiui, išpuolis prieš ryšių tinklų sietuvą, sudaro sąlygas išpuolį vykdančiam asmeniui įdiegti primityvesnį elektroninio valdymo bloko programinės įrangos arba tinklų sietuvo programinės aparatinės įrangos variantą 7 Gali būti lengvai atskleidžiama informacija. Pavyzdžiui, pasiklausomi ryšiai arba yra palikta galimybė neleistinai prisijungti prie neskelbtinų failų arba katalogų 7.1 Informacijos perėmimas / trukdanti spinduliuotė / ryšių stebėsena 7.2 Įgyjama galimybė neleistinai prisijungti prie failų arba duomenų 8 Paslaugos trikdymo atakos per ryšių kanalus siekiant sutrikdyti transporto priemonės funkcijas 8.1 Didelio kiekio beprasmių duomenų siuntimas į transporto priemonės informacinę sistemą, kad ji negalėtų įprastu būdu teikti paslaugų 8.2 Juodosios skylės išpuolis – siekdamas sutrikdyti ryšius tarp transporto priemonių, išpuolį atliekantis asmuo gali blokuoti pranešimus tarp transporto priemonių 9 Neprivilegijuotas naudotojas gali gauti privilegijuotą prieigą prie transporto priemonės sistemų 9.1 Neprivilegijuotas naudotojas gali gauti privilegijuotą prieigą, pavyzdžiui, prie šakninio katalogo 10 Ryšių priemonėse integruoti virusai gali užkrėsti transporto priemonių sistemas 10.1 Ryšių priemonėse integruotas virusas užkrečia transporto priemonės sistemas 11 Transporto priemonės gaunamuose pranešimuose (pavyzdžiui, X2V arba diagnostiniuose pranešimuose) arba jos viduje perduodamuose pranešimuose yra kenkiamojo turinio 11.1 Kenkimo vidaus (pvz., CAN) pranešimai 11.2 Kenkimo V2X pranešimai, pvz., infrastruktūros pranešimai transporto priemonei arba transporto priemonės pranešimai kitoms transporto priemonėms (pvz., CAM, DENM) 11.3 Kenkimo diagnostiniai pranešimai 11.4 Kenkimo nuosavybiniai pranešimai (pvz., pranešimai, paprastai siunčiami iš OEM arba komponentų / sistemos / funkcijos tiekėjo) 4.3.3. Grėsmės transporto priemonėms, susijusios su jų atnaujinimo procedūromis 12 Netinkamas atnaujinimo procedūrų naudojimas arba jų pažeidimas 12.1 Belaidžiu ryšiu atliekamo programinės įrangos atnaujinimo procedūrų pažeidimas. Tai apima sistemos atnaujinimo programos arba programinės aparatinės įrangos sufabrikavimą 12.2 Vietinio / fizinio programinės įrangos atnaujinimo pažeidimas. Tai apima sistemos atnaujinimo programos arba programinės aparatinės įrangos sufabrikavimą 12.3 Programinė įranga neleistinai modifikuojama (ir todėl tampa sugadinta) iki atnaujinimo proceso, nors atnaujinimo procesas nepažeidžiamas 12.4 Pažeidžiami programinės įrangos tiekėjo kriptografiniai raktai ir taip paliekama galimybė atlikti klaidingą atnaujinimą 13 Įmanoma atmesti teisėtus naujinimus. 13.1 Paslaugos trikdymo ataka prieš atnaujinimo serverį arba tinklą, siekiant užkirsti kelią kritinių programinės įrangos naujinių pateikimui ir (arba) konkrečiam klientui skirtų funkcijų atrakinimui 4.3.4. Grėsmės transporto priemonėms, susijusios su netyčiniais žmonių veiksmais, kuriais palengvinamas kibernetinis išpuolis 15 Teisėti subjektai gali imtis veiksmų, kuriais būtų netyčia palengvinamas kibernetinis išpuolis 15.1 Nekaltas nukentėjusysis (pvz., savininkas, operatorius arba techninės priežiūros inžinierius) suklaidinamas, kad imtųsi veiksmų, kuriais netyčia būtų užkrauta kenkimo programinė įranga arba sudarytos sąlygos atlikti išpuolį 15.2 Nesivadovaujama apibrėžtomis saugumo procedūromis 4.3.5. Grėsmės transporto priemonėms, susijusios su jų išorės jungtimis ir ryšiais 16 Modifikuojant transporto priemonės funkcijų jungtį sudaromos sąlygos atlikti kibernetinį išpuolį, tai gali apimti telematiką; sistemas, kuriomis sudaromos sąlygos nuotolinėms operacijoms; sistemas, naudojančias trumpojo nuotolio bevielius ryšius 16.1 Modifikuojamos funkcijos, skirtos nuotoliniu būdu valdyti sistemas, pvz., nuotolinį raktą, imobilizatorių ir įkrovimo kolonėlę 16.2 Modifikuojama transporto priemonės telematika (pvz., modifikuojamas jautrių prekių temperatūros matavimas, nuotoliniu būdu atrakinamos krovinių skyriaus durys) 16.3 Trikdomos trumpojo nuotolio bevielės sistemos ar jutikliai 17 Priegloboje veikianti trečiųjų šalių programinė įranga, pvz., pramoginės programos, naudojama kaip priemonė išpuoliams prieš transporto priemonės sistemas vykdyti 17.1 Sugadintos programos arba nesaugios programos naudojamos kaip metodas vykdyti išpuolius prieš transporto priemonių sistemas 18 Prie išorės sąsajų, pvz., USB prievadų, OBD sistemos prievado, prijungti įrenginiai naudojami kaip priemonė išpuoliams prieš transporto priemonių sistemas vykdyti 18.1 Išorės sąsajos, pvz., USB ar kiti prievadai, naudojamos kaip išpuolio taškai, pavyzdžiui, įterpiant kodą 18.2 Prie transporto priemonės sistemos prijungiama virusu užkrėsta laikmena 18.3 Išpuolis palengvinamas pasitelkiant diagnostinę prieigą (pvz., raktus OBD prievade), pvz., (tiesiogiai ar netiesiogiai) modifikuojami transporto priemonės parametrai 4.3.6. Grėsmės transporto priemonės duomenims / kodui 19 Transporto priemonės duomenų / kodo išgavimas 19.1 Autorių teisių saugomos arba nuosavybinės programinės įrangos išgavimas iš transporto priemonės sistemų (produkto piratavimas) 19.2 Neleistina prieiga prie privačios savininko informacijos, pvz., asmens tapatybės, mokėjimo sąskaitos informacijos, adresų knygos informacijos, vietovės informacijos, transporto priemonės elektroninio ID ir kt. 19.3 Kriptografinių raktų išgavimas 20 Transporto priemonės duomenų / kodo modifikavimas 20.1 Neteisėti / neleistini transporto priemonės elektroninio ID pakeitimai 20.2 Tapatybės klastojimas. Pavyzdžiui, jeigu naudotojas, palaikydamas ryšį su muitinės sistemomis ar gamintojo duomenų saugyklos serveriu, nori rodyti kitą tapatybę 20.3 Veiksmai, kuriais apeinamos stebėjimo sistemos (pvz., įsilaužimas / neteisėtas įrangos keitimas / pranešimų, pvz., ODR seklio duomenų arba paleidimų skaičiaus, blokavimas) 20.4 Duomenų modifikavimas, siekiant suklastoti transporto priemonės vairavimo duomenis (pvz., ridą, važiavimo greitį, važiavimo kryptis ir kt.) 20.5 Neleistini sistemos diagnostinių duomenų pakeitimai 21 Duomenų / kodo ištrynimas 21.1 Neleistinas sistemos įvykių žurnalų ištrynimas / modifikavimas 22 Kenkimo programinės įrangos įdiegimas 22.2 Įdiegiama kenkimo programinė įranga arba programinė įranga atlieka kenkimo veiklą 23 Naujos programinės įrangos įdiegimas arba perrašymas ant esamos programinės įrangos 23.1 Transporto priemonės valdymo sistemos arba informacinės sistemos programinės įrangos sufabrikavimas 24 Sistemų ar operacijų trikdymas 24.1 Paslaugos trikdymas – pavyzdžiui, vidaus tinkle jį gali sukelti CAN magistralės užtvindymas arba trikčių sukėlimas elektroniniame valdymo bloke, siunčiant daug pranešimų 25 Transporto priemonės parametrų modifikavimas 25.1 Neleistina prieiga siekiant suklastoti svarbiausių transporto priemonės funkcijų, pvz., stabdžių duomenų, oro pagalvės panaudojimo ribos ir kt., konfigūracijos parametrus. 25.2 Neleistina prieiga siekiant suklastoti įkrovimo parametrus, pvz., įkrovimo įtampą, įkrovimo galią, akumuliatoriaus temperatūrą ir kt. 4.3.7. Galimos saugumo spragos, kurios galėtų būti išnaudojamos, jeigu nebūtų pakankamai apsaugotos arba nebūtų sumažintas pažeidžiamų vietų kiekis 26 Kriptografinės technologijos gali būti neteisėtai užvaldytos arba yra netinkamai taikomos 26.1 Trumpų šifravimo raktų ir ilgo galiojimo laikotarpio derinys sudaro sąlygas išpuolį vykdančiam asmeniui nulaužti šifravimą 26.2 Kriptografiniai algoritmai nepakankamai naudojami jautrioms sistemoms apsaugoti 26.3 Naudojami kriptografiniai algoritmai, kurie jau yra pasenę arba greitai pasens 27 Sugadinamos dalys arba tiekiami komponentai, kad būtų galima įvykdyti išpuolį prieš transporto priemones 27.1 Aparatinė ar programinė įranga suprojektuota taip, kad sudaro sąlygas įvykdyti išpuolį, arba neatitinka projektinių kriterijų išpuoliui sustabdyti 28 Programinė įranga arba aparatinė įranga kuriama paliekant galimybę atsirasti saugumo spragoms 28.1 Programinės įrangos defektai. Programinės įrangos defektų buvimas gali būti išnaudotinų saugumo spragų pagrindas. Tuo labiau, jeigu programinė įranga nebuvo išbandyta siekiant patikrinti, ar nėra žinomo blogo kodo ar defektų ir sumažinti nežinomo blogo kodo ar defektų buvimo riziką. 28.2 Naudojant produkto kūrimo likučius (pvz., defektų šalinimo prievadus, JTAG prievadus, mikroprocesorius, kūrimo sertifikatus, kūrėjų slaptažodžius, …) galima sudaryti sąlygas gauti prieigą prie elektroninių valdymo blokų ar sudaryti sąlygas išpuolius vykdantiems asmenims gauti aukštesnio lygio privilegijas 29 Saugumo spragos atsiranda projektuojant tinklą 29.1 Paliekama per daug atvirų interneto prievadų, suteikiant prieigą prie tinklo sistemų 29.2 Siekiant užvaldyti, apeinamas tinklo atskyrimas. Konkretus pavyzdys – neapsaugotų tinklų sietuvų arba prieigos taškų (pvz., sunkvežimio sietuvo su priekaba) naudojimas siekiant apeiti apsaugos priemones ir gauti prieigą prie kitų tinklo segmentų, kad būtų galima atlikti kenkimo veiksmus, pvz., siųsti savavališkus CAN magistralės pranešimus 31 Gali įvykti netyčinis duomenų perdavimas 31.1 Informacijos pažeidimas. Keičiantis automobilio naudotojui (pvz., parduodant automobilį arba automobilį išnuomojus naujam nuomininkui) gali būti nutekinami asmens duomenys 32 Sąlygos išpuoliui gali būti sudaromos fiziškai modifikuojant sistemas 32.1 Modifikuojama elektroninė aparatinė įranga, pvz., į transporto priemonę įmontuojama neleistina elektroninė aparatinė įranga ir taip sudaromos sąlygos komunikacijos perėmimo išpuoliui Autorizuota elektroninė aparatinė įranga (pvz., jutikliai) pakeičiama įmontuojant neautorizuotą elektroninę aparatinę įrangą Modifikuojama jutiklio renkama informacija (pavyzdžiui, naudojant magnetą neteisėtai pakeičiama prie pavarų dėžės prijungto Holo efekto jutiklio informacija)