Безопасность АВТОЛИС в GSM-сетях

В связи с распространенной, легальной услугой (надеемся, пока легальной) совершения звонков и отправки SMS с подменой номера телефона (https://yandex.ru/search/? ), рекомендуем включить в настройках системы обязательный Запрос кода при выполнении всех команд для всех абонентов системы, включая главного пользователя. Изначально, все GSM-команды в наших системах, связанные с полным снятием с охраны, переводом системы в режим ТО, выхода из него, блокировкой/разблокировкой двигателя - защищены обязательным вводом Кода управления, независимо от настроек системы. Не важно, каким образом отправляется команда системе: в режиме звонка, с помощью SMS или через мобильное приложение AUTOLIS, для этих команд требуется Код управления.

При попытке подобрать Код управления, система включает защиту от подбора - после 10-й неудачной попытки, перестает на 10 минут воспринимать код и сообщает о попытках подбора владельцу. Таким образом, в системах АВТОЛИС предусмотрена защита от попыток угона в случае кражи телефона главного пользователя или подделки его номера телефона.

Однако, исключительно для главного абонента системы есть возможность отправлять ряд команд, не подтверждая их кодом. С учетом того, что на данный момент номер главного абонента можно подделать, злоумышленники, позвонив системе с номера главного абонента, могут получить конфиденциальную информацию, касающуюся работы системы. Но для этого, злоумышленникам надо знать номер телефона главного абонента и номер телефона системы, скажете вы. Совершенно верно! Как они могут их получить? Самый простой способ – украсть ваш смартфон и изучить список контактов. Либо, например, развернуть около вашего автомобиля поддельную базовую станцию GSM, вызвать тревогу и перехватив тревожный звонок вам от автомобиля, получить номер телефона системы и номер того, кому система звонила. Если первый способ не требует никаких спец средств, то второй связан с наличием специального портативного оборудования и программного обеспечения, и такое оборудование, по нашим сведениям, существует.

30 ноября 2017 года в Госдуму РФ внесен законопроект, предусматривающий административную ответственность за подмену телефонных номеров. Согласно этому документу, операторы связи должны передавать истинный абонентский номер при установлении голосового соединения или доставке SMS. Надеемся, этот законопроект в ближайшем будущем будет принят и поможет ситуации, но при наличии технической возможности, злоумышленники могут подменять номера телефонов не легально, нарушая закон.

Разрабатывая наши системы, мы позаботились о безопасности использования GSM-связи и предусмотрели ряд настроек, которые позволяют защититься от попыток воздействовать на систему дистанционно.

1. Запрос Кода управления для всех абонентов системы. Как его включить? Есть три способа:

a. Самый простой – открыть мобильное приложение AUTOLIS (iOS, Android) и в Профиле автомобиля, в разделе Настройки/Передача команд/Безопасность включить Запрос кода.

При включенной настройке Запрос кода, система будет ожидать подтверждения выполнения команд PIN-кодом или Кодом управления. При звонке системе с любых номеров, включая номер главного пользователя, системой будет запрошен Код управления или PIN-код. Код управления - это первые два числа SERVICE-кода, указанного на карточке пользователя системы. PIN-код работает при отправке команд с любых номеров. Код управлнения действует при подтверждении команд, отправленных с зарегистрированных в системе номеров, и из приложения AUTOLIS.

б. Второй способ включить запрос кода - отправить системе SMS 33# 1 КУ, где КУ – это Код управления. Эта команда также включает запрос кода для всех пользователей, включая главного.

На фото 11*15 -пример Кода управления

в.Третий способ - на территории установочного центра подключиться к системе программой AUTOLIS Installer и включить запрос кода в разделе GSM1.

В этом случае все команды должны будут сопровождаться индивидуальным числовым Кодом управления или PIN-кодом, что не даст возможности злоумышленникам как-то воздействовать на систему дистанционно, посредством GSM, даже если им будут известны номера телефонов системы и главного пользователя. В системах, выпущенных в декабре 2017 года и в дальнейшем, запрос кода для всех абонентов включен по умолчанию.

При желании, Код управления можно изменить самостоятельно, с помощью SMS:

Формат SMS-команды:

30# XX*XX YY*YY (где ХX*XX – это действующий Кода управления, YY*YY – новый Код управления)

На фото 11*15 и 2*7 - примеры действующего и нового Кодов управления соответственно

2. Есть еще один нюанс. Злоумышленники должны знать, какая именно телематическая система установлена в автомобиле, чтобы действовать предметно. Для того чтобы скрыть эту информацию для всех звонящих на номер телефона системы с незарегистрированных номеров, в разделе GSM1 программатора есть настройка, позволяющая устанавливать соединение без голосового приветствия, либо не устанавливать соединение вовсе. Пользователи могут самостоятельно выполнить эту настройку с помощью SMS.

Формат SMS-команды:

84# X КУ (где Х – это значения 0 или 1 или 2), КУ – Код управления

0 - Устанавливается соединение с голосовым приветствием

1 - Устанавливается соединение без голосового приветствия

2 - Соединение не устанавливается

На фото 2*7 - пример Кода управления

3. Есть возможность полностью запретить снятие с охраны и включение Служебного режима ТО посредством GSM-каналов связи (в режиме звонка, SMS или через приложение). Управление в этом случае будет осуществляться только меткой AUTOLIS и/или служебным переключателем, установленным в автомобиле. Эта настройка выполняется только в разделе GSM1 программы AUTOLIS Installer.

4. Мобильное приложение AUTOLIS делает эксплуатацию системы значительно комфортнее. Работа приложения связана непосредственно с GSM-связью. Какие меры безопасности предусмотрены в нём? Прежде всего, рекомендуем выключить автоматический вход в приложение, чтобы исключить доступ в приложение, и соответственно, доступ к автомобилю через приложение, при краже вашего смартфона. В этом случае при открытии, приложение всегда будет запрашивать пароль, указанный вами при регистрации в приложении, или отпечаток вашего пальца, если этот функционал поддерживается смартфоном.