Chiński SUV elektryczny NIO ES8 łączy się z serwerami w Chinach mimo izolacji

Badacze z Norwegii przeprowadzili testy elektrycznego SUV-a NIO ES8, wjeżdżając nim do podziemnej kopalni, aby odciąć pojazd od zewnętrznych połączeń sieciowych. Pomimo braku zasięgu samochód nadal próbował łączyć się z serwerami, z których większość znajdowała się w Chinach.

Projekt Lion Cage, rozpoczęty w 2022 roku przez Tora Indstøya z Telenor Group, monitorował ruch sieciowy NIO ES8 przez około 2,5 roku. Indstøy zakupił ten model specjalnie na potrzeby badań. W trakcie monitoringu ustalono, że około 90 proc. połączeń wychodzących z pojazdu kierowanych było do serwerów zlokalizowanych w Chinach. Pozostała część ruchu sieciowego trafiała do infrastruktury w Niemczech, Stanach Zjednoczonych, Holandii i Szwajcarii.

Analiza ruchu sieciowego i kwestie bezpieczeństwa danych

Ruch sieciowy był szyfrowany, co uniemożliwiło badaczom dostęp do treści przesyłanych danych. Mimo to możliwe było określenie miejsc docelowych połączeń oraz ilości przesyłanych informacji. Nie znaleziono dowodów na przesyłanie konkretnych danych osobowych ani na to, że NIO przekazuje poufne informacje chińskim władzom.

Producent NIO informował swoich europejskich klientów, że dane są przetwarzane lokalnie, w Europie. Zaobserwowany schemat połączeń sieciowych stawia to zapewnienie pod znakiem zapytania, jednak brak dostępu do zawartości pakietów danych ogranicza możliwość weryfikacji tych informacji.

Testy chińskiego autobusu Yutong i reakcja Norwegii

Równolegle do badań nad NIO ES8, norweski operator transportu publicznego Ruter przeprowadził testy chińskiego autobusu elektrycznego Yutong w podziemnej kopalni. Autobus wyposażony był w rumuńską kartę SIM i zaprojektowany był tak, aby umożliwiać zdalne aktualizacje oprogramowania oraz diagnostykę przez sieć komórkową.

Testy wykazały, że producent miał dostęp do systemów zarządzania baterią i zasilaniem autobusu, co w teorii mogłoby pozwolić na zdalne unieruchomienie pojazdu. W badaniu uczestniczyli również doradcy z University of South-Eastern Norway.

Ruter podkreślił, że kamery w autobusie Yutong nie były podłączone do internetu i nie mogły być wykorzystywane do zdalnej obserwacji. Nie znaleziono dowodów na niewłaściwe wykorzystanie systemów pojazdu.

Po opublikowaniu wyników testów firma Yutong oraz dostawcy platform usunęli wskazane luki bezpieczeństwa. Norwegia zaostrzyła następnie wymagania dotyczące cyberbezpieczeństwa przy zakupie pojazdów dla transportu publicznego.

W porównaniu do chińskiego autobusu, testowany w tym samym czasie autobus holenderskiego producenta VDL nie posiadał możliwości zdalnej aktualizacji oprogramowania ani stałego połączenia zdalnego, a tym samym był mniej narażony na ingerencję zdalną.

Aspekty prawne i systemowe łączności pojazdów elektrycznych

Zdalna łączność i aktualizacje oprogramowania przez internet są standardem we współczesnych samochodach elektrycznych. Producent NIO wskazuje, że podobne rozwiązania stosują również Tesla i inni zachodni producenci.

Chińska ustawa o bezpieczeństwie narodowym i wywiadzie nakłada na organizacje podlegające chińskiej jurysdykcji obowiązek współpracy z państwowymi służbami wywiadowczymi, jeśli zostaną do tego wezwane. Ten obowiązek prawny dotyczy również firm produkujących pojazdy elektryczne.

Argument producentów pojazdów chińskich opiera się na zapewnieniach, że dane klientów europejskich są przetwarzane lokalnie, jednak badania ruchu sieciowego NIO ES8 pokazują, że większość połączeń kierowana jest do Chin.

Reakcja Norwegii na wyniki testów przypomina podejście stosowane wcześniej wobec chińskiej firmy Huawei w kontekście sieci 5G oraz ograniczeń dotyczących wykorzystywania usług chmurowych dużych dostawców do przetwarzania wrażliwych danych przez instytucje publiczne w Europie.

W debacie pojawia się pytanie o to, kto w świetle prawa mógłby zostać zmuszony do przekazania danych lub umożliwienia zdalnego dostępu do pojazdów, gdyby zażądały tego władze państwowe.

Badania i testy przeprowadzone w Norwegii dotyczą zarówno aspektów technicznych, jak i prawnych związanych z łącznością i bezpieczeństwem danych w pojazdach elektrycznych pochodzących z Chin.

Projekt Lion Cage oraz testy Ruter stanowią przykład monitorowania i analizy ryzyka związanego z wykorzystaniem chińskich pojazdów elektrycznych na europejskich rynkach.