Norjan joukkoliikenneviranomainen Ruter ei tyytynyt pelkkään paperitarkastukseen halutessaan selvittää, voisivatko sen sähköbussit joutua etäisesti häirityiksi. Se siirsi uuden Yutong-bussin ja kolmen vuoden ikäisen VDL-bussin eristyksiin vuoren sisälle, ja antoi sitten turvallisuustekniikoiden tutkia, miten kukin ajoneuvo kommunikoi ulkomaailman kanssa.
Otsikkolöytö kuulostaa huolestuttavalta, mutta yksityiskohtiin on syytä kiinnittää huomiota. Romaniasta peräisin oleva SIM-kortti ei ollut itsessään fyysinen “sammutuskytkin”. Se tarjosi matkapuhelinverkko-yhteyden Yutong-bussin akku- ja energianhallintajärjestelmiin, antaen valmistajalle pääsyn laillisille päivityksille ja diagnoosille samalla luoden teoreettisen mahdollisuuden pysäyttää bussi tai estää sen toiminta.
Ruter tutki kahta riskiä. Voitaisiinko alustan kameroita käyttää valvontaan, ja voitaisiinko bussien yhteydessä olevia järjestelmiä hyödyntää toimintojen häirintään? Kamerit läpäisivät testin, koska ne eivät olleet yhteydessä internetiin, mikä tarkoitti, että niiden kuvia ei voitu yksinkertaisesti lähettää ajoneuvojen ulkopuolelle.
Bussit käsittelivät ohjelmistoja hyvin eri tavalla. Vanhempi VDL ei voinut vastaanottaa langattomia päivityksiä, kun taas uusi Yutong pystyi siihen, ja sen mobiiliyhteys käytti romaniaista SIM-korttia päästäkseen akku- ja virtalähdejärjestelmiin. Tämä moderni kätevyys oli myös se, mikä huolestutti tutkijoita.
Hyviä uutisia kuitenkin löytyi. Ruter havaitsi, että bussin eri järjestelmien välillä oli vähän integraatiota ja vain yksi reitti ulkomaailman ja kriittisten toimintojen välillä, mikä teki tuosta polusta helpommin eristettävän, seurattavan tai viivästytettävän päivityksen tarkastamisen aikana.
Tutkijat löysivät myös haavoittuvuuksia Yutongin ja muiden asiakkaiden käyttämässä kiinalaisessa päivitysalustassa, mutta nämä ongelmat raportoitiin ja korjattiin ennen kuin havainnot julkaistiin.
Tämä oli riskitesti, ei todiste sabotaasista
Ei ole todisteita siitä, että Yutong olisi sulkenut bussia, yrittänyt häiritä Ruterin kalustoa tai käyttänyt kameroita vakoiluun. Busseja ei voi ohjata etäisesti, ja Ruterin johtopäätös oli tarkoituksella kapeampi. Valmistajan pääsy akku- ja virtakontrolleihin voisi teoreettisesti johtaa väärinkäytöksiin toimittajalta, hakkerilta tai henkilöltä, joka olisi vaarantanut päivitysketjun.
Yutong on ilmoittanut, että sen eurooppalaiset ajoneuvotiedot ovat salattuja, tallennettu Frankfurtissa ja niitä käytetään huoltoon ja palveluihin asiakkaan luvalla. Ruter antoi yhtiölle raportin ennen julkaisua ja ilmoitti, että Yutongin tarkennukset toivat lisäkontekstia ilman, että ne muuttaisivat keskeisiä teknisiä havaintoja.
Tämä ero on tärkeä. Romaniaan rekisteröity SIM-kortti ei todista, että komennot olisivat peräisin Romaniasta tai Kiinasta, aivan kuten Yhdysvaltain puhelinnumero ei paljasta, missä jokainen sovelluksen taustalla oleva pilvipalvelu sijaitsee. Turvallisuusongelma liittyy pysyvään yhteyteen ja siihen liittyvään valtaan.
Etävaikutus ajoneuvoon ei ole eksoottinen kiinalainen ominaisuus. General Motorsin mukaan OnStar voi estää varastetun ajoneuvon uudelleenkäynnistämisen, vähentää sen nopeuden tyhjäkäynnille samalla, kun jarrutus ja ohjaus säilyvät, sekä antaa valtuutetuille kalustonhoitajille mahdollisuuden etäisesti estää ajoneuvoja Drive Blockin kautta. Nämä työkalut on suunniteltu turvallisuutta ja varkauksien palauttamista varten, ei sabotaasiksi.
Mikä tekee kaupunkibussikalustosta erilaisen? Suuruus, hallinto ja julkinen riippuvuus. Yksi etäisesti estetty henkilöauto on onnettomuus, kun taas kymmenien bussien samanaikainen vikaantuminen voisi keskeyttää työmatkat, koulumatkat, sairaaloiden pääsyn ja hätäliikkumisen koko alueella.
Oikea kysymys ei ole vain se, voiko valmistaja tavoittaa ajoneuvon. Kyse on siitä, kuka voi hyväksyä komennon, mitä tietoja luodaan, voiko omistaja peruuttaa pääsyn ja miten ajoneuvo käyttäytyy, kun sen pilviyhteys katkeaa. Juuri tässä mukavuus muuttuu kriittiseksi infrastruktuuripolitiikaksi.
Molemmat Ruterin testissä olleet ajoneuvot olivat nollapäästöbusseja, ja viranomainen korosti, että huoli liittyi liitettyyn teknologiaan eikä sähköiseen voimaan tai valmistajan kansallisuuteen.
Langattomat päivityspalvelut voivat nopeasti korjata vikoja, parantaa energianhallintaa ja pitää bussin poissa korjaamosta. Kenellekään, joka on odottanut viikkoja ohjelmistoon liittyvää korjausta, ei tarvitse selittää houkutusta.
Kuitenkin, mitä vihreämmäksi kaupungin kalusto tulee, sitä enemmän sen ilmastostrategia voi riippua ohjelmistosta, joka on kirjoitettu, isännöity ja päivitetty kaupungin suorasta kontrollista riippumatta. Bussi ei ole enää vain akku pyörillä. Suureksi osaksi se on liikkuva tietokone, joka sattuu kuljettamaan matkustajia.
Yhdysvaltain turvallisuusviranomaiset suosittelevat kerroksellisia puolustuskeinoja langattomien ja langallisten pääsykohtien ympärille, erityisellä suojauksella turvallisuuslehmille kriittisille ohjauksille. Verkkosegmentointi, paikalliset palomuurit, todennetut päivitykset, tapahtumalokit, palautussuunnitelmat ja turvallinen offline-tila ovat suositeltuja. Ruterin suunnitelma tarkistaa tai viivästyttää saapuvia päivityksiä seuraa tätä samaa peruslogiikkaa.
Washington piirtää samanlaista rajaa
Yhdysvallat rajoittaa joitakin liitettyyn ajoneuvoteknologiaan liittyviä ohjelmistoja ja laitteistoja, jotka ovat yhteydessä Kiinaan ja Venäjään. Kauppaministeriön sääntö astuu voimaan 2027 mallivuodesta alkaen koskien katettavia ohjelmistoja ja valmistajia, ja 2030 mallivuodesta katettavan yhteyden laitteistoa. Nykyinen sääntö koskee alle 10,001 paunan painoisia ajoneuvoja.
Kongressi harkitsee laajempaa vastausta. 22. heinäkuuta 2026 Senaatin kaupallisuuskomitea edisti Connected Vehicle Security Act of 2026 -lakiesitystä äänestämällä. Viimeisin virallinen toimenpide 9. elokuuta oli, että muutettu lakiesitys oli tilattu raportoimaan myönteisesti, mikä tarkoittaa, että se ei ollut vielä tullut lakiin.
Artikkeli käsittelee Norjan liikennelaitoksen Ruterin testaamaa kiinalaista Yutong-bussia, joka toimitettiin vuoren sisällä sijaitsevaan eristyneeseen testilaitokseen. Testin aikana löydettiin Romanian rekisteröity SIM-kortti, joka mahdollisti yhteydet bussiin ja sen akku- sekä energianhallintajärjestelmiin. Vaikka löydös kuulostaa huolestuttavalta, Ruterin tutkimuksessa ei ollut todisteita sabotaasista tai vakoilusta.
Ruter tarkasteli kahta riskiä: voiko bussin kameroita käyttää valvontaan ja voiko bussin liitettyjä järjestelmiä hyödyntää toimintojen häirintään. Kameroita ei ollut yhdistetty internetiin, joten niiden kuvia ei voitu lähettää ulos ajoneuvosta. Testissä havaittiin, että vanhempi VDL-bussi ei saanut langattomia päivityksiä, mutta uusi Yutong-bussi pystyi siihen, mikä herätti huolta.
Yleisesti ottaen testaaminen toi esiin, että Ruterin kaluston eri järjestelmien välillä oli vain vähän integraatiota. Tämä mahdollistaa helpomman eristämisen ja valvonnan, mikäli päivityksiä tarkastellaan.
Artikkelissa käsitellään myös, kuinka etäohjauksen mahdollisuus ajoneuvoissa ei ole vain kiinalaisten valmistajien ominaisuus; esimerkiksi General Motorsin OnStar-järjestelmä voi estää varastetun ajoneuvon uudelleenkäynnistämisen tai päästää valtuutetut kalustonhoitajat etäisesti estämään ajoneuvoja.
Lopuksi Ruterin havaintoja suositellaan kaikenlaisten liikennejärjestöjen, koulupiirien ja muiden suurten ostajien käyttöön, jotka haluavat varmistaa, että heidän hankkimansa ajoneuvot täyttävät tietoturvavaatimukset ja että kaikki etäkäyttöoikeudet ja -prosessit kartoitetaan ennen sopimusten solmimista.
Puhtaan liikenteen siirtymä ei vaadi vähemmän liitettyjä busseja. Se tarvitsee busseja, joiden digitaaliset avaimet ovat vastuullisia niitä käyttävistä ihmisistä.
Virallinen tekninen tietoturvaraportti julkaistiin Ruterilla.
