Удалённый доступ к электробусам: кто может управлять китайским транспортом в Казахстане
В Европе китайские электроавтобусы заподозрили в наличии функций удалённого доступа и даже проверяли, можно ли остановить их на расстоянии. Корреспондент BES.media выяснила, есть ли такие возможности у автобусов, которые уже несколько лет ездят по Казахстану. Ответы оказались неоднозначными.
мягкое внедрение, или как запереживали в Норвегии
Свежие зелёные автобусы фирмы Yutong, колесящие по крупным городам Казахстана, закупают в Китае. Почти такие же автобусы, но с некоторыми инженерными отличиями, как оказалось, катаются и по Европе.
В Дании, Норвегии, Нидерландах и даже в Великобритании у автобусов китайского производства на электрической тяге был большой набор функций, который позволял контролировать транспорт прямиком из Китая. Обнаружив небезопасную лазейку, власти Норвегии начали расследование.
"Расследование проводится после того, как транспортные власти Норвегии, где также обслуживают автобусы Yutong, обнаружили, что китайский поставщик имел удалённый доступ для обновления программного обеспечения и диагностики систем управления транспортными средствами, которые могут быть использованы для воздействия на автобусы во время транспортировки", – писало издание The Guardian.
Всё дело в специальных SIM-картах внутри транспорта. Норвежцы провели испытания и выяснили, что при желании автобус можно удалённо остановить. Правда, эту небезопасную функцию можно отключить, удалив ту самую SIM-карту. Однако тогда будет ограничен доступ к другим критически важным системам.
В итоге норвежцы передумали вытаскивать SIM-карты и согласились на риск, но с условием, что производитель обеспечит для следующих партий транспорта локальный контроль над системой. Это значит, что доступ к питанию и управлению двигателя будет защищён внутренними цифровыми фильтрами.Тогда же власти Норвегии подчеркнули, что понимают – удалённая система управления устроена так без намерения контроля и злоупотребления, то есть уязвимость для удалённого взлома будет как минимум снижена, но диспетчерская связь с автобусом сохранится.
В компании Yutong в свою очередь заверили клиентов, что соблюдают законы ЕС: данные европейских электробусов хранятся в зашифрованном виде на серверах во Франкфурте. И используют их только для того, чтобы обслуживать транспорт. А доступ можно получить исключительно с разрешения клиента.
Но точно такие же автобусы Yutong уже несколько лет ездят по улицам Алматы и Астаны. Это тысячи единиц общественного транспорта. И здесь возникают вопросы: есть ли у казахстанских автобусов функции удалённого доступа и кто в действительности контролирует их цифровые системы?
Так, но не совсем так
Редакция BES.media разослала запросы во все инстанции, которые могли бы прояснить ситуацию. Вопросы отправили и производителю – китайской компании Yutong. Ответа от неё на момент публикации не поступило. Зато в министерстве транспорта рассказали, как в Казахстане контролируют безопасность общественного транспорта и его цифровых систем.
Итак, всего по Казахстану сейчас катается 7179 автобусов Yutong. Это те, которые c момента запуска выпустил отечественный завод QazTehna (завод запустили в 2020 году под Карагандой – в Сарани). Но какая часть из них электрический транспорт, в министерстве не уточнили. Также в ответе не указано, сколько этих автобусов приходится на каждый регион.
В минтранспорта об обеспокоенности в Европе в связи со всемогущим софтом знают и даже прокомментировали эту ситуацию так:
"Функция онлайн-обновления програмного обеспечения (OTA) не является обязательной, и компания Yutong может отключить её на этапе производства в соответствии с потребностями клиента. Проданные в Европе транспортные средства Yutong поддерживают удалённое управление функциями по запросу клиента, связанными с комфортом, например, предварительное включение кондиционера. Клиенты могут использовать личную учётную запись для входа в систему и управления эксплуатацией автопарка. Без разрешения и авторизации клиента никто не может получить доступ к системе или осуществлять управление. Проданные в Европе транспортные средства Yutong не имеют возможности удалённого управления ускорением, рулевым управлением и торможением автомобиля", – неожиданно объяснили в министерстве.
То есть в Норвегии зря подняли тревогу? Удалённо можно лишь обновить программное обеспечение или, условно, включить кондиционер? В министерстве транспорта считают, что именно так. Там подчёркивают: современные системы онлайн-обновлений давно стали мировым стандартом и используются для улучшения программного обеспечения, диагностики и обслуживания техники, а не для удалённого управления движением автобуса.
"Онлайн-обновление программного обеспечения постепенно становится стандартной функцией современных электромобилей, поскольку этот способ более эффективный и удобный", – уверены в министерстве.
Полагаться только на добросовестность производителя нельзя. Поэтому в автобусах используют современные технологии шифрования и аппаратные модули безопасности, а сами системы должны соответствовать международным требованиям ООН в области кибербезопасности – UN R155 и UN R156. Без разрешения клиента получить доступ к управлению или персональным данным, как утверждают чиновники, невозможно.
Но есть важный нюанс. В казахстанском законодательстве нет отдельной нормы, которая прямо запрещала бы производителю удалённо вмешиваться в работу транспортных средств – например, одновременно отключить все автобусы определённой модели. Это вовсе не означает, что такая возможность существует. Однако и прямого законодательного запрета на подобный сценарий редакции обнаружить не удалось.
"В действующих технических регламентах требования к цифровой (кибер-) безопасности транспортных средств носят фрагментарный и общий характер. Специальные нормы, прямо направленные на исключение возможности дистанционного отключения или несанкционированного удалённого управления общественным транспортом, в настоящее время отсутствуют", – признали в министерстве.
Ориентируются на международные нормы и сертификаты, которые у компании Yutong есть. Что касается мер в случае угрозы, то здесь всё, как в Норвегии: любое обновление программного обеспечения происходит только после уведомления и подтверждения со стороны клиента.
Более того, если у владельца всё же остаются сомнения, он может физически отключить сетевой модуль или извлечь SIM-карту. В министерстве уверяют, что на работу автобуса это не повлияет, зато полностью лишит его связи с внешней сетью. Поводов сомневаться в добросовестности производителя, по словам чиновников, до сих пор не возникало.
В ведомстве также подчёркивают, что ключевые системы безопасности работают автономно. Тормозные системы Wabco и Knorr, а также рулевое управление Bosch не подключены к каналам удалённого управления и подчиняются исключительно действиям водителя.
"Поскольку возможность удалённого воздействия на вождение исключена на уровне конструкции и подтверждена международными сертификатами кибербезопасности, проведение специальных проверок на данный момент не предусмотрено", – ответили в министерстве.
Астана
В столице порядка тысячи автобусов, но, как заверяют в управлении транспорта, никакого удалёного доступа в астанинским автобусам нет вообще ни у кого. В столичном общественном транспорте отсутствуют сетевые модули и SIM-карты, которые позволяли бы получить к ним дистанционный доступ.
Все системы, отвечающие за движение (управление двигателем, тормозами и питанием), являются полностью автономными и замкнутыми. У них нет выхода в интернет, поэтому их невозможно заблокировать извне.
"При приёмке техники проверялось отсутствие функций удалённой блокировки, доступных третьим лицам за пределами эксплуатирующей организации", – подчеркнули в управлении Астаны.
Всего в столице насчитывается 1075 таких автобусов. Большинство из них (920 единиц) стоят в государственных автопарках, а оставшиеся 155 принадлежат частным перевозчикам. По данным ведомства, автобусы этой фирмы ходят почти на 70 маршрутных ветках.
Точная стоимость закупки всего транспорта, как сказали в управлении транспорта Астаны, – коммерческая тайна (согласно условиям договора лизинга).
"100 электробусов Yutong модели E12 прибыли в Казахстан. В первой партии 20 электробусов уже введены в эксплуатацию в Нур-Султане – второй самой холодной столице мира. Остальные электробусы также будут вводиться в эксплуатацию один за другим", – сообщала компания в 2020 году.
Алматы
Около 370 машин китайского производства принадлежат государственному автопарку "Алматыэлектротранс", а ещё около 500 единиц эксплуатируют частные перевозчики.
Сколько именно бюджетных денег потратили на автобусы этой марки, в управлении организации дорожного движения редакции не сообщили, предложив самостоятельно изучить данные портала государственных закупок.
Для подсчёта редакция взяла 2025 год. За это время ТОО "QazTehna", которое собирает автобусы Yutong в Казахстане, заключило 34 договора с государственными органами и организациями по всей стране. Из них 20 контрактов являются действующими либо уже исполнены.
Из них конкретно сумма сделок с Алматы составила 33 млрд 715 млн и 520 тысяч тенге. Что покупали у QazTehna?
Для управления экологии и окружающей среды Алматы:
- Автомобиль мусоровоз с крано-манипуляторной установкой (166,6 млн тенге).
Для управления организации дорожного движения и пассажирского транспорта Алматы:
- Приобретение газовых автобусов для обслуживания городских маршрутов (12 метров). Купили 320 штук, один стоит 104,6 млн тенге (итого 33 млрд 478 млн тенге).
Для ТОО "Eco Almaty":
- Специализированный коммунально-уборочный автомобиль (70,4 млн тенге).
Массовые закупки автобусов проводили и в 2023 и 2024 году, тогда тратили сотни миллиардов тенге:
"На регулярных маршрутах города Алматы задействованы электробусы марки Skywell и Golden Dragon. Электробусов, принадлежащих марке Yutong, не имеется".
Казалось бы, угроза исключена. Но всё не так однозначно.
Во время расследования, о котором редакция рассказывала в начале материала, власти Дании пришли к выводу, что вопрос касается не только отдельных производителей, а в целом использования китайского программного обеспечения и электронных компонентов. На тот момент в стране эксплуатировалось 469 китайских электробусов, из которых 262 были произведены Yutong.
Эксперты отмечали, что современные электробусы, как и электромобили в целом, технически могут иметь функции удалённого управления или блокировки, если их системы подключены к Сети. При этом потенциальные риски связаны не столько с конкретной маркой транспорта, сколько с архитектурой программного обеспечения, используемой электроникой и степенью контроля над цифровыми системами.
Астане и Алматы переживать не нужно, а кому нужно?
И вот получается, что в Астане в автобусах запросили другой функционал для электронного транспорта, а в Алматы этих автобусов электронных нет (но есть другой фирмы, где в целом та же система). Так где же они катаются? Неужели данные шифруются для пассажиров Аркалыка или Балхаша?
На сайте QazTehna есть пять видов электроавтобусов Yutong.
В 2023 году сама компания хвасталась, что партия 18-метровых электробусов отправилась в Казахстан. Если поискать публикации в интернете, то окажется, что те самые электробусы Yutong курсировали и в Караганде, и в Актау, и даже в Павлодаре.
Предусмотрели ли там условия кибербезопасности, как при лизинге в Астане, – большой вопрос.
Контекст
Сокращение срока эксплуатации этих самых автобусов в алматинском управлении дорожного транспорта недавно преподнесли как большую победу. Теперь, мол, они катаются по городу не дольше двух лет, а потом их продают регионам, ими там заменяют ещё более старый транспорт. То есть постепенно, по логике вещей, китайский производитель будет доминировать по всему Казахстану. Но пока Казахстан с Китаем дружен, опасаться, наверное, нечего?
