Sljedeća granica hakiranja automobila | doug newcomb

U posljednje vrijeme hakiranje automobila donijelo je mnogo naslova iako je zabilježen samo jedan incident (koji je prije pet godina bio posao iznutra).

Novije krađe automobila izvršili su ne kriminalci, već istraživači informatičke sigurnosti, koji su u posljednjih nekoliko tjedana pokazali kako doći do kritičnih kontrola Jeepa dok se kretao niz autocestu, igrali GM-ov daljinski program OnStar kako bi otvorili vrata automobila te daljinski pokrenuti motor i ugasiti motor Teslinog modela S. Ova akcija hakiranja stavila je u pogon povezane automobile proizvođača automobila i stavila ih na cilj izabranih dužnosnika i tužbi.

Pažnja se sada okrenula automobilskim uređajima koji se spajaju na tržnicu i koji se ugrađuju u ugrađeni dijagnostički port II vozila, također poznat kao OBD-II ključ. Uređaji postoje već nekoliko godina i omogućuju vlasnicima vozila proizvedenih nakon 1996. s priključkom ODB-II dodatnu povezanost. Nude ih tvrtke u rasponu od velikih auto osiguravatelja do desetak ili otprilike novih tvrtki za sve, od praćenja stilova vožnje i uštede goriva do praćenja tinejdžera dok su oni za volanom.

Spuštanje kočnica Corvette

Uoči sigurnosne konferencije ovog tjedna, istraživači sa Sveučilišta u Kaliforniji u San Diegu (UCSD) otkrili su kako su mogli bežično upasti u OBD-II ključ utaknut u Corvette pokojnog modela. Poslali su SMS poruke na uređaj koji je uključio brisače vjetrobranskog stakla i smanjio kočnice. Dok su istraživači primijetili da se hakiranje kočnica može izvoditi samo pri malim brzinama zbog načina na koji je vozilo dizajnirano, dodali su da bi napad lako mogao biti prilagođen gotovo bilo kojem modernom vozilu kako bi preuzeo kritične komponente poput upravljanja ili prijenosa.

"Neke smo nabavili, napravili ih obrnuto, a usput smo utvrdili da imaju čitav gomili sigurnosnih nedostataka", rekao je Stefan Savage, profesor računalne sigurnosti na UCSD-u koji je vodio projekt. Ključevi "pružaju više načina za daljinsko upravljanje gotovo svim stvarima na vozilu na koje su bili povezani", dodao je.

Hakirani OBD-II ključ izrađivala je francuska tvrtka Mobile Devices, ali distribuira ga Metromile, startno osiguranje iz sjedišta u San Franciscu, koje daje besplatni celijački OBD-II ključ kako bi kupci naplatili samo miljama driven.

Istraživači UCSD-a upozorili su Metromile na ranjivost donglea u lipnju, a tvrtka je navela da je bežično poslao sigurnosni zakrpa na uređaje. "To smo shvatili vrlo ozbiljno čim smo saznali", izjavio je direktor WTV-a Metromile Dan Preston za Wired .

Pa ipak, čak i nakon što je Metromile poslao sigurnosnu zakrpu, tisuće dong-ija su bile vidljive i još uvijek podložne hakaciji, uglavnom zato što ih je koristila španjolska kompanija za upravljanje voznim parkom Coordina. U izjavi matične tvrtke TomTom Telematics, Coordina je rekla da je istražila napad istraživača i otkrila da se ona odnosi samo na stariju verziju dongla koje tvrtka koristi. Sada je u tijeku zamjena "ograničenog broja" tih uređaja.

Tvrtka je također primijetila da telefonski broj dodijeljen SIM karticama u svojim uređajima nije javni i ne može se kontaktirati putem tekstualne poruke, kao u napadu istraživača UCSD-a. No istraživači su se suprotstavili da su i bez poznavanja telefonskog broja SIM kartice dongle podložne napadima brutalnim silama slanjem baraža tekstualnih poruka.

Iako su nedavnim hakiranjima proizvodnih automobila bili potrebni mjeseci za udaljeni ili potrebni fizički pristup vozilu, sigurnosne ranjivosti OBD-II ključeva povezane s oblakom poznate su već nekoliko mjeseci i čini se da ih je puno lakše hakirati. A problem nije ograničen na proizvode mobilnih uređaja. U siječnju je istraživač sigurnosti Corey Thuen uspio hakirati progresivni Snapshot uređaj, dok su istraživači tvrtke za cyber-sigurnost Argus otkrili nedostatke sigurnosti s Zubie OBD-II uređajem.

Istraživači su primijetili da se potencijalni hakeri nisu ograničeni na Corvette koja se koristi u njihovim testovima, te da bi oni mogli zamisliti otmicu upravljača ili kočnice gotovo svakog modernog vozila s aparatom Mobile Devices koji je uključen u crtu. "Nije samo ovaj automobil ranjiv", rekao je Karl Koscher, istraživač UCSD-a.

Kao i kod povezanih automobila proizvođača automobila, još uvijek nije zabilježeno zlonamjerno hakiranje vozila s OBD-II ključem. No, istraživači vjeruju da je prijetnja stvarna i napominju da, za razliku od povezanosti u proizvodnim automobilima, ne postoji vladin nadzor nad pretprodajnim uređajima.

"Imamo čitavu gomilu ovih koja su već na tržištu", dodao je Savage. "S obzirom na to da smo vidjeli potpuni daljinski iskorištavanje i te stvari nisu ni na koji način regulirane, a njihova upotreba raste… Mislim da je to poštena procjena da će negdje drugdje biti problema."

"Dvaput razmislite o tome što ste uključili u svoj automobil", upozorio je Koscher. "Teško je običnom potrošaču znati da je njihov uređaj pouzdan ili ne, ali to je nešto o čemu bi trebali razmišljati. Da li me to izlaže više riziku?"

To je pitanje koje potrošači postavljaju već godinama, a sada će ih morati pitati i vozači koji svoj automobil žele povezati s oblakom preko OBD-II ključa.