De volgende grens in het hacken van auto's | doug nieuwkomer

Het hacken van auto's heeft de laatste tijd veel krantenkoppen gehaald, ook al is er maar één gedocumenteerd incident geweest (dat vijf jaar geleden een interne taak was).

De recentere autohacks werden niet door criminelen uitgevoerd, maar door IT-beveiligingsonderzoekers, die in de afgelopen weken hebben laten zien hoe ze toegang kunnen krijgen tot de kritieke bedieningselementen van een Jeep terwijl deze over de snelweg rolde, gamed GM's OnStar-app op afstand om de deuren van een auto te openen en op afstand de motor starten en de motor van een Tesla Model S uitschakelen. Deze hackactie heeft de verbonden auto-inspanningen van autofabrikanten in de schijnwerpers gezet en hen het doelwit van gekozen functionarissen en rechtszaken gemaakt.

Nu is de aandacht gericht op aftermarket verbonden auto-apparaten die worden aangesloten op de Onboard Diagnostic Port II van een voertuig, ook bekend als OBD-II-dongles. De apparaten bestaan ​​al enkele jaren en laten eigenaars van voertuigen die na 1996 zijn vervaardigd met een ODB-II-poort connectiviteit toevoegen. Ze worden aangeboden door bedrijven, variërend van grote autoverzekeraars tot een tiental startups voor alles, van het controleren van rijstijlen en brandstofverbruik tot het volgen van tieners terwijl ze achter het stuur zitten.

Remmen van een korvet afsnijden

Vooruitlopend op een beveiligingsconferentie deze week, onthulden onderzoekers van de Universiteit van Californië in San Diego (UCSD) hoe ze in staat waren om draadloos een OBD-II-dongle te hacken die was aangesloten op een laat model Corvette. Ze stuurden sms-berichten naar een apparaat dat de ruitenwissers van de auto inschakelde en remden. Hoewel de onderzoekers opmerkten dat het remmen van de remmen alleen bij lage snelheden kon worden uitgevoerd vanwege de manier waarop het voertuig is ontworpen, voegden ze eraan toe dat de aanval gemakkelijk kon worden aangepast aan bijna elk modern voertuig om kritieke componenten zoals stuurinrichting of de transmissie over te nemen.

"We hebben een aantal van deze overgenomen, reverse-engineered ze en ontdekten onderweg dat ze een hele reeks beveiligingstekorten hadden", zegt Stefan Savage, een professor in computerbeveiliging bij UCSD die het project leidde. De dongles "bieden meerdere manieren om op afstand… bijna alles te besturen op het voertuig waarmee ze waren verbonden, " voegde hij eraan toe.

De gehackte OBD-II-dongle is gemaakt door het Franse bedrijf Mobile Devices, maar wordt gedistribueerd door Metromile, een in San Francisco gevestigd autoverzekeringsbedrijf dat een gratis, via een mobiel verbonden OBD-II-dongle weggeeft om klanten slechts kilometers in rekening te brengen gereden.

De UCSD-onderzoekers waarschuwden Metromile voor de kwetsbaarheid van de dongle in juni en het bedrijf zei dat het draadloos een beveiligingspatch naar de apparaten stuurde. "We namen dit zeer serieus zodra we erachter kwamen, " vertelde Dan Preston, CEO van Metromile, aan Wired .

Maar zelfs nadat Metromile zijn beveiligingspatch had verstuurd, waren duizenden dongles zichtbaar en nog steeds te hacken, voornamelijk omdat ze werden gebruikt door het Spaanse fleetmanagementbedrijf Coordina. In een verklaring van moederbedrijf TomTom Telematics zei Coordina dat het de aanval van de onderzoekers onderzocht en ontdekte dat het alleen van toepassing was op een oudere versie van de dongles die het bedrijf gebruikt. Het is nu bezig met het vervangen van een "beperkt aantal" van die apparaten.

Het bedrijf merkte ook op dat het telefoonnummer dat is toegewezen aan SIM-kaarten in zijn apparaten niet openbaar is en niet via sms kan worden gecontacteerd, zoals bij de aanval door de UCSD-onderzoekers. Maar de onderzoekers stelden tegen dat zelfs zonder het telefoonnummer van een SIM-kaart te weten, de dongles vatbaar zijn voor brute-force aanvallen door een spervuur ​​van sms-berichten te sturen.

Hoewel de recente hacks van productieauto's maanden nodig hebben gehad om op afstand te kunnen uitvoeren of fysieke toegang tot het voertuig nodig hadden, zijn de beveiligingskwetsbaarheden van cloud-verbonden OBD-II-dongles al enkele maanden bekend en lijken veel gemakkelijker te hacken. En het probleem is niet beperkt tot producten voor mobiele apparaten. In januari kon beveiligingsonderzoeker Corey Thuen het Snapshot-apparaat van Progressive hacken, terwijl onderzoekers van het cyberbeveiligingsbedrijf Argus beveiligingsfouten ontdekten met het Zubie OBD-II-apparaat.

De onderzoekers merkten op dat potentiële hacks niet beperkt zijn tot de Corvette die in hun tests werd gebruikt, en dat ze mogelijk de besturing of remmen van zowat elk modern voertuig konden kapen met een dongle voor mobiele apparaten die op het dashboard was aangesloten. "Het is niet alleen deze auto die kwetsbaar is", zei UCSD-onderzoeker Karl Koscher.

Net als bij verbonden auto's van autofabrikanten, is er nog geen gedocumenteerde kwaadaardige hack van een voertuig met een OBD-II-dongle geweest. Maar de onderzoekers geloven dat de dreiging reëel is en merken op dat, in tegenstelling tot connectiviteit in productieauto's, er geen overheidstoezicht is op aftermarket-apparaten.

"We hebben er heel veel die al op de markt zijn, " voegde Savage toe. "Gezien het feit dat we een volledige exploit op afstand hebben gezien en deze dingen op geen enkele manier gereguleerd zijn en hun gebruik groeit… Ik denk dat het een eerlijke inschatting is dat er elders problemen zullen zijn."

"Denk twee keer na over wat u op uw auto aansluit, " waarschuwde Koscher. "Het is moeilijk voor de gewone consument om te weten dat hun apparaat betrouwbaar is of niet, maar het is iets waar ze even over na moeten denken. Stelt dit me bloot aan meer risico?"

Het is een vraag die consumenten al jaren stellen, en bestuurders die hun auto via OBD-II-dongle met de cloud willen verbinden, moeten dit nu ook stellen.