Naslednja meja v kraje avtomobilov | doug novinec

V krajih avtomobilov se je v zadnjem času pojavilo veliko naslovov, čeprav je prišlo le do enega dokumentiranega incidenta (ki je bil pred petimi leti znotraj službe).

Novejše kraje avtomobilov so izvedli ne kriminalisti, temveč raziskovalci informacijske varnosti, ki so v zadnjih tednih pokazali, kako pridobiti dostop do kritičnega nadzora Jeepa, ko se je vozil po avtocesti, predvajali GM-jevo oddaljeno aplikacijo OnStar za odpiranje vrat avtomobila in na daljavo zagnati motor ter ugasniti motor Teslovega modela S. Ta hekerski ukrep je v središče pozornosti postavil povezana avtomobilska prizadevanja avtomobilov in jih postavil v tarčo izvoljenih uradnikov in tožb.

Zdaj se je pozornost usmerila na avtomobilske naprave, povezane s poprodajnimi cenami, ki se vtaknejo v vozilo na vozilu Diagnostic Port II, znano tudi kot OBD-II ključe. Naprave so že nekaj let in lastnikom vozil, izdelanih po letu 1996, z vmesnikom ODB-II dodajo povezljivost. Ponujajo jih podjetja, ki segajo od velikih avtomobilskih zavarovalnic do ducata ali približno toliko start-upov za vse, od spremljanja voznih stilov in porabe goriva do sledenja najstnikom, ko so za volanom.

Rezanje zavor Corvette

Pred varnostno konferenco v tem tednu so raziskovalci iz kalifornijske univerze v San Diegu (UCSD) razkrili, kako so lahko brezžično vdrli v ključ OBD-II, vtaknjen v Corvette poznega modela. Pošiljali so SMS sporočila napravi, ki je vklopila brisalce avtomobila in rezala zavore. Medtem ko so raziskovalci ugotavljali, da bi bilo mogoče zaklepanje zavor izvajati le pri nizkih hitrostih zaradi načina oblikovanja vozila, so dodali, da bi napad zlahka prilagodili skoraj vsakemu sodobnemu vozilu, ki bi prevzelo kritične komponente, kot sta krmiljenje ali menjalnik.

"Nekaj ​​od teh smo pridobili, jih obrnili in ob poti ugotovili, da imajo cel kup varnostnih pomanjkljivosti, " je povedal Stefan Savage, profesor računalniške varnosti UCSD, ki je vodil projekt. Ključi "zagotavljajo več načinov za daljinsko upravljanje… skoraj vsega na vozilu, s katerim so bili povezani, " je dodal.

Vloženi ključ OBD-II je izdelalo francosko podjetje Mobile Devices, distribuira pa ga Metromile, zagon avtomobilskega zavarovanja s sedežem v San Franciscu, ki daje brezplačno celično povezavo OBD-II, da lahko stranke zaračunajo le za kilometre gnani.

Raziskovalci UCSD so Metromile junija opozorili na ranljivost dongle, podjetje pa je sporočilo, da je brezžično poslal varnostni popravek na naprave. "To smo vzeli zelo resno, takoj ko smo ugotovili, " je za Wired dejal izvršni direktor Metromile Dan Preston.

Kljub temu pa je Metromile poslal varnostni popravek, na tisoče ključev je bilo še vedno vidnih in še vedno vklenjenih, predvsem zato, ker jih je uporabljala španska družba za upravljanje flote Coordina. V izjavi matičnega podjetja TomTom Telematics je Coordina dejal, da je preučil napad raziskovalcev in ugotovil, da se nanaša samo na starejšo različico donglov, ki jih podjetje uporablja. Zdaj je v postopku zamenjave "omejenega števila" teh naprav.

Družba je tudi ugotovila, da telefonska številka, dodeljena SIM karticam v svojih napravah, ni javna in je z njimi ni mogoče vzpostaviti stika prek besedilnega sporočila, kot je to napadal UCSD raziskovalci. Toda raziskovalci so nasprotovali, da so dongle, tudi ne da bi vedeli telefonsko številko SIM kartice, podvrženi napadom grobe sile, tako da pošljejo kup besedilnih sporočil.

Medtem ko so v zadnjih krajih proizvodnih avtomobilov potrebovali več mesecev za oddaljen ali potreben fizični dostop do vozila, so varnostne ranljivosti oblakov, povezanih z oblakom OBD-II, znane že več mesecev in zdi se, da jih je veliko lažje vdreti. In težava ni omejena na izdelke mobilnih naprav. Januarja je varnostnemu raziskovalcu Coreyu Thuenu uspel zrušiti napravo Snapshot Progressive, medtem ko so raziskovalci v podjetju za kibernetsko varnost Argus ugotovili varnostne pomanjkljivosti z napravo Zubie OBD-II.

Raziskovalci so ugotovili, da potencialni hekerji niso omejeni na Corvette, ki je bila uporabljena v njihovih testih, in da bi lahko ugnali krmiljenje ali zavore skoraj vsakega sodobnega vozila z gumbom za mobilne naprave, ki je vtaknjena v pomik. "Ni samo ta avtomobil ranljiv, " je dejal raziskovalec UCSD Karl Koscher.

Tako kot pri povezanih avtomobilih proizvajalcev avtomobilov še ni bilo dokumentiranega zlonamernega kramp vozila z OBD-II ključavnico. Toda raziskovalci verjamejo, da je grožnja resnična, in ugotavljajo, da za razliko od povezave v proizvodnih avtomobilih vladni nadzor nad poprodajnimi napravami ni.

"Imamo cel kup teh, ki so že na trgu, " je dodal Savage. "Glede na to, da smo videli popolno oddaljeno izkoriščanje in te stvari nikakor niso urejene in njihova uporaba raste… Mislim, da je poštena ocena, da bodo drugod težave."

"Dvakrat razmislite, kaj vtaknete v svoj avto, " je opozoril Koscher. "Rednemu potrošniku je težko vedeti, ali je njihova naprava zanesljiva ali ne, vendar je to nekaj, o čemer bi morali razmišljati. Ali me to bolj izpostavlja?"

To so vprašanja, ki jih potrošniki zastavljajo že leta, vozniki, ki želijo svoj avtomobil povezati v oblak prek OBD-II ključavnice, pa bodo zdaj morali tudi to vprašati.