Hackers schakelen remmen en automotor uit
Onderzoekers zijn erin geslaagd om de remmen van moderne auto's uit te schakelen door verbinding met de diagnostische computer te maken. Ook is het mogelijk om de auto te vergrendelen als er nog personen in zitten, de weergave van de snelheidsmeter te manipuleren, hete lucht in de auto te blazen of de radio aan te zetten. Het probleem zit volgens de onderzoekers niet bij een bepaald automerk, maar bij de gehele auto-industrie. Het onderzoek is dan ook een waarschuwing dat men bij de ontwikkeling van computersystemen voor auto's, de beveiliging niet moet vergeten. Opmerkelijk genoeg stonden alle autofabrikanten open voor de bevindingen van de onderzoekers en reageerden ze zeer positief, iets wat bij veel softwarebedrijven wel anders is.
Programmeren
De kans op een aanval wordt door de onderzoekers als zeer klein bestempeld. Niet alleen moet een aanvaller over de nodige programmeerkennis beschikken, hij moet ook fysiek toegang tot de auto hebben om de benodigde apparatuur aan te sluiten. Het is goed mogelijk dat als auto's straks over draadloze systemen en mogelijk zelfs internetverbindingen beschikken, het probleem groter wordt.
"Als de betrokken partijen geen actie ondernemen, dan is er reden om bezorgd te zijn", aldus onderzoeker Tadayoshi Kohno van de Universiteit van Washington. Hij vergelijkt het met de computers van twintig jaar geleden. De toen aanwezige beveiligingslekken waren toen geen groot probleem, omdat de machines nergens mee verbonden waren. Iets wat met de opkomst van het internet veranderde.
Firmware
De diagnostische systemen en boordcomputers waren niet alleen eenvoudig te hacken, de onderzoekers konden ook zonder enige authenticatie de firmware aanpassen. Iets wat volgens de industrie onmogelijk zou moeten zijn. De onderzoekers ontwikkelden zelfs een "zelfvernietiging" scenario, waarbij het dashboard een klok liet zien die van zestig naar nul aftelde en een tikkend geluid maakte. Bij de laatste seconden ging de claxon af en op nul werd de motor uitgeschakeld en deuren vergrendeld. Voor de aanval waren minder dan 200 regels code nodig, waarvan de meeste nodig voor de teller waren.
CarShark, het programma dat Kohno en zijn collega's voor het analyseren van de boordcomputer gebruikten, zullen ze niet vrijgeven.
Is dit niet het paard achter de wagen spannen?
Veel snufjes komen ten goede aan onze veiligheid.
Techniek is ook niet meer weg te denken uit onze moderne maatschappij.
Veel van de systemen in auto's zitten er niet voor je veiligheid, maar vanwege emissie-eisen en de marketing van systemen die in theorie je veiligheid in sommige gevallen kan verhogen. In de praktijk zullen mensen die als een krant rijden nog steeds wel ongelukken veroorzaken. Ze zullen alleen nog creatievere dommigheden uit weten te halen omdat ze niet al op een boom of een medeweggebruiker zijn geklapt dankzij de huidige veiligheidssystemen.
In de tijd dat alles mechanisch konden de remkabels worden doorgeknipt. In een auto met een paar elektrische systemen kunnen deze met een tussen gebouwd releas worden in- en uitgeschakeld. Alle sensoren zijn voor de gek te houden. De standaard CANbus is volgens mij ook redelijk te makkelijk DOSen.
Op afstand kan de band worden lekgeschoten, of erger nog de bestuurder. (de extreme gevallen om aan te geven dat je niet alles kan beschermen)
Ik denk dat het belangrijk is dat het systeem aangeeft dat er iets mis is.
"Moeten"? Ik heb nog nergens in de Nederlandse specificaties van rekeningrijden iets gezien dat ook maar wijst op de plicht om die gegevens te versturen.
Als dit soort vreemde gedachten al als feit op security.nl worden gepresenteerd snap ik dat mensen van mening zijn dat security.nl afglijdt naar het niveau van webwereld, fok e.d.
Peter
Ach uiteindelijk gaat het weer terug naar basis regel 1 in beveiliging zorg dat fysieke beveiliging goed geregeld is
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
