Auto's te hacken via draadloos bandensysteem
Het draadloze bandenspanningssysteem dat in moderne auto's aanwezig is, is op afstand te misbruiken door hackers, zo hebben onderzoekers gisteren laten zien. De draadloze sensoren die een aanvaller kan misbruiken, zijn sinds 2008 voor Amerikaanse auto's verplicht en zullen in de toekomst ook in Europese auto's verschijnen.
De huidige implementatie van de technologie houdt zich niet aan de meest basale beveiligingsprincipes, waardoor aanvallers op een afstand van veertig meter een auto kunnen volgen. Ook is het mogelijk om de elektronische bestuurseenheid foutieve informatie te geven, waardoor de auto niet goed meer werkt.
Spoofing
De huidige protocollen gebruiken geen authenticatie en controleren niet de gegevensinvoer. Daardoor konden de onderzoekers de sensorberichten vervalsen, waardoor er in een rijdend voertuig een waarschuwing over de bandenspanning werd afgegeven.
Bij een andere test lukte het de onderzoekers van de Universiteit van Washington en Universiteit van Californië om het bandenspanningssysteem in z'n geheel uit te schakelen, zo werd tijden de USENIX conferentie duidelijk. Ze adviseren autofabrikanten dan ook om voor betrouwbare software-ontwerpen en het gebruik van cryptografie te kiezen.
Niet bij het ontwikkelen, niet bij het fabriceren en ook niet op het moment dat ze verplicht werden.
Je zou toch verwachten dat er bij iemand in het hele treintje wel een keer een lichtje gaat branden.
Dit soort systemen werden ontwikkeld als handige op zich zelf staande gatgeds. Hier bij is was het niet van belang dat ea 100% werkte en gekopeld werd aan de boord computer. Nu het echter gemeen goed word en aan allemaal andere systemen gekopeld dient te worden. Ja dan kun je hier tegen aanlopen. Zeker nu die systemen ook nog enige inteligentie inzich hebben en hier acties aan koppelen.
Dus een systeem dat alleen een lampje laat branden als de spaning laag is. Heeft geen bevieliging nodig.
Echter als je de boordcomputer hier op aansluit. Wat gaat deze dan doen.... laat hij de auto, zelf stoppen/begrenst de rij snelheid. Ja dan is het logies dat je geen foute/gespoofde gegevens wilt. Maar wie staat hier bij stil.. als het simpele systeem makelijk aan de boordcomputer gehangen kan worden.
Natuurlijk zijn er lampjes gaan branden, maar powers-that-be hebben die lampjes verwijderd.
WooT....Geef deze Noob nog een flesje Cool-Aid.
Het klopt dat er in een auto meer verschillende computersystemen zitten dan in je PC. Maar als er ook maar 1 van te hacken is, dan is "de auto" te hacken. En ik ben van mening dat je van hacken kunt spreken als je het computersysteem zo ver krijgt om het bandenspanningsysteem uit kunt schakelen. Net zoals met spreekt dat je windows kunt hacken als je de firewall remote uit kunt schakelen.
Peter
Hoe zit het met m'n draadloze weerstation, kan iedereen nu zien hoe warm het in m'n tuin is ? Of deze hacken, loop ik naar buiten in m'n zwembroek, vriest het !
Een draadloos systeem kun je ook monitoren zonder line-of-sight.
Dus je kunt ook kijken of iemand langs een bepaald punt komt, zonder een camerasysteem te installeren en dat zou wel eens veel goedkoper kunnen zijn en minder opvallend.
Beide zijn aspecten die remmingen wegnemen om het vooral niet te plaatsen.
Zodra zoiets voor een paar euro geplaatst kan worden, zal het ook geplaatst worden.
Lijkt me ook een stuk nauwkeuriger om de snelheid mee te meten op de weg.
Dit alles uiteraard alleen indien elke sensor een uniek nummer heeft wat uit te lezen is en dat de snelheid tov de meetapparatuur niet te laag moet zijn om dat nummer uit te lezen.
Edit:
Blijft natuurlijk de vraag waarom dit systeem verplicht is in de VS sinds 2008.
Hoe vaak is de bandenspanning niet in orde zodat dat problemen oplevert op de weg? Laat ze daar eerst eens een APK invoeren.
Dat is allang gedaan. 2 bmw's van beckham zijn al eens gehacked en gestolen
@TD-er elke sensor heeft inderdaad een uniek rfid nummer (static 32bit) wat op 40meter nog te lezen is.
Dus je kunt iemand makelijk tracken, of bv een aantal sensors op strategische plaatsen zetten. BV inbreken ergens en op de inkomende straten trackers zetten die een sms sturen als de eigenaar van het pand er aan komt.
En de boel is makkerlijk te spoofen dus je kunt een fake bericht sturen
Ze hebben bij 110km/h de low pressure waarschuwing kunnen genereren.
De CPU's zijn noet gehacked, maar het systeem wel.
Enigste wat een ander al schrijft is als je de controle helemaal over de boordcomputer kan nemen wordt het risico groot.
Waarom kan ik na de uitvinding van de TV afstandsbediening nog steeds met mijn afstandsbediening de televisie van de buren bedienen? Moeten we dat dan ook niet encrypten.
Onbenullig bericht eigenlijk
Eerst door de protocol converter op de CAN bus van het infotainment,
daarnaar door de firewall naar de CAN bus van het motormanagement,
daarna door naar de besturing van de parklane of ABS en de auto laten crashen.
Iets voor Mision Impossible deel 12? De fantasie is de limit, angst verkoopt goed!
Hoeveel mensen hebben hun bleutooth id nog steeds aan staan op de telefoon?
Hoeveel mensen hebben hun router en/of server thuis nog op het default password?
Hoeveel auto's zijn via een GSM modem upgradable en dus te hacken?
Het hacken van bank rekeningen levert goed geld op, het saboteren van auto's alleen als je de fabrikant kan chanteren (oeps, wie heb ik nu op een idee gebracht?)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
