'Verboden' artikel over lek in startbeveiliging auto's toch online
Een artikel over een groot beveiligingslek in de startbeveiliging van luxe auto's, zoals Porsches, Audi's, Bentleys en Lamborghini's, zal na twee jaar eindelijk toch online gekomen. In 2013 verbood de rechter de drie onderzoekers die de kwetsbaarheid ontdekten, waaronder Roel Verdult en Baris Ege van de Radboud Universiteit Nijmegen, om hun bevindingen tijdens het 22ste USENIX Security Symposium te presenteren.
De drie onderzoekers zouden laten zien hoe ze de Megamos Crypto van Volkswagen, een algoritme dat de codes berekent die tussen de sleutel en de auto worden verstuurd, konden kraken. De drie onderzoekers zouden het algoritme hebben gekaakt en zouden zo draadloos voertuigen kunnen stelen. De wetenschappers informeerden direct de fabrikant en schreven een wetenschappelijk artikel, dat geaccepteerd werd voor het USENIX Security Symposium. Van publicatie kwam het echter niet, omdat een Engelse rechter in juni 2013 op verzoek van Volkswagen een verbod oplegde. Het omstreden artikel dat in 2013 teruggetrokken moest worden verschijnt nu, augustus 2015, alsnog.
In 2008 onthulden Radboud-wetenschappers zwakheden in de OV-chipkaart. De Nederlandse rechter weigerde destijds een publicatie daarover te verbieden, mede omdat de Radboud Universiteit zich aan responsible disclosure-regels hield. Volkswagen stapte daarom in 2013 naar een Engelse rechter. Dat kon, omdat één van de onderzoekers in de tussentijd naar de Universiteit van Birmingham was overgestapt. De Engelse rechter bleek in juni 2013 wel bereid om een publicatieverbod op te leggen.
Geen handleiding voor hackers
Volgens de Radboud Universiteit bevat het omstreden artikel een wetenschappelijke analyse van het niveau van beveiliging van de Megamos-chip en is het zeker geen handleiding voor hackers. Onderhandelingen via advocaten leverden lange tijd niets op. Een rechtstreeks informeel overleg in het najaar van 2014 in Londen wel. Volkswagen ging daarbij alsnog akkoord met publicatie, na het voorstel om één zin uit het oorspronkelijke artikel te verwijderen.
Deze ene zin bevat een expliciete beschrijving van een onderdeel van de berekeningen op de chip. Het weglaten van deze zin maakt reconstructie van het gehele algoritme voor misbruik moeilijker, maar tast de wetenschappelijke inhoud niet aan. De presentatie van de onderzoekers vindt vandaag plaats.Zo te horen wil de (r)overheid het alleenrecht hebben over veilige apparatuur en het aanvallen van onveilige apparatuur.
Raar dat een Duits bedrijf een rechtszaak tegen een Nederlandse organisatie in Engeland gedaan heeft. Het zou niet raar zijn als dat gewoon een keuze met de beste kans in EU recht zou zijn. Het is raar omdat ze EU recht niet willen volgen (data graaien) en het kopieren voor eigen gebruik, https://torrentfreak.com/uks-legalization-of-cd-ripping-is-unlawful-court-rules-150619/.
https://www.usenix.org/system/files/conference/usenixsecurity15/sec15_supplement.pdf
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
