Hacker kan nu ook BMW en Mercedes op afstand openen
De bekende hacker Samy Kamkar die onlangs een tool presenteerde waarmee hij auto's van General Motors op afstand kon openen en starten heeft zijn apparaat uitgebreid, waardoor ook auto's van BMW, Mercedes-Benz en Chrysler niet meer veilig zijn. Dat heeft Kamkar via Twitter bekendgemaakt.
Net als General Motoros bieden de andere fabrikanten een smartphone-app om te auto te vinden, te openen en te starten. Het gaat dan om BMW Remote, Mercedes-Benz mbrace en Uconnect van Chrysler. Kamkar ontwikkelde voor 100 dollar een klein apparaatje, de OwnStar, dat op een auto of truck moet worden geplaatst en de communicatie van de smartphone naar de app kan onderscheppen.
De Ownstar bestaat uit een Raspberry Pi en drie radio's en kan zich voordoen als een vriendelijk netwerk. Zodra de gebruiker de app start en de smartphone binnen het bereik van het apparaatje is wordt een man-in-the-middle-aanval uitgevoerd om de inloggegevens van de gebruiker te stelen. Vervolgens worden deze gegevens via een 2G gsm-verbinding naar de aanvaller gestuurd. Met de inloggegevens kan een aanvaller vervolgens de auto volgen, de deuren openen, de motor starten of de claxon of het alarm laten afgaan.
Het probleem met de apps is dat die wel SSL gebruiken om versleuteld gegevens uit te wisselen, maar het certificaat niet goed controleren om er zeker van te zijn dat er ook met de echte servers van de mobiele dienst wordt gecommuniceerd. General Motors verhielp het probleem, maar Kamkar ontdekte dat het probleem ook bij BMW, Mercedes-Benz en Chrysler speelt. Volgens de hacker zijn de auto's hierdoor eenvoudig aan te vallen. De fabrikanten werken inmiddels aan een update, maar die is nog niet beschikbaar. Kamkar adviseert autobezitters dan ook om de betreffende apps voorlopig niet te gebruiken.
Jammer dat ze ontwerp van steeds meer (elektronica) producten uitbesteden en dus geen idee hebben hoe het werkt en waar het mis gaat. Betrouwbaarder worden hun auto's er in ieder geval niet op. En als ze de trends blijven nalopen eindigen ze waarschijnlijk als een 2e Nokia.
Maar goed, zekering van de gsm module eruit, probleem opgelost.
Ik ga wat meer tijd besteden aan het opknappen van die Golf I komende winter ;)
Jammer dat ze ontwerp van steeds meer (elektronica) producten uitbesteden en dus geen idee hebben hoe het werkt en waar het mis gaat. Betrouwbaarder worden hun auto's er in ieder geval niet op. En als ze de trends blijven nalopen eindigen ze waarschijnlijk als een 2e Nokia.
Maar goed, zekering van de gsm module eruit, probleem opgelost.
Welk merk bedoel je nou?
Jammer dat ze ontwerp van steeds meer (elektronica) producten uitbesteden en dus geen idee hebben hoe het werkt en waar het mis gaat. Betrouwbaarder worden hun auto's er in ieder geval niet op. En als ze de trends blijven nalopen eindigen ze waarschijnlijk als een 2e Nokia.
Maar goed, zekering van de gsm module eruit, probleem opgelost.
Welk merk bedoel je nou?
Bayerische Motoren Werke; Mercedes heeft geen vliegtuigmotoren geproduceerd.... ;)
Jammer dat ze ontwerp van steeds meer (elektronica) producten uitbesteden en dus geen idee hebben hoe het werkt en waar het mis gaat. Betrouwbaarder worden hun auto's er in ieder geval niet op. En als ze de trends blijven nalopen eindigen ze waarschijnlijk als een 2e Nokia.
Maar goed, zekering van de gsm module eruit, probleem opgelost.
Welk merk bedoel je nou?
BMW natuurlijk. Het logo van BMW moet een vliegtuigpropeller voorstellen, zodoende.
Anoniem van 13:34 hierboven zit ernaast met Mercedes.
Nou, impulsieve commenter, irritant en niet nadenkend, dus opsluiten.
Wie bedoel je?
De fabrikant die een ondeugdelijk product maakt? Of degene die aantoont dat ze een ondeugdelijk product maken?
Wat nu als het om de remmen zou gaan die kunnen falen, en er is iemand die aan kan tonen dat de fabrikant een auto op de markt gebracht heeft waar de remmen kunnen falen, is die dan rechteloos en moet die opgesloten worden? (je krijgt bij sommige fabrikanten wel het idee dat men er zo tegen aan kijkt, maar goed...)
Beetje kortzichtige opmerking dus.
Q
Nu heb je nog de keuze er een (niet) aan te schaffen, straks is het overal standaard. Fabrikanten willen slechts nieuwe snufjes bedenken, maar ze hebben niet door dat ze alleen maar dingen bedenken die misbruikt gaan worden, en niet echt iets toevoegen. Is het namelijk echt een revolutie om je auto open te maken met een telefoon ipv een klassieke sleutel? Van die sleutel gaan in ieder geval nooit de batterijen leeg, als als dat wel zou gebeuren krijg je nog steeds (als enige) je auto open.
Maar goed; je kan dergelijke auto's weigeren, de gsm hardware en WiFi modules eigenhandig eruit slopen of je spreekt bij het kopen van de auto met de dealer af dat alle troep eruit gehaald is als je auto afgeleverd wordt, zo niet, gaat de deal niet door. Moet je eens kijken als iedereen dat doet hoe snel een merk zich aanpast aan de consument.
Uiteraard zijn fabrikanten straks verplicht 4G in de auto te bouwen, vanwege het e-call systeem. Dan moet je dus zelf kabeltjes gaan doorknippen.
Of je kan het allemaal negeren natuurlijk, dan gaat het probleem vanzelf weg.
Een wireless knop is leuk, maar dan moet je ook de garantie hebben dat alle zenders en ontvangers in de auto daadwerkelijk uitgeschakeld worden. Iets wat door E-call al onmogelijk is.
Na het start-stop systeem zijn deze remote systemen de meeste idiote toevoeging wat men in een auto kan stoppen.
Oldtimers rijden geeft daarom nog het meeste vrijheidsgevoel (buiten traject controles). Maar met de rfid nummerplaat is dat ook voorbij.
En zelfrijdende auto's gaan het ook niet worden, omdat autorijden mensen het gevoel geeft dat er nog iets is waar ze zelf de controle over hebben. Neem je dat weg, is er eigenlijk niets meer over waar mensen zelf de controle over hebben.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
