Onderzoekers hacken remmen en besturing Jeep Cherokee
De onderzoekers die vorig jaar demonstreerden hoe ze de remmen van een Chrysler Jeep op afstand konden bedienen, waardoor de autofabrikant 1,4 miljoen auto's moest terugroepen, hebben een nieuwe aanval op dezelfde Jeep ontwikkeld waardoor ze de remmen en besturing kunnen bedienen.
In tegenstelling tot de eerste hack hadden onderzoekers Charlie Miller en Chris Valasek dit keer wel lokale toegang nodig. De twee onderzoekers zullen deze week tijdens de Black Hat-conferentie in Las Vegas hun werk demonstreren. In een video op YouTube is echter al te zien hoe Miller de besturing weet over te nemen van de auto die door Valasek wordt bestuurd. Hiervoor heeft hij zijn laptop op de CAN-bus van de auto aangesloten. Dit is het interne netwerk dat de fysieke onderdelen van de auto aanstuurt.
Chrysler heeft verschillende maatregelen genomen om misbruik van de interne systemen te voorkomen. Om de remmen van de Jeep uit te schakelen gebruikten Miller en Valasek de diagnostische mode van de Jeep. Deze mode hoort niet boven een snelheid van 8 kilometer per uur te werken. De onderzoekers ontdekten echter een manier om dit te omzeilen. Daardoor werd de opdracht om de remmen uit te schakelen ook bij een hogere snelheid uitgevoerd. In een reactie tegenover Wired stelt Fiat Chrysler dat de aanval niet op afstand is uit te voeren. Ook was er oudere software op de Jeep geïnstalleerd, wat de onderzoekers toegeven.
Miller laat op Twitter echter weten dat een aanvaller wel bijvoorbeeld een klein apparaatje op de CAN-bus zou kunnen aansluiten, waardoor de aanval uiteindelijk wel op afstand is uit te voeren. Daarnaast willen de onderzoekers met hun werk aantonen dat alleen het beschermen van auto's tegen aanvallen op afstand niet voldoende is. "Je moet weten wat hackers van plan zijn, hoe het te voorkomen is en hoe sommige oplossingen niet werken, wat we nu hebben aangetoond", zegt Miller. De onderzoekers adviseren autofabrikanten dan ook om meer maatregelen te nemen tegen het manipuleren van de CAN-bus.
Als een aanvaller nare zaken onder je motorkap heeft kunnen doen is je voertuig gewoon niet meer te vertrouwen.
TheYOSH
Als een aanvaller nare zaken onder je motorkap heeft kunnen doen is je voertuig gewoon niet meer te vertrouwen.
Daarnaast bevindt de betreffende CAN-bus zich niet onder de motorkap maar binnen in de Jeep.
Als een aanvaller nare zaken onder je motorkap heeft kunnen doen is je voertuig gewoon niet meer te vertrouwen.
De conclusie is dus dat geen enkel voertuig meer is te vertrouwen.
Peter
#1 het tijdstip is nu onder controle 'bad person'.... -> bij een voertuig bestuurd door meerdere mensen, of een voertuig bestuurd door ANDERE mensen is dit van belang.
Denk hierbij aan dat je als bad-guy nu een huurauto kunt 'overnemen'... Een week later log je in en zet je de remmen uit als de auto boven de 120km/h is gekomen. Niet dat je die persoon kwaad wil doen die achter het stuur zit, maar gewoon omdat het kan. Immers, terroristen kiezen ook niet de slachtoffers uit, die zaten gewoon op de verkeerde plek in het verkeerde vliegtuig/trein/WTC gebouw.
#2 een remleiding saboteren is achteraf te herkennen aan de meldingen van mensen 'hij reed zonder remmen recht op die stoet kinderen af'... dit is digitaal, valt niet te zien door techno-n00bs, en is vast ook nog wel digitaal goed weg te poetsen.
Dus ja, wel degelijk +1 voor onderzoekers.
mijn inziens kunnen we blij zijn met de uitkomsten van het onderzoek (ondanks het tegevallende resultaat), maar moeten we bewust zijn van de nieuwe gevaren en het aanvals oppervlak van dit type hack.
Het grootste gevaar, of impact van deze hack is dan misschien nog wel dat recherche bij verkeersongevallen nu moet letten op de mogelijkheid van deze middelen. bovendien zou iedereen na een ongeluk met een zelf aangesloten apparaatje op zijn CAN-bus nu zeggen onschuldig te zijn (hoe zat dat in Nederland met (on)schuldig tot tegendeel bewezen? )
heel eerlijk, goed werk. jammer dat het expiriment niets opgeleverd heeft.
maar hoe ver willen we gaan in beveiliging? (all the way!)
Doorsnijden van remmen klinkt leuk maar met gescheiden remsystemen, wat iedere auto tegenwoordig heeft, betekent het nog steeds dat de helft van je remmen nog gewoon werkt en bij gedeeltelijk doorsnijden van beide systemen weet je niet wanneer beide niet functioneren.
En nu hebben we het alleen over remmen maar wat als ook sturen op afstand te doen zou zijn?
Dan kun je een auto geowon naar je toe laten komen met de gewenste lading..
De Jeep Cherokee ligt wel onder vuur.
Vanwege de versnellingsbak loopt een terugroepactie. Nu extra onder de aandacht omdat een Amerikaanse acteur het leven heeft gelaten door (hoogstwaarschijnlijk) een fabricagefout in de automatische bak. http://nos.nl/artikel/2122845-ouders-verongelukte-star-trek-acteur-dagen-fiat-chrysler.html
Wellicht betreft dit een slepend probleem in de bakken van Aisin (Borg) Warner? http://etereman.com/blog/fiat-transmission/the-popular-aw4-automatic-transmission-and-common-problems-associated-with-it
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
