Onderzoekers hacken laadpalen voor elektrische auto's
Onderzoekers van de Duitse Chaos Computer Club (CCC) zijn erin geslaagd om laadpalen voor elektrische auto's te hacken, waardoor het mogelijk is om op kosten van iemand anders de auto op te laden. Het probleem bevindt zich in de laadpassen waar verschillende aanbieders gebruik van maken.
De providers bieden rijders van elektrische auto's een laadpas waarmee voor het opladen kan worden betaald. Deze laadpassen bevatten een nummer dat de laadpal gebruikt om de klant te identificeren. Het nummer is echter openbaar en kan zo vaak als mogelijk worden gekopieerd. Daardoor is het eenvoudig om een laadpas te klonen en zo op kosten van een ander op te laden.
"De aanbieders hebben geen basale beveiligingsmaatregelen geïmplementeerd", zegt onderzoeker Mathias Dalheimer die vandaag tijdens de CCC-conferentie in Leipzig de details zal openbaren. Volgens Dalheimer is de situatie te vergelijken met het betalen via een kopie van een pinpas. De aanbieders van de laadpalen die deze laadpassen uitgeven zijn al enkele maanden geleden gewaarschuwd, maar hebben geweigerd het probleem te verhelpen, aldus de CCC.
De laadpalen zelf zijn ook kwetsbaar voor aanvallen. De meeste laadpalen maken het mogelijk om via een usb-stick de configuratie aan te passen of firmware-updates te installeren. Aangezien het updatemechanisme onveilig is, kan er willekeurige code op de laadpaal worden geïnstalleerd. Vervolgens kan een aanvaller via deze code het opladen van de auto voor iedereen gratis maken of de kaartnummers van klanten verzamelen en vervolgens op hun kosten auto's opladen. Niet alleen is het lastig voor klanten om misbruik te bewijzen, doordat de afrekening later plaatsvindt kan het ook weken duren voordat het misbruik zichtbaar is.
Leert men het dan nooit?
zou de aanvaller dan ook in staat zijn om voltage aanpassen of de polariteit omdraaien?
en:
Na dertig jaar elektronisch betalen mag je toch verwachten dat er zoveel expertise is op het gebied van veiligheid dat dergelijk oeverloos gekluns niet keer voorkomt. En dan lees je toch... ...dat zulke absurde fouten niet slechts nog steeds voorkomen maar dat de verantwoordelijken ook nog te laks zijn om - na erop te zijn geattendeerd -maatregelen te treffen i.p.v. voor zak zout te blijven zitten.
Het is om totaal sprakeloos van te worden! Feitelijk zouden hier straffen op moeten komen te staan.
Maar wat schiet je er mee op?
Hij poolt zichzelf al 100x per seconde om.
Leert men het dan nooit?
Ik betwijfel of het vergeten is.
Ik denk dat men de business les _veel_ beter geleerd heeft : sell first, fix later . De first mover in een nieuwe markt wint enorm, en de tweede laat staan derde hebben een enorme achterstand . "Maar wij zijn veiliger, geloof ons" is echt geen selling point.
Maar wat schiet je er mee op?
Hij poolt zichzelf al 100x per seconde om.
Leert men het dan nooit?
Ik betwijfel of het vergeten is.
Ik denk dat men de business les _veel_ beter geleerd heeft : sell first, fix later . De first mover in een nieuwe markt wint enorm, en de tweede laat staan derde hebben een enorme achterstand . "Maar wij zijn veiliger, geloof ons" is echt geen selling point.
Het veilig gebruik van RFID is zeker niet vergeten. De markt is te nieuw. Je wil dat mensen van verschillende leveranciers en landen ook gebruik kunnen laden. En dan moet je met alle partijen een akkoord hebben over welke RFID standaard en waar wat wordt geschreven op de kaarten. (iets waar bijvoorbeeld een Translink geen last van heeft, onze OV-chipkaarten werken ook niet in Duitsland en dat vind niemand een probleem) Hopelijk lukt het met dit akkoord om dat voor elkaar te krijgen.
Maar wat schiet je er mee op?
Hij poolt zichzelf al 100x per seconde om.
400V, 3 fasen, L1 = 0 graden, L2 = 120 graden, L3 240 graden maakt 3x 50 Hz is 150 Hz ... ;)
Maar wat schiet je er mee op?
Hij poolt zichzelf al 100x per seconde om.
Ja, een 50Hz sinus verandert 100x per seconde van polariteit....
Je wil dat mensen van verschillende leveranciers en landen ook gebruik kunnen laden. En dan moet je met alle partijen een akkoord hebben over welke RFID standaard en waar wat wordt geschreven op de kaarten. (iets waar bijvoorbeeld een Translink geen last van heeft, onze OV-chipkaarten werken ook niet in Duitsland en dat vind niemand een probleem) Hopelijk lukt het met dit akkoord om dat voor elkaar te krijgen.
Je hoeft niet te schrijven op kaarten maar wat je nodig hebt is een authenticatie token wat niet zo gemakkelijk te kopieren is.
Dus niet een simpele MiFare kaart en daar dan het kaartserienummer van gebruiken, want hoewel dat op zich bij normale
kaarten wel uniek is en niet te veranderen, zijn er uiteraard inmiddels kaarten waar je zelf een serienummer op kunt zetten.
Er bestaan echter ook wel kaarten/tokens die met een challenge-response systeem werken waarmee je dus niet een
simpel nummertje hebt om te copieren, maar waarbij de kaart uniek is door een gegeven wat je er als het goed is niet
vanaf kunt copieren en waarbij de reader iedere keer een andere challenge stuurt en met het response wel kan valideren
dat het die kaart is, maar niet kan afleiden wat de response zal zijn op een verschillende challenge.
Uiteraard betekent dat wel dat je de extra complexiteit hebt dat de gegevens over de kaarten (zeg maar de public key)
bekend moet zijn op de plaats en op het moment waar de kaart wordt aangeboden, dus roaming blijft lastig.
Maar wat schiet je er mee op?
Hij poolt zichzelf al 100x per seconde om.
My two cents...
Je wil dat mensen van verschillende leveranciers en landen ook gebruik kunnen laden. En dan moet je met alle partijen een akkoord hebben over welke RFID standaard en waar wat wordt geschreven op de kaarten. (iets waar bijvoorbeeld een Translink geen last van heeft, onze OV-chipkaarten werken ook niet in Duitsland en dat vind niemand een probleem) Hopelijk lukt het met dit akkoord om dat voor elkaar te krijgen.
Je hoeft niet te schrijven op kaarten maar wat je nodig hebt is een authenticatie token wat niet zo gemakkelijk te kopieren is.
Dus niet een simpele MiFare kaart en daar dan het kaartserienummer van gebruiken, want hoewel dat op zich bij normale
kaarten wel uniek is en niet te veranderen, zijn er uiteraard inmiddels kaarten waar je zelf een serienummer op kunt zetten.
Er bestaan echter ook wel kaarten/tokens die met een challenge-response systeem werken waarmee je dus niet een
simpel nummertje hebt om te copieren, maar waarbij de kaart uniek is door een gegeven wat je er als het goed is niet
vanaf kunt copieren en waarbij de reader iedere keer een andere challenge stuurt en met het response wel kan valideren
dat het die kaart is, maar niet kan afleiden wat de response zal zijn op een verschillende challenge.
Uiteraard betekent dat wel dat je de extra complexiteit hebt dat de gegevens over de kaarten (zeg maar de public key)
bekend moet zijn op de plaats en op het moment waar de kaart wordt aangeboden, dus roaming blijft lastig.
maar daar heb je niks aan als de firmware via de palen zelf ook aan te passen is en je nog steeds gratis kan laden al is het dan niet op iemand anders zijn rekening.
Dus ze zouden beide moeten aanpakken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
