Verschillende met internet verbonden verkeerslichten die in Nederlandse steden worden gebruikt zijn op afstand te manipuleren, zo hebben onderzoekers Wesley Neelen en Rik van Duijn van het Nederlandse securitybedrijf Zolder aangetoond. Ze presenteerden hun onderzoek tijdens de online editie van de DEF CON-conferentie en in een blogposting.

De met internet verbonden verkeerslichten moeten de doorstroom van fietsers en andere verkeersdeelnemers bevorderen. Die installeren een app op hun smartphone waarna het verkeerslicht hen ziet aankomen en eerder op groen zal gaan. Naast een app voor fietsers is er ook een app voor voetgangers en vrachtwagens, merken de onderzoekers op. Neelen en Van Duijn besloten zich op de twee apps voor fietsers te richten.

Het onderzoek begint met het analyseren van de apps. De eerst applicatie blijkt gebruik te maken van het MQTT (Message Queueing Telemetry Transport)-protocol. Een netwerkprotocol voor het uitwisselen van berichten tussen apparaten. Via het MQTT-protocol wisselt de smartphone-app Cooperative Awareness Message (CAM)-objecten uit. Een CAM-object bevat allerlei informatie over een voertuig, zoals gps-locatie, soort voertuig, snelheid en positie op de weg.

De onderzoekers weten via de Frida-toolkit de CAM-objecten binnen de app aan te passen nog voordat die naar de server worden verstuurd. Zodoende kunnen de onderzoekers zich voordoen als een fietser en een "stroom van fietsers" genereren die langs het verkeerslicht komen. Dit zorgt ervoor dat het verkeerslicht zoveel als mogelijk op groen blijft staan voor fietsers. "Het gedrag dat we veroorzaken is te vergelijken met een persoon die continu de fysieke knop van een verkeerslicht indrukt", aldus de onderzoekers.

De tweede smartphone-app van een ander project met internet verbonden verkeerslichten, dat in tien Nederlandse steden actief is, blijkt eenvoudiger te manipuleren. Alleen het versturen van een enkel http-request is voldoende. Er wordt geen authenticatie toegepast en er wordt ook niet via bijvoorbeeld een unieke identifier onderscheid gemaakt tussen fietsers. "Vanaf elke willekeurige remote locatie kunnen we aankomende fietsers simuleren, waardoor het systeem de wachttijd voor het groene licht vermindert", stellen Neelen en Van Duijn.

Wanneer er geen verkeer in de buurt is kunnen de onderzoekers verkeerslichten meteen op groen laten springen. Zijn er wel andere verkeersdeelnemers in de buurt, dan zorgt het script van de onderzoekers ervoor dat fietsers korter voor een rood licht hoeven te wachten. Neelen en van Duijn merken op dat het met de huidige implementatie niet mogelijk is om de verkeerslichten voor voertuigen te manipuleren. Volgens de onderzoekers is het belangrijk dat bij het gebruik van met internet verbonden verkeerslichten zaken als authenticatie en autorisatie goed zijn geïmplementeerd.