Onderzoekers breken via drone in op geparkeerde Tesla
Onderzoekers hebben laten zien hoe ze via een drone op een geparkeerde Tesla kunnen inbreken. Tesla heeft de kwetsbaarheden die de aanval mogelijk maakten inmiddels via een firmware-update verholpen. Het gaat om een zogenoemde "remote zero-click" aanval waarbij er geen interactie van de Tesla-eigenaar is vereist om het voertuig te compromitteren.
Onderzoekers Ralf-Philipp Weinmann van Kunnamon en Benedikt Schmotzle van Comsecuris wilden hun aanval eigenlijk tijdens de Pwn2Own-hackwedstrijd van vorig jaar al demonstreren, maar die werd wegens de coronapandemie afgezegd. Daarop waarschuwden de onderzoekers Tesla, dat eind oktober vorig jaar met firmware-update 2020.44 kwam om de problemen te verhelpen.
De onderzoekers noemen hun aanval TBONE en kunnen daarmee geparkeerde Tesla's via wifi openen en het infotainmentsysteem overnemen. Ook is het mogelijk om de airconditioning te bedienen, stoelposities te veranderen en de stuur- en versnellingsmodes aan te passen. Het is niet mogelijk om met de auto weg te rijden. Voor de aanval maken de onderzoekers gebruik van beveiligingslekken in ConnMan, een lichtgewicht manager voor netwerkverbindingen van embedded apparaten. Het biedt zowel een DHCP-server als een DNS-forwarder.
"We maken misbruik van het feit dat moderne Tesla-auto's, zoals de Model 3, automatisch verbinding maken met de "Tesla Service" wifi, gecombineerd met twee kwetsbaarheden in onderdelen van de ConnMan-daemon, om remote code execution op het CID (Infotainment): een stack overflow in de DNS-forwarder en een stack infoleak in het DHCP-onderdeel te krijgen", aldus de onderzoekers in hun whitepaper. Ze stellen dat controle over ConnMan veel meer mogelijkheden biedt dan andere non-root daemons en het mogelijk maakt om de firewall uit te schakelen, routeringstabellen aan te passen en kernelmodules te laden of weer uit te zetten.
Via de aanval zou het ook mogelijk zijn om nieuwe wifi-firmware te laden, waardoor de aangevallen Tesla in een accesspoint kan worden veranderd om andere Tesla's in de buurt mee aan te vallen. De onderzoekers besloten om een dergelijke worm niet te ontwikkelen. Wel lieten ze zien hoe ze door middel van een drone op afstand een Tesla kunnen aanvallen. De drone bevat een accesspoint met de naam Tesla Service waarmee geparkeerde Tesla's automatisch verbinding maken, waarna de exploit wordt uitgevoerd. Het uitvoeren van de exploit neemt zo'n 30 tot 45 seconden in beslag. In onderstaande video wordt de aanval gedemonstreerd.
en
https://nl.wikipedia.org/wiki/Waterstofauto#Vijf_keer_hoger_elektriciteitsverbruik_ten_opzichte_van_een_batterijauto
Kijk alleen maar eens naar het onderhoudbehoefte van een waterstofauto.
De techniek wordt al serieus 20 a 30 jaar gesubsidieerd en zijn in de afgelopen 10 jaar niet voor niets voorbij gelopen door BEV.
"De remmen doen het niet, Windows probeert het zelf over 5 seconden opnieuw"
"De benzine is op, Wilt u doorrijden ? ( J,N )"
De automobiel van Henry Ford was zo gek nog niet ... ;-)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
