Onderzoekers konden miljoenen Kia's via webportaal overnemen
Een kwetsbaarheid in een dealerportaal van Kia maakte het mogelijk om miljoenen auto's van de fabrikant over te nemen. Alleen het weten van het kentekennummer was voldoende voor de onderzoekers om de locatie van de auto te achterhalen, die te ontgrendelen en te starten. Kia heeft het probleem inmiddels verholpen.
Kia biedt bij verschillende modellen Kia Connect, waarmee het bijvoorbeeld mogelijk is om de auto op afstand via een app te openen en starten. Hiervoor moet een voertuigidentificatienummer (VIN of chassisnummer) worden gekoppeld aan een account. Dealers kunnen dit via een speciaal dealerportaal voor hun klanten doen, waarbij een voertuig op basis van het VIN-nummer aan een klantaccount wordt gekoppeld. Klanten moeten zich daarnaast via een aparte klantensite bij de autofabrikant registreren.
De onderzoekers ontdekten dat ze zich via het HTTP-request waarmee Kia-eigenaren zich bij de autofabrikant kunnen registreren zich ook als dealer kunnen registreren. Vervolgens was het mogelijk om via de dealerportaal informatie van Kia-eigenaren op te vragen, zoals naam, telefoonnummer en e-mailadres. Daarna konden de onderzoekers de eigenaar onteigenen en zichzelf eigenaar van de betreffende Kia maken en zo via de app bedienen.
In totaal ontdekten de onderzoekers vier HTTP-requests om toegang tot een KIA te krijgen. "De vier HTTP-requests waren te gebruiken om commando's naar bijna elke Kia te sturen die na 2013 is gemaakt, waarbij alleen het kentekennummer voldoende was", aldus de onderzoekers. Eigenaren kregen geen bericht dat er toegang tot de auto was verkregen of dat hun toegangspermissies waren aangepast.
"Kwetsbaarheden zullen aanwezig blijven in auto's, want net zoals Meta een code-aanpassing kan doorvoeren waardoor iemand je Facebookaccount kan kapen, kunnen autofabrikanten hetzelfde doen voor je voertuig", concluderen de onderzoekers. Kia werd in juni ingelicht en kwam uiteindelijk met een oplossing voor het beveiligingslek. De fabrikant stelt dat er geen misbruik van is gemaakt.
Aangezien dit soort "simpele" toepassingen nog niet eens foutloos kunnen, dan lijkt me de zelfrijdende auto helemaal een brug te ver, gezien de complexe en onverwachte verkeerssituaties die dan afgehandeld moeten worden. Snel uitzetten al die snufjes, zeker de snufjes die ingrijpen.
Aangezien dit soort "simpele" toepassingen nog niet eens foutloos kunnen, dan lijkt me de zelfrijdende auto helemaal een brug te ver, gezien de complexe en onverwachte verkeerssituaties die dan afgehandeld moeten worden. Snel uitzetten al die snufjes, zeker de snufjes die ingrijpen.
Over het laatste wat je schrijft (ik ben daar overigens ook voorstander van) vraag ik me af of de mogelijkheid tot deactiveren van al die ongevraagde snufjes wel gemakkelijk kan.
Ik herinner mij dat een collega een Volvo had, vraag me niet welk type want ik ben geen auto fanaat, waarvan de alarminstallatie nogal eens kuren had. Een paar kabeltjes lostrekken wat overigens door een dealer werd gedaan bleek niet voldoende. ze zijn daar, volgens zijn zeggen, meer dan een volle dag mee bezig geweest en wel met het volledig eruit slopen van de complete alarminstallatie omdat deze sterk verweven bleek met het volledige elektrische circuit van die auto.
Vandaar dat ik me voorstel dat uitprogrammeren van 'die snufjes' wel eens een heksentoer zou kunnen zijn omdat de fabrikant dat liever niet heeft. Nogal wat auto's 'communceren' tegenwoordig via Internet over van alles en nog wat.
Dit illustreert iets. Auto's zijn veilige dingen, ze moeten aan indrukwekkend zware eisen voldoen om passagiers te beschermen als er iets heftigs misgaat. Waarom doen autofabrikanten dat wel en maken ze van IT een potje? Omdat het een wettelijk vereist wordt en het ander niet, en dan krijgen heel makkelijk marketingmotieven de overhand.
Marktwerking vangt dat niet op. Marktwerking vereist dat de koper de kwaliteit kan beoordelen, en je ziet wel makkelijk aan een appel of er een rotte plek in zit maar aan razend complexe moderne technologie die je ver boven je pet gaat zie je dat echt niet meer. Je kan je zelfs afvragen of de verkoper hier de kwaliteit wel weet te beoordelen van dit soort snufjes. En dan bedoel ik de fabrikant, van de tussenpersoon waar je de auto feitelijk van koopt weet ik wel zeker dat die er geen kaas van heeft gegeten.
Alleen je krijgt als klant (helaas) niet de software die nodig is om die configuratie te veranderen, en bij de dealer moet je maar net de medewerker treffen die het een interessante klus vindt om daar eens in te duiken en de auto helemaal naar de zin van de klant te maken (zonder die meteen een gepeperde rekening voor te schotelen).
Allerlei gedrag van moderne auto's is configureerbaar, omdat het per land verschilt wat er gewenst, verplicht, of verboden is.
Zo moest je al jaren geleden in bepaalde landen altijd met licht aan rijden, terwijl dit in andere landen aangeraden werd.
Maar een auto die in Zweden verkocht werd die had dus al altijd het licht aan, terwijl dat hier pas veel later gekomen is.
En hier was het (volgens mij) eerst alleen aan de voorkant, en nu ook aan de achterkant.
Ook zaken als "zet je de richtingaanwijzer aan voor je de motor uit zet dan blijft het licht aan 1 kant aan" (parkeerlicht) dat kun je meestal configureren.
Maar meestal dus niet "via de app" maar via een tool wat de dealer heeft en niet uit handen geeft.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
