Andy Greenberg schreibt bei WIRED über sein Experiment mit einem Jeep Cherokee (mit U Connect) und den zwei IT Sicherheitsexperten Charlie Miller und Chris Valasek: Greenberg ist gefahren, auf öffentlichen Straßen, während Miller / Valasek zuhause vor ihrem Rechner saßen. Die zwei wussten die (Mobilfunk-) IP Adresse von Greenbergs Jeep, und dann ging\’s los:
Though I hadn’t touched the dashboard, the vents in the Jeep Cherokee started blasting cold air at the maximum setting, chilling the sweat on my back through the in-seat climate control system. Next the radio switched to the local hip hop station and began blaring Skee-lo at full volume. I spun the control knob left and hit the power button, to no avail. Then the windshield wipers turned on, and wiper fluid blurred the glass.
As I tried to cope with all this, a picture of the two hackers performing these stunts appeared on the car’s digital display: Charlie Miller and Chris Valasek, wearing their trademark track suits. A nice touch, I thought. […]
As the two hackers remotely toyed with the air-conditioning, radio, and windshield wipers, I mentally congratulated myself on my courage under pressure. That’s when they cut the transmission.
Immediately my accelerator stopped working. As I frantically pressed the pedal and watched the RPMs climb, the Jeep lost half its speed, then slowed to a crawl. This occurred just as I reached a long overpass, with no shoulder to offer an escape. The experiment had ceased to be fun.
At that point, the interstate began to slope upward, so the Jeep lost more momentum and barely crept forward. Cars lined up behind my bumper before passing me, honking. I could see an 18-wheeler approaching in my rearview mirror. I hoped its driver saw me, too, and could tell I was paralyzed on the highway.
Erschreckend.
Anscheinend arbeiteten Miller / Valasek seit ca. 9 Monaten mit Fiat / Chrysler zusammen, sodass die Sicherheitslücke per USB-Stick Update geschlossen war / werden konnte bevor die Details des Einbruchs bei BlackHat 2015 veröffentlicht wurden.
Kapersky erklärt, dass der Einbruch in drei Stufen erfolgte: zuerst haben sie das WLAN-Passwort des Fahrzeugs geraten, dann sind sie über das Mobilfunknetz in die “Head Unit” (dt.: ins Navi) eingedrungen (leider ohne Details zu verraten). Dort haben sie einen Chip umprogrammiert, der auf dem CAN Bus eigentlich nur mithören soll. Plötzlich konnte dieser auch senden und – Bumm! – unendliche Möglichkeiten.
Mir kommt es vor wie 1997, als wir mit unseren Windows95 PCs ins Internet gegangen sind und dann von Schadsoftware wie CIH oder Blaster überrascht wurden.
Der demokratische Senator Ed Markey aus Massachusetts, Mitglied des Commerce, Science and Transportation Committee hat 16 Autohersteller zu potenziellen Sicherheitslücken befragt und schreibt zusammenfassend:
The responses from the automobile manufacturers show a vehicle fleet that has fully adopted wireless technologies like Bluetooth and even wireless Internet access, but has not addressed the real possibilities of hacker infiltration into vehicle systems. […]
Drivers have come to rely on these new technologies, but unfortunately the automakers haven’t done their part to protect us from cyber-attacks or privacy invasions. Even as we are more connected than ever in our cars and trucks, our technology systems and data security remain largely unprotected.
Der ausführliche Bericht ist etwas unkonkret (insbesondere: nennt bei Antworten keine Namen) und in meinen Augen leicht tendenziös (speziell: eine Antwort im Sinne Betriebsgeheimnis gleich zu setzen mit Planlosigkeit finde ich etwas weit hergeholt).
Insgesamt bleibt ein schaler Geschmack, und es gibt ja noch andere Attacken wie z. B. BadUSB. Und ob sich mit dem Argument „unser Auto ist Klassenbester bzgl. IT-Sicherheit“ viele Autos verkaufen lassen? Ich bezweifle das.
Update 15.08. Vielleicht kann es doch ein Geschäftsmodell sein, oder man muss es einfach „nur“ machen. So wie Apple es bei HomeKit vormacht – siehe Forbes Artikel:
“The [home automation] industry has not really cared about security,” said Monica. “They used ‘security through obscurity’ — which means that they rely on the fact that no one really looks at it. With the Internet of Things happening, I think Apple’s HomeKit standard enforcing manufacturers to adopt this standard is amazing for the final consumer.”
Und das tun sie, obwohl es den Start von HomeKit verzögert. Respekt.
Update 2 Bruce Schneiers Einschätzung ist ernüchternd:
Honestly, I\’m not sure our security technology is enough to prevent this sort of thing if the car\’s controls are attached to the Internet.