Volkswagen har vist sig udsat for bil-hacking sårbarheder, en detaljeret rapport Computest nylig afsløret. Forskere afdækket, at IVI-systemer (In-Vehicle Infotainment) i nogle Volkswagen modeller er sårbare over for remote hacking. Disse sårbarheder kan også føre til lækage af andre kritiske systemer til biler.
Tekniske Detaljer om forskning
Mere specielt, forskere Thijs Alkemade og Daan Keuper opdaget sårbarheden i Golf GTE Volkswagen og Audi3 Sportback e-tron. Fejlen kan tillade hackere til at tage kontrol over kritiske funktioner i nogle tilfælde. Funktionerne omfatter dreje bilens mikrofon til og fra, mobilisere mikrofonen for at lytte til førerens samtaler, og få adgang til samtalen historie og adressebogen af bil. Oven i købet, forskerne sagde, at angriberne også kunne spore bilen via sin navigationssystem.
Et stigende antal biler er udstyret med en internetforbindelse, og nogle biler har endda to cellulære forbindelser på en gang, forskerne skrev. Denne forbindelse kan for eksempel anvendes som IVI system til at indhente oplysninger, såsom kortdata, eller at tilbyde funktionaliteter som en internet-browser eller en Wi-Fi-hotspot eller til at give ejerne mulighed for at styre nogle funktioner via en mobil app.
For deres rapport, forskerne specifikt fokuseret på angrebsvektorer, der kunne udløses via internettet og uden brugerinteraktion. Målet, der inspirerede forskningen var at se, om køreegenskaberne eller andre kritiske sikkerhedskomponenter i bilen kunne blive påvirket. Med andre ord, forskerne ønskede at få adgang til højhastigheds-CAN-bus, som forbinder komponenter som bremserne, rat og motoren.
Forskningen startede med en Volkswagen Golf GTE, fra 2015, med Bil-Net app:
Denne bil har en IVI-system fremstillet af Harman, benævnt modulære infotainment platform (MIB). Vores model var udstyret med den nyere version (udgave 2) af denne platform, som havde flere forbedringer fra den tidligere version (såsom Apple CarPlay). Vigtigt at bemærke er, at vores model ikke har en separat SIM-kort bakke. Vi antog, at den mobilforbindelse brugte en Embedded SIM, inde i IVI-systemet, men denne antagelse vil senere vise sig at være ugyldig.
Vi kan kompromittere MIB IVI-systemet og derfra sende vilkårlige CAN meddelelser på IVI CAN-bus. Som et resultat, vi kan styre den centrale skærm, højttalere, og mikrofon. Dette er et niveau for adgang, at ingen hacker skal kunne opnå.
Det næste trin i forskningen ville have været at forsøge at tage kontrol over bilens sikkerhedskritiske komponenter, såsom køretøjets bremsning og acceleration systemet.
Men, efter nøje overvejelse, de to forskere besluttet at indstille deres på dette tidspunkt, da dette potentielt ville kompromittere intellektuel ejendom på fabrikanten og potentielt bryde loven.
Volkswagens Svar på Vulnerability Disclosure
Da Volkswagen ikke havde en ansvarlig politik for udlevering featured på sin hjemmeside, forskerne rapporteret fejlene til Volkswagens ekstern advokat i juli 2017. En egentlig møde med virksomheden forekom også næste måned, August.
Dette er, hvad forskerne sagde i en erklæring:
Under vores møde med Volkswagen, vi havde det indtryk, at den rapporterede sårbarhed og især vores tilgang var stadig ukendt. Vi forstod i vores møde med Volkswagen, som, trods det bliver brugt i millioner af køretøjer verden over, denne specifikke IVI-systemet ikke gennemgå en formel sikkerhedstest og sårbarheden var stadig ukendt for dem. Men, i deres feedback til dette papir Volkswagen erklærede, at de allerede vidste om denne svaghed.
Volkswagen kiggede ind fejlene, og sagde, at det ikke ville udgive en offentlig erklæring, men vil hellere gennemgå forskning for at kontrollere deres udsagn. Selskabet gjorde gennemgå forskning papir, og revisionen selv blev fuldført i februar, 2018. “I april 2018, lige før papiret blev frigivet til offentligheden, Volkswagen forsynet os med et brev, der bekræfter sårbarheder og nævner, at de er blevet rettet i en softwareopdatering til Infotainmentsystemet. Det betyder, at biler produceret siden denne opdatering ikke påvirkes af de sårbarheder, vi fandt,” forskerne konkluderede.
Endelig, det skal endnu en gang bemærkes, at de hackede bilmodeller var fra 2015. Hvis du tilfældigvis ejer en Audi eller VW fra dette år, bør du kontakte bilforhandleren for at modtage oplysninger om softwareopdateringen.
Milena Dimitrova
En inspireret forfatter og indholdschef, der har været hos SensorsTechForum siden projektets start. En professionel med 10+ års erfaring med at skabe engagerende indhold. Fokuseret på brugernes privatliv og malware udvikling, hun tror stærkt på en verden, hvor cybersikkerhed spiller en central rolle. Hvis almindelig sund fornuft giver ingen mening, hun vil være der til at tage noter. Disse noter senere kan blive til artikler! Følg Milena @Milenyim
Følg mig: