Zubie - це невелика коробка, яка вставляється в порт бортової діагностики (ODBII), який можна знайти в більшості сучасних автомобілів. Він дозволяє користувачам дізнатися, наскільки добре вони керують автомобілем, і пропонує поради щодо збільшення пробігу за рахунок розумного та економічного водіння. І до недавнього часу у Зубі була серйозна помилка в безпеці, яка могла зробити користувачів вразливими для того, щоб їх автомобіль був викрадений віддалено.
Діра - виявлена випускниками блоку 8200, елітної групи кібербезпеки Сил оборони Ізраїлю, - потенційно могла бачити, що зловмисники віддалено втручаються в гальмування, рульове управління і двигун.
Zubie з'єднується з віддаленим сервером через з'єднання GPRS, яке використовується для надсилання зібраних даних на центральний сервер, а також для отримання оновлень безпеки.
Дослідники виявили, що пристрій здійснює один з головних гріхів мережевої безпеки і не зв'язується з домашнім сервером через зашифроване з'єднання. У результаті вони змогли підробити центральний сервер Zubie і відправити на пристрій деякі спеціально створені шкідливі програми.
Більш детальна інформація про атаку наведена нижче, і вам буде приємно дізнатися, що з тих пір ця проблема була виправлена. Це, однак, піднімає цікаве питання. Наскільки безпечні наші автомобілі?
Відокремлення факту від вимислу
Для багатьох водіння не розкіш. Це необхідність
І це небезпечна необхідність. Більшість людей занадто добре знайомі з ризиками, пов'язаними з тим, щоб сісти за кермо. Автокатастрофи - одні з найбільших вбивць у світі: 1,24 мільйона людей загинули на дорозі тільки 2010 року.
Але смертність на дорогах знижується, і це значною мірою пов'язано зі зростанням проникнення складних технологій безпеки дорожнього руху. Їх занадто багато для всебічного перерахування, але, можливо, найбільш поширеним прикладом є OnStar, доступний в США, Канаді та Китаї.
Технологія, доступна виключно в автомобілях GM, а також в інших транспортних засобах компаній, які вибрали ліцензію на технологію, контролює стан вашого автомобіля. Він може надати покрокові інструкції і автоматично надати допомогу, якщо ви опинитеся в якійсь аварії.
Майже шість мільйонів осіб підписуються на OnStar. Незліченна безліч інших використовують телематичну систему, яка дозволяє страховикам відстежувати, наскільки добре керуються автомобілі, і готувати страхові пакети для заохочення розумілих водіїв. Джастін Денніс нещодавно розглянув щось схоже під назвою Metronome від Metromile., який вільно доступний для жителів Вашингтона, Орегона, Каліфорнії та Іллінойсу. Тим часом багато автомобілів, випущених після 1998 року, можуть бути опитані і відстежені через діагностичний порт ODBII завдяки Android і додатки для смартфонів на iOS.
Як ці технології досягли повсюдного поширення, так і усвідомлюють, що їх можна зламати. Ніде більше це не проявляється так явно, як у нашій культурній психіці.
Трилер 2008 року «Неосліджений» помітно показав автомобіль, оснащений OnStar, який був «обмурований» антагоністом фільму, щоб заманити когось у пастку. У той час як в 2009 році голландська IT-компанія InfoSupport запустила серію рекламних роликів, в яких вигаданий хакер на ім'я Макс Корнелліз дистанційно зламав автомобільні системи, включаючи Porsche 911, використовуючи тільки свій ноутбук.
Таким чином, з такою великою невизначеністю навколо проблеми, важливо знати, що можна зробити, і які загрози залишаються в галузі наукової фантастики.
Коротка історія злому автомобілів?
За межами Голлівуду дослідники безпеки здійснили досить страшні речі з автомобілями.
У 2013 році Чарлі Міллер і Кріс Валасек продемонстрували атаку, в якій вони скомпрометували Ford Escape і Toyota Prius і зуміли взяти під контроль гальмівні та рульові засоби. Однак у цієї атаки був один істотний недолік, оскільки вона залежала від підключення ноутбука до автомобіля. Це викликало у дослідників безпеки цікавість і подив, чи можливо зробити те ж саме, але без фізичної прихильності до машини.
На це питання було остаточно дано відповідь один рік потому, коли Міллер і Валасек провели ще більш детальне дослідження безпеки 24 різних моделей автомобілів. Цього разу вони зосередилися на здатності атакуючого провести віддалену атаку. Їх велике дослідження дало звіт на 93 сторінках, який був опублікований на Scribd, щоб збігтися з їх подальшою доповіддю на конференції з безпеки Blackhat в Лас-Вегасі.
Передбачалося, що наші машини не такі безпечні, як колись думали, у багатьох немає елементарного захисту від кібербезпеки. У відчайдушному звіті підкреслювалося, що Cadillac Escalade, Jeep Cherokee і Infiniti Q50 найбільш вразливі для віддаленої атаки.
Коли ми дивимося на Infinity Q10 конкретно, ми бачимо деякі серйозні провали в безпеці.
Що робить Infiniti таким привабливим як автомобіль, так це те, що робить його таким вразливим. Як і багато висококласних автомобілів, випущених в останні роки, він володіє низкою технологічних особливостей, покликаних зробити процес водіння більш приємним. Вони варіюються від розблокування без ключа до бездротового моніторингу тиску в шинах і до додатку для смартфонів «персональний помічник», який взаємодіє з автомобілем.
За словами Міллера і Власека, деякі з цих технологічних функцій не ізольовані, а безпосередньо пов'язані з системами, що відповідають за управління двигуном і гальмування. Це залишає відкритою можливість для зловмисника отримати доступ до внутрішньої мережі автомобіля, а потім використовувати вразливість, що знаходиться в одній з основних систем, для збою або втручання в транспортний засіб.
Такі речі, як розблокування без ключа і «особисті помічники» швидко вважаються необхідними для водіїв, але, як Чарлі Міллер так зазначив, «трохи страшно, що вони всі можуть розмовляти один з одним».
Але ми все ще дуже багато в світі теоретичного. Міллер і Власек продемонстрували потенційну можливість для атаки, але не фактичну атаку. Чи є приклади того, як комусь вдалося втрутитися в комп'ютерні системи автомобіля?
Що ж, немає нестачі в атаках, спрямованих на розблокування без ключа. Один з них навіть був продемонстрований раніше цього року на конференції з безпеки Blackhat в Лас-Вегасі австралійським дослідником безпеки Сільвіо Чезаре.
Використовуючи готові інструменти вартістю всього 1000 доларів, він зміг підробити сигнал від брелка, що дозволило йому віддалено розблокувати автомобіль. Атака заснована на тому, що хтось фізично присутній поруч з автомобілем, можливо, протягом декількох годин, оскільки комп'ютер і радіоантена передає спроби грубої сили приймача, вбудованого в систему розблокування автомобіля без ключа.
Після того, як автомобіль був відкритий, зловмисник може спробувати викрасти його або допомогти собі без нагляду, залишеного водієм. Тут є великий потенціал для пошкодження.
Чи є захист?
Це залежить.
Вже є деяка форма захисту від вразливості віддаленого доступу, виявленої Чарлі Міллером і Крісом Валасеком. За кілька місяців, що минули після їхнього виступу в Blackhat, їм вдалося створити пристрій, що діє як система виявлення вторгнень (IDS). Це не зупиняє атаку, а швидше вказує водієві, коли атака може тривати. Це коштує близько 150 доларів США по частинах і вимагає невеликої кількості знань в області електроніки.
Вразливість Zubie трохи складніша. Хоча з тих пір діра була виправлена, слабкість полягала не в машині, а скоріше в сторонньому пристрої, який був до неї прикріплений. У той час як у автомобілів є свої власні архітектурні проблеми, здається, що додавання додаткових доповнень тільки збільшує потенційні можливості для атаки.
Можливо, єдиний спосіб бути безпечним - це керувати старою машиною. Той, якому не вистачає дуже складних наворотів сучасних, висококласних автомобілів, і щоб не піддаватися бажанню засунути речі в ваш порт ODBII. Там безпека в простоті.
Чи безпечно керувати моєю машиною?
Безпека - це еволюційний процес.
У міру того, як люди краще розуміють загрози, що оточують систему, система розвивається, щоб захищатися від них. Але у автомобільного світу не було свого ShellShock або HeartBleed Я вважаю, що коли він зіткнеться з першою критичною загрозою - це перший нульовий день, якщо хочете, - виробники автомобілів дадуть відповідь відповідним чином і зроблять кроки, щоб зробити безпеку транспортних засобів більш суворою.
Але що ви думаєте? Це трохи оптимістично? Ви турбуєтеся про те, що хакери захоплять вашу машину? Я хочу почути про це. Залиште мені коментар нижче.
