Nissan Leaf podatny na atak
Najpopulrniejszy na świecie samochód elektryczny, Nissan Leaf, jest podatny na atak hakerski. Troy Hunt i Scott Helme wykazali, że niezabezpieczone API w połączeniu z numerem VIN samochodu, który to numer można łatwo zobaczyć przez szybę, pozwala cyberprzestępcom na przejęcie kontroli nad takimi funkcjami pojazdu jak klimatyzacja czy podgrzewanie siedzeń. Dziura została znaleziona w aplikacji Connect dla iOS-a i Androida za pomocą której właściciel może kontrolować pojazd.
Do przeprowadzenia ataku napastnik potrzebuje, oprócz banalnie prostego do zdobycia numeru VIN, jedynie nazwy użytkownika aplikacji. Co więcej okazało się, że aplikacja zdradza nieuprawnionym osobom również dane na temat historii użytkowania samochodu - możemy poznać czas i dystans każdej z podróży. To pozwala np. na przewidzenie, kiedy właściciela samochodu nie powinno być w domu.
Wspomniany na wstępie Troy Hunt wykazał słabość zabezpieczeń Nissana Leaf atakując pojazd, którego właścicielem jest Helme. Badacze podkreślają, że napastnik nie może doprowadzić do powstania sytuacji zagrażającej życiu, ale może - na przykład - spowodować wyczerpanie akumulatorów pojazdu. Właściciel, który zaparkował samochód pod miejscem pracy może wtedy mieć problem z powrotem do domu.
To nie pierwszy problem związany z coraz częstszym wyposażaniem samochodów w łączność bezprzewodową. W ubiegłym roku eksperci wykazali, że napastnik może wyłączyć silnik będącego w ruchu Jeepa Cherokee.
Komentarze (12)
Gość Astro, 25 lutego 2016, 17:10
Zastanawiam się czasem, czy to nie tak odległe (sklep narzędziowy):
– Poproszę młotek murarski.
– Z jakimi mapami i pamięcią ruchów? Polecamy ciekawy model z blokadą rodzicielską.
Czy któremukolwiek z producentów nie wpadło do łba, że może istnieją świadomi użytkownicy, którzy oczekiwaliby magicznego guzika typu: kill -9 electronics? Rozumiem i akceptuję obowiązkowy ABS, czujniki zużycia klocków czy ciśnienia w gumach, ale ten światek popada w coraz większą paranoję.
Jajcenty, 26 lutego 2016, 10:24
Jak ma przyspieszyć pracę i poprawić jakość, to czemu nie? Elektronika ma swoje możliwości, żal z tego nie skorzystać. Kierowcy przy piwie mogą chcieć się spierać co do liczby KWh/100 Km, kompjuter pokładowy daje wiele fajnych możliwości.
Sam o mało co kupiłem pralkę która miała apkę do smartfona. Niestety tylko do monitorowania błędów, ale gdyby można było sterować pralką ze smartfona - shut up and tak my money! Tak, wiem, jestem gadżeciażem.
Zastanawia strasznie niski poziom świadomości złośliwości zewnętrznego świata. Kolejne dobroduszne API, a świat jest zły.
Przemek Kobel, 26 lutego 2016, 10:36
Ot, kolejny wytwór programujących "pampersów". Ale pewnie tanio wykonali swoją robotę.
radar, 26 lutego 2016, 12:09
Mnie natomiast zastanawia kiedy badania homologacyjne "urządzeń" będą zawierały testy penetracyjne "dobrodusznych" API?
Afordancja, 26 lutego 2016, 12:30
Zgadzam się z Jajcenty, dobra elektronika jest dobra
Zawsze się zastanawiałem dlaczego takiego API do samochodu nie ma, ba nawet takiego programowalnego dla "zwykłych użytkowników" po prostu publicznego.
Ja tam lubię mieć wykresiki statystyki itd. Jest tylko jedno "ale", trzeba to robić z głową, myślałem, że już dawno się nauczyli, że wszystkie protokoły i komunikacja powinna być szyfrowana bez możliwości zewnętrznego dostępu, to naprawdę nie musi być trudne.
Potem mogę sobie dorobić (to już mój problem czy zabezpieczę czy nie) głosowe komenty, typu otwórz na chwilę tylne szyby w trakcie jazdy albo konfigurowanie ilość mignięć kierunkowskazu w przypadku funkcji "kierunkowskazów autostradowych" (nie wiem jak to się nazywa), bo w poprzednim zamochodzie dla mnie był o jeden "cyk" za dużo, a w obecnym jeden "cyk" za mało.
ex nihilo, 26 lutego 2016, 18:00
Podobnie z programami, np. edytorami tekstu - zanim użyję, wyłączam wszystkie automatyczne autokorekty, autoformatowania i inne takie francowacizny.
Gość Astro, 26 lutego 2016, 18:39
W TopGear niejednokrotnie chłopcy się z tego nabijali. Nigdy nie masz pewności, czy po takiej komendzie nie otworzy Ci w trakcie jazdy bagażnika.
Tutaj niby cywilizowany przykład, ale ja bym przed połową potraktował gadzinę młotkiem 
https://www.youtube.com/watch?v=mD7V5UNNH3Y
Moim zdaniem "głosowe komendy" to substytut…
smoczeq, 29 lutego 2016, 14:11
Ale czym chcesz sterować? Do pralki sam musisz włożyć pranie, wlać płyn/wsypać proszek. Funkcja opóźnionego startu jest już chyba w większości pralek.
Jajcenty, 29 lutego 2016, 14:20
Ależ... czasy, temperatury, poziom wody, obroty, liczba powtórzeń. Osoby z alergiami lubią sobie puścić płukanie ze dwa razy. Mogłyby to robić z kanapy. Albo jeszcze lepiej z pracy
Afordancja, 29 lutego 2016, 14:37
Mi sam mechanizm nie przeszkadza, ba nawet pomaga bo 70% mojej jazdy (Czasowo) to właśnie autostrady i drogi szybkiego ruchu. Jednak teraz nie odpowiada mi liczba "mignięć".
W zasadzie to był przykład dla samego przykładu, że można było by coś zewnętrznie dodać, sama opcja którą napisałem jest raczej zbyteczna, ale mogę (dla zasady
) bronic funkcji głosowych, i wystarczyła by opcja, aby system powtórzył jak zrozumiał a Ty masz tylko guziczek który naciskasz jak się zgadza. (jeden guzik).
Ale faktycznie głosowe kierowanie może być mało praktyczne bo takie posiadałem w radiu i hm.. oprócz testów nie skorzystałem, bo radio dla mnie nie jest kluczowe, odpalam radio jest już włączone, nie zmieniam
Koncepcja jest taka aby była możliwość rozbudowy. Np. (znów bez przemyślenia) potrafię sobie wyobrazić że mam wibrację w siedzeniu, i dopisuję sobie opcję śledzenia gałek ocznych (Czy tam głowy) i jak system myśli, że usypiam to poprzez radoi puszcza dźwięk, i siedzenie wibruje. No opcji mogę wymyślać wiele, byle była by taka możliwość.
Popieram
Jak zawsze chodzi o możliwość, czasem robię rzeczy bo mogę, a lubię móc.
radar, 29 lutego 2016, 16:38
Ja też lubię móc... wyłączać te różne zbędne dodatki, ale często się nie da :/
Afordancja, 29 lutego 2016, 17:44
No i to jest problem. (Tzn. nie mówię o systemach bezpieczeństwa). Chociaż np. takie ASR czy jak im tam, widziałem guzik to wyłączania, Pewnie wszędzie oszczędzają, i jak w 90% ludzie i tak nie używają tego wyłącznika to obcinają koszty i guzika "ni ma". I to samo tyczy się tego mojego api, pewnie tylko z pare procent ludzi by z tego korzystało, więc po co się wysilać.
Jak to mówią wolny rynek, jak pojawi się kupa ludzi którzy chcą wyłączać to reklamy będą mówić "nasz samochód ma nawet wyłącznik ASR, nie tak jak inne"