Software-Sicherheitslücken werden ständig gemeldet. Im Allgemeinen ist die Antwort, wenn eine Schwachstelle aufgedeckt wird, dem Forscher, der sie gefunden hat, zu danken (oder in vielen Fällen zu zahlen) und das Problem zu beheben. Das ist die Standardantwort in der Branche.
Eine entschieden untypische Antwort wäre, die Leute, die die Sicherheitslücke melden, zu verklagen, damit sie nicht darüber reden, und dann zwei Jahre damit verbringen, das Problem zu verbergen. Leider hat der deutsche Autobauer Volkswagen genau das getan.
Kryptographische Carjacking
Die fragliche Sicherheitslücke war ein Fehler bei einigen Schlüssellosen Zündsystemen. Diese Systeme, eine High-End-Alternative zu herkömmlichen Schlüsseln, sollen verhindern, dass das Auto entriegelt oder startet, wenn der Schlüssel nicht in der Nähe ist. Der Chip heißt "Megamos Crypto" und wird von einem Dritthersteller in der Schweiz gekauft. Der Chip soll ein Signal vom Auto erkennen und mit einer kryptografisch signierten Nachricht antworten. Können Sie Dokumente elektronisch signieren? Können Sie Dokumente elektronisch signieren? Vielleicht haben Sie gehört, dass Ihre technisch versierten Freunde sowohl die Begriffe elektronische Signatur und digitale Signatur herumwerfen. Vielleicht hast du sie sogar austauschbar gehört. Sie sollten jedoch wissen, dass sie nicht gleich sind. In der Tat, ... Lesen Sie mehr versichert das Auto, dass es in Ordnung ist zu entsperren und zu starten.
Leider verwendet der Chip ein veraltetes Verschlüsselungsschema. Als die Forscher Roel Verdult und Baris Ege diese Tatsache bemerkten, waren sie in der Lage, ein Programm zu erstellen, das die Verschlüsselung durch Hören der Nachrichten zwischen dem Auto und dem Schlüsselanhänger unterbricht. Nach zwei solchen Austauschen kann das Programm den Bereich der möglichen Tasten auf etwa 200.000 Möglichkeiten eingrenzen - eine Zahl, die von einem Computer leicht erzwungen werden kann.
Dieser Prozess ermöglicht es dem Programm, ein "digitales Duplikat" des Schlüsselanhängers zu erstellen und das Auto nach Belieben zu entsperren oder zu starten. All dies kann mit einem Gerät (wie einem Laptop oder einem Telefon) geschehen, das sich in der Nähe des fraglichen Autos befindet. Es erfordert keinen physischen Zugang zum Fahrzeug. Insgesamt dauert der Angriff etwa 30 Minuten.
Wenn dieser Angriff theoretisch klingt, ist es nicht. Nach Angaben der Londoner Metropolitan Police wurden im vergangenen Jahr 42% der Autodiebstähle in London mit Angriffen auf schlüssellose entsperrte Systeme durchgeführt. Dies ist eine praktische Schwachstelle, die Millionen von Autos gefährdet.
All dies ist tragischer, weil schlüssellose Entsperrsysteme wesentlich sicherer sein können als herkömmliche Schlüssel. Der einzige Grund, warum diese Systeme verwundbar sind, ist auf Inkompetenz zurückzuführen. Die zugrunde liegenden Werkzeuge sind weitaus leistungsfähiger als jede physische Sperre, die jemals sein könnte.
Verantwortliche Offenlegung
Die Forscher enthüllten ursprünglich die Sicherheitslücke gegenüber dem Ersteller des Chips und gaben ihnen neun Monate Zeit, um die Sicherheitslücke zu schließen. Als der Erfinder sich weigerte, einen Rückruf zu machen, gingen die Forscher im Mai 2013 zu Volkswagen. Ursprünglich planten sie, den Angriff auf der USENIX-Konferenz im August 2013 zu veröffentlichen, was Volkswagen drei Monate vor Beginn des Angriffs einen Rückruf / Nachrüstung einräumen würde öffentlich werden.
Stattdessen verklagte Volkswagen die Forscher, die Zeitung nicht zu veröffentlichen. Ein britischer High Court stellte sich auf die Seite von Volkswagen und sagte: "Ich erkenne den hohen Stellenwert der akademischen Redefreiheit, aber es gibt einen anderen hohen Wert, die Sicherheit von Millionen von Volkswagen Autos."
Es hat zwei Jahre der Verhandlungen gedauert, aber die Forscher dürfen endlich ihre Arbeit veröffentlichen, abzüglich eines Satzes, der einige wichtige Details über die Replikation des Angriffs enthält. Volkswagen hat die Schlüsselanhänger noch nicht repariert, und auch die anderen Hersteller, die den gleichen Chip verwenden, haben es nicht.
Sicherheit durch Streit
Offensichtlich ist das Verhalten von Volkswagen hier unverantwortlich. Anstatt zu versuchen, das Problem mit ihren Autos zu lösen, schütteten sie stattdessen Gott-weiß-wie viel Zeit und Geld in den Versuch, Leute davon abzuhalten, davon herauszufinden. Das ist ein Verrat an den fundamentalsten Prinzipien guter Sicherheit. Ihr Verhalten hier ist unentschuldbar, beschämend und andere (buntere) Beschimpfungen, die ich Ihnen ersparen werde. Es genügt zu sagen, dass sich verantwortungsbewusste Unternehmen nicht so verhalten sollten.
Leider ist es auch nicht einzigartig. Autohersteller haben den Sicherheitsball fallen gelassen Kann Hacker wirklich Ihr Auto übernehmen? Können Hacker Ihr Auto wirklich übernehmen? Lesen Sie mehr eine Menge in letzter Zeit. Letzten Monat wurde enthüllt, dass ein bestimmtes Modell von Jeep drahtlos durch sein Unterhaltungssystem gehackt werden kann. Wie sicher sind internet-verbundene, selbstfahrende Autos? Wie sicher sind internetfähige, selbstfahrende Autos? Sind selbstfahrende Autos sicher? Könnten mit dem Internet verbundene Autos dazu verwendet werden, Unfälle zu verursachen oder Dissidenten zu ermorden? Google hofft nicht, aber ein aktuelles Experiment zeigt, dass es noch ein weiter Weg ist. Lesen Sie mehr, etwas, das in jedem sicherheitsbewussten Autodesign unmöglich wäre. Nach Fiat Chryslers Kredit haben sie im Zuge dieser Offenbarung mehr als eine Million Fahrzeuge zurückgerufen, aber erst, nachdem die fraglichen Forscher den Hack auf unverantwortlich gefährliche und lebhafte Weise demonstriert haben.
Millionen von anderen mit dem Internet verbundenen Fahrzeugen sind wahrscheinlich für ähnliche Angriffe anfällig - aber niemand hat einen Journalisten mit ihnen schonungslos gefährdet, so dass es keinen Rückruf gab. Es ist durchaus möglich, dass wir diese Veränderungen erst dann sehen, wenn tatsächlich jemand stirbt.
Das Problem ist, dass Autohersteller noch nie Softwarehersteller waren - aber jetzt sind sie es plötzlich. Sie haben keine sicherheitsbewusste Unternehmenskultur. Sie verfügen nicht über das institutionelle Know-how, um diese Probleme richtig zu behandeln oder sichere Produkte zu entwickeln. Wenn sie damit konfrontiert werden, reagieren sie zuerst mit Panik und Zensur, nicht mit Korrekturen.
Es dauerte Jahrzehnte, bis moderne Softwareunternehmen gute Sicherheitspraktiken entwickelten. Einige, wie Oracle, sind immer noch mit veralteten Sicherheits-Kulturen stecken. Oracle will Sie aufhören, sie zu senden. Bugs - hier ist, warum das verrückt ist. Oracle will Sie aufhören, sie zu senden Bugs - hier ist, warum das verrückt ist Oracle ist in heißem Wasser über einen fehlgeleiteten Blog-Beitrag von Sicherheit Chef, Mary Davidson. Diese Demonstration, wie Oracles Sicherheitsphilosophie vom Mainstream abweicht, wurde in der Sicherheitsbranche nicht gut aufgenommen ... Read More. Leider haben wir nicht den Luxus, einfach darauf zu warten, dass Unternehmen diese Praktiken entwickeln. Autos sind teure (und extrem gefährliche) Maschinen. Sie sind einer der kritischsten Bereiche der Computersicherheit nach einer grundlegenden Infrastruktur wie dem Stromnetz. Mit dem Aufstieg von selbstfahrenden Autos Geschichte ist Bunk: Die Zukunft des Transports wird wie nichts sein, was man gesehen hat, bevor die Geschichte Bunk ist: Die Zukunft des Transports wird wie nichts sein, was man gesehen hat In ein paar Jahrzehnten, der Ausdruck ' fahrerloses Auto wird sich sehr nach "pferdelosen Kutschen" anhören, und die Idee, ein eigenes Auto zu besitzen, wird so eigenartig klingen wie das eigene Graben. Lesen Sie insbesondere, diese Unternehmen müssen es besser machen, und es ist unsere Verantwortung, sie auf einem höheren Standard zu halten.
Während wir daran arbeiten, müssen wir zumindest dafür sorgen, dass die Regierung aufhört, dieses schlechte Verhalten zu ermöglichen. Unternehmen sollten nicht einmal versuchen, die Gerichte zu benutzen, um Probleme mit ihren Produkten zu verbergen. Aber solange einige von ihnen bereit sind, es zu versuchen, sollten wir sie nicht zulassen. Es ist wichtig, dass wir Richter haben, die sich der Technologie und Praktiken der sicherheitsbewussten Softwareindustrie genügend bewusst sind, um zu wissen, dass diese Art von Gag-Bestellung niemals die richtige Antwort ist.
Was denken Sie? Sorgen Sie sich um die Sicherheit Ihres Fahrzeugs? Welcher Autobauer ist am besten (oder am schlechtesten) in Sachen Sicherheit?
Bildnachweis: Eröffnen sein Auto von Nito über Shutterstock