In der Zeit bin ich auf einen Artikel gestossen: „Auch Autos kann man hacken„.
Da beschreiben also die leet haxor amerikanischen „Sicherheitsforscher“, dass man über den Diagnose-Port des Autos Zugriff auf sensible Systeme bekommen und den Fahrer komplett abklemmen kann. Ach? Ich dachte immer, das sei die Funktion des Diagnose-Ports, Komplettzugriff auf die gesamte Elektronik/IT des Fahrzeugs zu bekommen. Und in meinem Auto versteckt sich der Diagnose-Port hinter einer Klappe unterhalb des Aschenbechers im Amaturenbrett.
Wenn ich mir jetzt vorstelle, mit sagen wir mal 180 km/h über eine deutsche Autobahn zu brettern und mitten während der Fahrt springt mir so ein amerikanischer Sicherheitsforscher durch die Tür auf den Beifahrersitz, klemmt seinen Computer an den Diagnose-Port an und übernimmt mein Fahrzeug … ja, das klingt wie eine reale Gefährdung. In Zukunft werde ich bei Geschwindigkeiten oberhalb 130 km/h vorsichtshalber die Türen verriegeln. Kann man in der Elektronik irgendwie automatisch einstellen, ist bei mir aber aktuell aus.
Sehr cool auch der Absatz: „Sie manipulierten den Testwagen auch drahtlos […]. Dafür musste das Opfer-Fahrzeug allerdings bereits mit einem entsprechenden Rechner zum Empfang der Signale verbunden sein.“ Fällt mir auch gar nicht auf, so ein Laptop auf dem Beifahrersitz. Höchstens, wenn kein Platz mehr für meinen eigenen ist.
Aber im Ernst … das ist, wie wenn man auf einem Unix-System dem amerikanischen Sicherheitsforscher das root-Passwort in die Hand drückt und der dann erstaunt feststellt, dass man damit das System kontrollieren und berechtigte Benutzer aussperren kann.
Also wenn der aktuelle Stand der IT-Sicherheitsforschung in Fahrzeugen ist, den Diagnose-Port zu entdecken, na dann gute Nacht. Das ist im Grunde schon wieder peinlich.
Nix neues http://www.spiegel.de/spiegel/0,1518,553198,00.html
Comment by namenotwendig — 24. Mai 2010 @ 19:45
Wobei der Spiegel-Artikel ja fundiert geschrieben ist (und ich es lustig finde, dass Constanze Kurz ihr Auto hackt). Das was die Amerikaner da veranstalten ist meiner Ansicht nach reine Panikmache um externe Forschungsgelder zu bekommen.
Comment by Christian — 24. Mai 2010 @ 21:44
Mit solchen Sachen (gib mir root und Deine Kiste wird p0wned) darf man sogar auf der BlackHat einen Talk halten: https://media.blackhat.com/bh-eu-10/presentations/Papathanasiou/BlackHat-EU-2010-Papathanasiou-Abusing-JBoss-slides.pdf
Hat mich grad nur an Barcelona erinnert, daher dieser fast sinnentleerte Beitrag 🙂
Comment by Tobias — 25. Mai 2010 @ 09:36
Halt halt… ich habe selber in Amerika gewohnt und weiss, dass es beim Oberklassen SUVs (wie z.B. Caddies, Chevys und co.) man so ein Art „SOS Service Assistant“ gibt…
Der ist meistens irgendwo im Armaturenbrett oder im Handschuhfach eingebaut und bei pannen kann man da ein Knopf drücken und man wird mit einem Service Desk Mitarbeiter verbunden. Die Leute von Service Desk haben u.a. die Möglichkeit das Auto über GPS Orten und Notfalls das Auto abzustellen (für den Fall, dass das Auto gestohlen wird).
Wie schon gesagt, dass hängt von der jeweiligen Auto marke (US) und Ausstattung ab 😎
Comment by PowerShell — 25. Mai 2010 @ 11:10
Auto abstellen ist aber was anderes. Dabei wird „nur“ die Zündung unterbrochen. Eine Übernahme des Autos um z.B. das Radio oder die Bremsen zu manipulieren ist dadurch nicht möglich. Das gibt es bekanntlich auch nicht nur für einen Service Assistant sondern auch beispielsweise für den Leasinggeber eines Leasing-Fahrzeugs, wie ein texanisches Autohaus neulich erst erfahren musste. Einige deutsche Mietwagen enthalten sowas auch, um das Auto abzuschalten, wenn es in die Ukraine oder nach Russland gefahren wird. So ein System kann auch nachträglich installiert werden und hat ausser der Zündunterbrechung mit der Elektronik nichts zu tun.
Comment by Christian — 25. Mai 2010 @ 15:54
Und die Blackhat … man darf nicht vergessen, dass die Konferenzen 100% kommerziell sind. Die Vorträge werden deshalb nur zweitrangig nach Qualität und Neuigkeiten ausgewählt undprimäre nach möglichem Interesse der Teilnehmer. „Hot Topics“ die viele Leute zum Buchen verleiten werden eben auch genommen, selbst wenn der konkrete Vortrag nicht erste Klasse ist.
Naja, vielleicht werde ich mal eine Präsentation bei der Blackhat einreichen, wie gefährlich doch der Microsoft SQL-Server ist, wenn man den sa-User ohne Passwort hat, Extended Stored Procedures aktiviert sind (xp_cmdshell) und der SQL-Server auf einem Domain Controller installiert ist. Ich könnte sogar ein Metasploit-Modul schreiben 🙂
Comment by Christian — 25. Mai 2010 @ 16:03
Kommentare gesperrt wegen Spam
Comment by Christian — 29. Juli 2010 @ 15:09