Menü: WeBLOG
Kommentare (1)
| Lücke in BMW Connected Drive ermöglicht unberechtigtes Öffnen des KFZ (31.01.2014) |
| Sie besitzen ein Fahrzeug der Marke BMW, Mini oder Rolls Royce mit Produktionsdatum zwischen 03.2010 und dem 08.12.2014, welches mit Connected Drive ausgestattet ist? Dann sollten Sie unbedingt überprüfen, ob sich Ihr Auto "aktualisiert" hat, denn ansonsten laufen Sie Gefahr, dass Ihr KFZ unberechtigt ohne Ihr Zutun per Mobilfunk geöffnet werden kann. Und das in wenigen Minuten. Der Werbeslogan "Vernetzt mit Ihrer Welt" von Connected Drive bekommt so eine ganz neue kabarettistische Bedeutung. |
| Betroffen sind schätzungsweise 2,2 Millionen Fahrzeuge weltweit und 423.000 in Deutschland. Die eklatante Sicherheitslücke wurde von einem Experten, der vom ADAC engagiert wurde und datenschutztechnisch untersuchen sollte, was Connected Drive so alles an den Hersteller überträgt, durch Zufall entdeckt. Offenbar erfolgte die Übertragung der Daten zwischen dem Fahrzeug und einiger Remote Sevices (Dienste), die eine Entriegelung per Smartphone-App ermöglicht, unverschlüsselt (??? Ja, Sie haben richtig gelesen - wir konnten das zuerst auch nicht glauben) bzw. kamen bei manchen Diensten die gleichen symmetrischen Schlüssel für alle Fahrzeuge zum Einsatz (einmal abgegriffen reicht). Für das Öffnen eines Fahrzeugs war zudem die Fahrgestellnummer erforderlich. Kein Problem, denn das Steuergerät antwortete beim ersten Fehl-Versuch mit einer Fehlermeldung und verwendete als Absender ausgerechnet die Fahrgestellnummer, die dann beim zweiten Versuch erfolgreich zum Einsatz kam. BMW wurde über das Leck bereits letztes Jahr informiert und hat die Lücke durch eine Änderung an der Konfiguration geschlossen, will heissen nun erfolgt die Übertragung per https-Protokoll transportverschlüsselt. Aber nur dann, wenn das seit 08.12.2014 ausgelieferte automatische Update das Auto per Mobilfunk erreicht hat, was bei abgeklemmter Batterie oder bei längeren Aufenthalten in Tiefgaragen durch mangelnde Mobilfunk-Erreichbarkeit nicht der Fall ist. Das Update kann manuell über die Funktion "Dienste aktualisieren" im Fahrzeugmenü ausgelöst werden oder man ruft sicherheitshalber BMW unter der Hotline 089/1 25 01 60 10 an, um nachzufragen, ob die Aktualisierung erfolgte, denn man kann als Autobesitzer leider nicht erkennen, ob diese wirklich durchgeführt wurde. Denn die Veröffentlichung der Sicherheitslücke wurde seitens des Herstellers und des ADAC jetzt erst bekannt gemacht, um Hacker nicht auf die Möglichkeiten hinzuweisen. Deshalb lief das Connected-Drive-Update bisher auch "geheim" im Hintergrund ab. So funktioniert die Öffnung per Mobile-APP:
Das Ganze ist sehr peinlich für den Autohersteller BMW, denn die bisherige Umsetzung dieser Computertechnik erfolgte doch eher stümperhaft und ist von den Sicherheits-Standards, die in anderen Branchen schon lange üblich sind, mehr als weit entfernt. In Sicherheitsbelangen sollte zudem eine neutrale Stelle die Güte des Schutzes bestätigen (übliche Zertifizierung über Audit-Verfahren), was bis heute bei Connected Drive leider ausfällt. Das Zitat "Die Sicherheit und der autorisierte Zugriff auf das Fahrzeug stehen im Vordergrund unserer Online-Dienste und -Services. Zum einen werden alle Dienste über ein BMW-eigenes, mit diversen Sicherheits-Features ausgestattetes Backend geroutet, zum anderen werden diese Dienste im Fahrzeug an ein Gateway geroutet, das nur autorisierte und vorher festgelegte Nachrichten und Daten weitergibt." seitens eines Sprechers von BMW in einem Interview von Anfang 2014 mit der c`t war offensichtlich eine vollmundige Fehleinschätzung der eigenen Fähigkeiten. Es sei nochmals erwähnt: Die Übertragung zu den Servern erfolgte vor dem Update teilweise unverschlüsselt...und das Steuergerät gab die Fahrgestellnummer ohne Not preis - ein Armutszeugnis für die Verantwortlichen! Auch stellt sich doch die berechtigte Frage, warum sollte man sein Auto per App öffnen wollen, obwohl es doch schon lange bewährte und sichere(re) Methoden gibt. Selbst wenn die Technik ausgereift sein sollte, besteht die Möglichkeit über andere Sicherheitslücken des Smartphones an die App heranzukommen, um das Fahrzeug zu öffnen oder andere Manipulationen vorzunehmen. Das Entwenden eines herkömmlichen Schlüssels ist auf den Personenkreis im Umfeld des Besitzers beschränkt, der potentielle Zugriff auf das Smartphone ist dagegen der ganzen Welt über das Web möglich... Im Frühjahr 2014 war die Automarke Tesla bereits Opfer eines ähnlichen Hacks. Man konnte das Modell Tesla S per iOS-App öffnen, wenn das selbst gewählte sechsstellige Kundenpasswort der Tesla-App gehackt wurde. Wie schnell so etwas - bei einer nur sechstelligen Zeichenfolge - geht, können Sie über unseren Passwortcheck prüfen. Fazit: Vor dem Hintergrund bald autonom fahrender Autos auf unseren Strassen sehen wir der Technik vernetzter KFZ mit grosser Sorge entgegen. Denn ein gehacktes Fahrzeug ist eine rollende Zeitbombe. |
|
Kommentare (1) zu diesem BLOG-Eintrag
|
Menü: WeBLOG
