VW hat Forscher verklagt, Sicherheitslücken für zwei Jahre zu verbergen

Software-Sicherheitslücken werden ständig gemeldet. Wenn eine Sicherheitslücke aufgedeckt wird, muss man im Allgemeinen dem Forscher, der sie gefunden hat, danken (oder in vielen Fällen dafür zahlen) und dann das Problem beheben. Das ist die Standardantwort in der Branche.

Eine eindeutig nicht standardisierte Antwort wäre, die Personen, die die Schwachstelle gemeldet haben, zu verklagen, sie davon abzuhalten, darüber zu sprechen, und dann zwei Jahre damit verbringen, das Problem zu verbergen. Leider hat genau dies der deutsche Automobilhersteller Volkswagen getan.

Kryptografisches Carjacking

Die fragliche Sicherheitslücke war ein Fehler in einem schlüssellosen Zündsystem einiger Autos. Diese Systeme, eine High-End-Alternative zu herkömmlichen Schlüsseln, sollen verhindern, dass sich das Auto entriegelt oder startet, wenn sich der Schlüsselanhänger nicht in der Nähe befindet. Der Chip heißt “Megamos Crypto,” und wird von einem Dritthersteller in der Schweiz erworben. Der Chip soll ein Signal vom Auto erkennen und mit einer kryptografisch signierten Nachricht antworten. Können Sie Dokumente elektronisch signieren & sollten Sie? Können Sie Dokumente elektronisch signieren? Vielleicht haben Sie gehört, dass Ihre technisch versierten Freunde sowohl die Begriffe elektronische Signatur als auch digitale Signatur verwenden. Vielleicht haben Sie sogar gehört, dass sie austauschbar verwendet wurden. Sie sollten jedoch wissen, dass sie nicht gleich sind. In der Tat… Lesen Sie mehr, um dem Auto zu versichern, dass es in Ordnung ist, es zu entsperren und zu starten.

Leider verwendet der Chip ein veraltetes kryptographisches Schema. Als die Forscher Roel Verdult und Baris Ege dies bemerkten, gelang es ihnen, ein Programm zu erstellen, das die Verschlüsselung durch Abhören der Nachrichten zwischen dem Auto und dem Schlüsselanhänger aufhebt. Nach zwei solcher Austausche kann das Programm den Bereich der möglichen Tasten auf etwa 200.000 Möglichkeiten einschränken - eine Zahl, die von einem Computer leicht brutal erzwungen werden kann.

Dieser Prozess ermöglicht es dem Programm, eine “digitales Duplikat” des Schlüssels, und entsperren oder starten Sie das Auto nach Belieben. All dies kann von einem Gerät (wie einem Laptop oder einem Telefon) ausgeführt werden, das sich in der Nähe des betreffenden Fahrzeugs befindet. Es ist kein physischer Zugang zum Fahrzeug erforderlich. Insgesamt dauert der Angriff etwa dreißig Minuten.

Wenn dieser Angriff theoretisch klingt, ist das nicht der Fall. Laut der Londoner Metropolitan Police wurden im vergangenen Jahr 42% der Autodiebstähle in London mit Angriffen auf schlüssellose entsperrte Systeme durchgeführt. Dies ist eine praktische Verwundbarkeit, die Millionen von Autos gefährdet.

Dies alles ist tragischer, da schlüssellose Entriegelungssysteme wesentlich sicherer sein können als herkömmliche Schlüssel. Der einzige Grund, warum diese Systeme anfällig sind, liegt in der Inkompetenz. Die zugrunde liegenden Tools sind weitaus leistungsfähiger als es je eine physische Sperre sein könnte.

Verantwortliche Offenlegung

Die Forscher offenbarten ursprünglich die Verwundbarkeit gegenüber dem Schöpfer des Chips und gaben ihnen neun Monate, um die Verwundbarkeit zu beheben. Als der Schöpfer sich weigerte, einen Rückruf zu veröffentlichen, gingen die Forscher im Mai 2013 zu Volkswagen. Ursprünglich hatten sie geplant, den Angriff auf der USENIX-Konferenz im August 2013 zu veröffentlichen, sodass Volkswagen etwa drei Monate Zeit hatte, einen Rückruf / Retrofit zu beginnen, bevor der Angriff stattfinden würde öffentlich werden.

Stattdessen verklagte Volkswagen die Forscher, die Zeitung nicht zu veröffentlichen. Ein britisches Obergericht hat sich auf die Seite von Volkswagen gestellt “Ich erkenne den hohen Wert der akademischen Meinungsfreiheit, aber es gibt noch einen weiteren hohen Wert: die Sicherheit von Millionen von Volkswagen Autos.”

Es hat zwei Jahre gedauert, aber die Forscher dürfen endlich ihre Arbeit veröffentlichen, abgesehen von einem Satz, der einige wichtige Details zur Nachbildung des Angriffs enthält. Volkswagen hat die Schlüsselanhängern immer noch nicht repariert und auch die anderen Hersteller, die denselben Chip verwenden.

Sicherheit durch Rechtsstreitigkeit

Offensichtlich ist das Verhalten von Volkswagen hier grob unverantwortlich. Anstatt zu versuchen, das Problem mit ihren Autos zu beheben, gaben sie stattdessen Gott-Weiß, wie viel Zeit und Geld in den Versuch, die Menschen davon abzuhalten, etwas davon zu erfahren. Das ist ein Verrat an den grundlegendsten Prinzipien guter Sicherheit. Ihr Verhalten hier ist unentschuldbar, beschämend und andere (buntere) Ansteckungspunkte, die ich Ihnen ersparen werde. Es genügt zu sagen, dass sich verantwortungsbewusste Unternehmen nicht so verhalten sollten.

Leider ist es auch nicht einzigartig. Autohersteller haben den Sicherheitsball fallen lassen Können Hacker wirklich Ihr Auto übernehmen? Können Hacker wirklich Ihr Auto übernehmen? Lesen Sie in letzter Zeit eine Menge. Im letzten Monat wurde bekannt, dass ein bestimmtes Jeep-Modell über sein Unterhaltungssystem drahtlos gehackt werden kann. Wie sicher sind internetgestützte, selbstfahrende Autos? Wie sicher sind autonome Autos, die mit dem Internet verbunden sind? Sind selbstfahrende Autos sicher? Können mit dem Internet verbundene Automobile Unfälle verursachen oder sogar Dissidenten ermorden? Google hofft dies nicht, aber ein aktuelles Experiment zeigt, dass es noch ein weiter Weg ist. Lesen Sie mehr, etwas, das in einem sicherheitsbewussten Fahrzeugdesign nicht möglich wäre. Nach Fiat Chryslers Guthaben erinnerten sie sich an mehr als eine Million Fahrzeuge im Anschluss an diese Offenbarung, aber erst, nachdem die fraglichen Forscher den Hack auf unverantwortliche, gefährliche und lebhafte Weise demonstrierten.

Millionen anderer Fahrzeuge, die mit dem Internet verbunden sind, sind wahrscheinlich anfällig für ähnliche Angriffe. Allerdings hat noch niemand einen Journalisten damit bedroht, so dass es keinen Rückruf gibt. Es ist durchaus möglich, dass sich daran nichts ändert, bis tatsächlich jemand stirbt.

Das Problem hier ist, dass Automobilhersteller noch nie Software-Hersteller waren - jetzt aber plötzlich. Sie haben keine sicherheitsbewusste Unternehmenskultur. Sie verfügen nicht über das institutionelle Know-how, um diese Probleme auf die richtige Weise anzugehen oder sichere Produkte zu bauen. Wenn sie mit ihnen konfrontiert werden, ist ihre erste Reaktion Panik und Zensur, keine Fixes.

Moderne Softwarefirmen brauchten Jahrzehnte, um gute Sicherheitspraktiken zu entwickeln. Einige, wie Oracle, stecken immer noch in veralteten Sicherheitskulturen. Oracle will Sie aufhören, ihnen Bugs zu senden - hier ist der Grund, dass das verrückt ist Oracle möchte, dass Sie sie nicht mehr senden - Sie sind hier, warum das ist verrückt Chef, Mary Davidson. Diese Demonstration, wie die Sicherheitsphilosophie von Oracle vom Mainstream abweicht, wurde von der Sicherheitsgemeinschaft nicht gut angenommen… Lesen Sie mehr. Leider haben wir nicht den Luxus, einfach darauf zu warten, dass Unternehmen diese Praktiken entwickeln. Autos sind teure (und extrem gefährliche) Maschinen. Sie sind nach der grundlegenden Infrastruktur wie dem Stromnetz einer der kritischsten Bereiche der Computersicherheit. Mit dem Aufstieg der selbstfahrenden Autos Geschichte ist Bunker: Die Zukunft des Transports wird wie nichts sein, was Sie zuvor gesehen haben Geschichte ist Bunke: Die Zukunft des Transports wird wie nichts sein, was Sie zuvor gesehen haben In einigen Jahrzehnten lautet der Satz " Das fahrerlose Auto 'klingt furchtbar wie' pferdlose Kutsche ', und die Idee, ein eigenes Auto zu besitzen, klingt so komisch wie das eigene Graben. Lesen Sie vor allem diese Unternehmen müssen es besser machen, und es liegt in unserer Verantwortung, sie an einen höheren Standard zu halten.

Während wir daran arbeiten, können wir zumindest die Regierung dazu bringen, dieses schlechte Verhalten nicht mehr zuzulassen. Unternehmen sollten nicht einmal versuchen, die Gerichte zu nutzen, um Probleme mit ihren Produkten zu verbergen. Aber solange einige von ihnen bereit sind, es zu versuchen, sollten wir sie bestimmt nicht zulassen. Es ist äußerst wichtig, dass wir Richter haben, die die Technologie und die Praktiken der sicherheitsbewussten Softwareindustrie so gut kennen, dass sie wissen, dass diese Art von Gag Order niemals die richtige Antwort ist.

Was denkst du? Sind Sie besorgt über die Sicherheit Ihres Fahrzeugs? Welcher Autohersteller ist am besten (oder am schlechtesten) in Sachen Sicherheit?

Bildnachweis: Das Auto wird von nito via Shutterstock geöffnet

Erfahren Sie mehr über: Automobiltechnik, Hacking.