VW sagsøgte forskere for at skjule sikkerhedsfejl i to år

  • Lesley Fowler
  • 0
  • 5094
  • 1443
Reklame

Softwaresikkerhedsproblemer rapporteres hele tiden. Generelt er svaret, når en sårbarhed afdækkes, at takke (eller i mange tilfælde betale) den forsker, der fandt det, og derefter løse problemet. Det er standardreaktionen i branchen.

Et bestemt ikke-standardiseret svar ville være at sagsøge de mennesker, der rapporterede sårbarheden, for at forhindre dem i at tale om det og derefter bruge to år på at forsøge at skjule problemet. Desværre er det netop, hvad den tyske bilproducent Volkswagen gjorde.

Kryptografisk carjacking

Den pågældende sårbarhed var en fejl ved nogle biler 'nøglefri tændingssystem. Disse systemer, et avanceret alternativ til konventionelle nøgler, formodes at forhindre bilen i at låse op eller starte, medmindre nøglehovedet er i nærheden. Chippen kaldes “Megamos Crypto,” og købes fra en tredjepartsproducent i Schweiz. Chippen er beregnet til at registrere et signal fra bilen og svare med en kryptografisk signeret meddelelse Kan du elektronisk underskrive dokumenter og skal du? Kan du underskrive dokumenter elektronisk og skal du? Måske har du hørt dine teknisk-kyndige venner smide både udtrykkene elektronisk signatur og digital signatur rundt. Måske har du endda hørt dem bruges om hverandre. Du skal dog vide, at de ikke er ens. Faktisk ... at forsikre bilen om, at det er okay at låse op og starte.

Desværre bruger chippen et forældet kryptografisk skema. Da forskerne Roel Verdult og Baris Ege bemærkede denne kendsgerning, var de i stand til at oprette et program, der bryder krypteringen ved at lytte til beskederne mellem bilen og nøglehovedet. Efter at have hørt to sådanne udvekslinger er programmet i stand til at indsnævre række mulige taster ned til ca. 200.000 muligheder - et tal, der let kan brute-tvungen af ​​en computer.

Denne proces giver programmet mulighed for at oprette en “digital duplikat” på nøglehovedet, og lås eller start bilen efter eget ønske. Alt dette kan udføres af en enhed (som en bærbar computer eller en telefon), der tilfældigvis befinder sig i nærheden af ​​den pågældende bil. Det kræver ikke fysisk adgang til køretøjet. I alt tager angrebet cirka tredive minutter.

Hvis dette angreb lyder teoretisk, er det ikke. Ifølge Londons Metropolitan Police blev 42% af biltyverier i London sidste år udført ved hjælp af angreb mod nøglefri ulåste systemer. Dette er en praktisk sårbarhed, der sætter millioner af biler i fare.

Alt dette er mere tragisk, fordi nøglefri oplåsningssystemer kan være meget mere sikre end konventionelle taster. Den eneste grund til, at disse systemer er sårbare, skyldes inkompetence. De underliggende værktøjer er langt mere kraftfulde end nogen fysisk lås nogensinde kunne være.

Ansvarlig videregivelse

Forskerne afslørede oprindeligt sårbarheden for skaberen af ​​chippen, hvilket gav dem ni måneder til at ordne sårbarheden. Da skaberen nægtede at udsende en tilbagekaldelse, gik forskerne til Volkswagen i maj 2013. De planlagde oprindeligt at offentliggøre angrebet på USENIX-konferencen i august 2013, hvilket gav Volkswagen cirka tre måneder til at starte en tilbagekaldelse / eftermontering, før angrebet ville blive offentlig.

I stedet sagsøgte Volkswagen at forhindre forskerne i at offentliggøre papiret. En britisk højesteret sidder med Volkswagen og sagde “Jeg anerkender den høje værdi af akademisk fri ytring, men der er en anden høj værdi, sikkerheden i millioner af Volkswagen-biler.”

Det har taget to års forhandlinger, men forskerne får endelig lov til at offentliggøre deres papir minus 1 sætning, der indeholder et par nøgleinformationer om replikering af angrebet. Volkswagen har stadig ikke fikset nøglehovedene, og heller ikke har de andre producenter, der bruger den samme chip.

Sikkerhed ved litigiousness

Naturligvis er Volkswagens opførsel grovt uansvarlig. I stedet for at prøve at løse problemet med deres biler, hældte de i stedet gud - ved, hvor meget tid og penge det var for at forsøge at forhindre folk i at finde ud af det. Det er et forræderi med de mest grundlæggende principper for god sikkerhed. Deres opførsel her er utilgivelig, skammelig og andre (mere farverige) invektiver, som jeg vil skåne dig. Det er tilstrækkeligt at sige, at dette ikke er, hvordan ansvarlige virksomheder skal opføre sig.

Desværre er det heller ikke unikt. Bilproducenter har droppet sikkerhedsbolden Kan hackere VIRKELIG tage over din bil? Kan hackere virkelig overtage din bil? meget for sidst. I sidste måned blev det afsløret, at en bestemt model af Jeep trådløst kunne hackes gennem sit underholdningssystem. Hvor sikre er internetforbindede, selvkørende biler? Hvor sikre er internetforbindende, selvkørende biler? Er selvkørende biler sikre? Kunne internetforbundne biler bruges til at forårsage ulykker eller endda myrde dissenter? Google håber ikke, men et nyligt eksperiment viser, at der stadig er en lang vej at gå. , noget der ville være umuligt i noget sikkerhedsbevidst bildesign. Til Fiat Chryslers kredit huskede de mere end en million køretøjer i kølvandet på denne åbenbaring, men først efter at de pågældende forskere demoede hacket på en uansvarligt farlig og levende måde.

Millioner af andre internetforbundne køretøjer er sandsynligvis sårbare over for lignende angreb - men ingen har uforsvarligt truet en journalist med dem endnu, så der er ikke noget husk. Det er helt muligt, at vi ikke ser ændringer på disse, før nogen faktisk dør.

Problemet her er, at bilproducenter aldrig har været softwareproducenter før - men nu er de pludselig. De har ingen sikkerhedsbevidst virksomhedskultur. De har ikke den institutionelle ekspertise til at håndtere disse problemer på de rigtige måder eller opbygge sikre produkter. Når de står overfor dem, er deres første reaktion panik og censur, ikke rettelser.

Det tog årtier for moderne softwarevirksomheder at udvikle god sikkerhedspraksis. Nogle, ligesom Oracle, sidder stadig fast med forældede sikkerhedskulturer. Oracle vil have dig til at stoppe med at sende dem bugs - her er hvorfor det er skøre Oracle ønsker, at du skal stoppe med at sende dem bugs - her er hvorfor det er skøre Oracle er i varmt vand over et forkert blogindlæg af sikkerhed chef, Mary Davidson. Denne demonstration af, hvordan Oracle's sikkerhedsfilosofi afviger fra mainstream, blev ikke modtaget godt i sikkerhedssamfundet…. Desværre har vi ikke den luksus at blot vente på, at virksomheder udvikler denne praksis. Biler er dyre (og ekstremt farlige) maskiner. De er et af de mest kritiske områder inden for computersikkerhed efter grundlæggende infrastruktur som det elektriske net. Med stigningen i selvkørende biler Historien er køje: Fremtiden for transport vil være som intet, du har set før Historien er køje: Fremtiden for transport vil være som intet, du har set før om nogle årtier, udtrykket ' førerløs bil 'lyder meget, som' hesteløs vogn ', og ideen om at eje din egen bil vil lyde så malerisk som at grave din egen brønd. især disse virksomheder skal gøre det bedre, og det er vores ansvar at holde dem til en højere standard.

Mens vi arbejder på det, er det mindste, vi kan gøre, at få regeringen til at stoppe med at aktivere denne dårlige opførsel. Virksomheder bør ikke engang prøve at bruge domstolene til at skjule problemer med deres produkter. Men så længe nogle af dem er villige til at prøve, bør vi bestemt ikke lade dem. Det er vigtigt, at vi har dommere, der er opmærksomme på teknologien og praksis i den sikkerhedsbevidste softwarebranche til at vide, at denne form for gag-orden aldrig er det rigtige svar..

Hvad synes du? Er du bekymret for dit køretøjs sikkerhed? Hvilken bilproducent er bedst (eller værst) ved sikkerhed?

Billedkreditter: åbner sin bil ved nito via Shutterstock




Endnu ingen kommentarer

Om moderne teknologi, enkel og overkommelig.
Din guide i en verden af moderne teknologi. Lær hvordan du bruger de teknologier og gadgets, der omgiver os hver dag, og lær, hvordan du finder interessante ting på Internettet.