Slo-Tech - Novi Hyundaijevi avtomobili imajo razvedrilno-informacijski sistem (infotainment vehicle system, IVI), ki se lahko tudi posodablja. Čeprav je zaščiten s šifrirnimi ključi, ki naj bi načeloma preprečevali nepooblaščene posege in posodobitve, je Hyundai uporabil kar javno dostopne zasebne ključe, ki so v internetni literaturi o šifriranju navedeni med primeri.
Eden izmed lastnikov modela Hyundai Ioniq SEL (2021) je želel zamenjati IVI. Ugotovil je, kako se povezati z računalnikom. Sistem je nastavljen tako, da sprejema nadgradnje v obliki z geslom zaščitene datoteke ZIP. Opis in geslo je našel na spletni strani Mobis, kar mu je omogočilo izdelavo primerno zaščitene datotek ZIP, ki jo sistem prepozna in samodejno namesti. Toda odtis operacijskega sistema (firmware image) mora biti šifriran s simetričnim ključem AES CBC (Cipher-Block-Chaining). Ta sicer že dlje časa velja za nezadosten način zaščite, a to ni glavni problem. Še vedno namreč potrebujemo ključ, s katerim zašifriramo vsebino. V teoriji bi ga moral imeti le Hyundai.
Izkazalo se je, da je Hyundai uporabil kar 128-bitni ključ, ki je kot primer naveden v NIST-ovem dokumentu SP800-38A. S tem je uporabnik lahko odšifriral tovarniški firmware. Ugotovil je, da so tudi za asimetrično šifriranje uporabili ključa, ki sta javno navedena v spletnih priročnikih, denimo "RSA Encryption & Decryption Example with OpenSSL in C. Z drugimi besedami, Hyundai je v kodo zapisal javni ključ, ki ga spletno iskanje odkrije v javnem priročniku. Ta priročnik pa vsebuje tudi pripadajoč zasebni ključ, ki deluje.
Lahko bi ugovarjali, da je s tem Hyundai v resnici poskrbel, da je programska oprema nadgradljiva in da lahko kupci popravljajo svoja vozila. Zaklepanje izdelkov pred posegi je svojevrsten problem, ki je trenutno najbolj pereč pri kmetijski mehanizaciji, a to ni zgodba o tem. Predvsem pa Hyundai tega ni želel. Bili so samo - površni.
Ob takšnih novicah se ljudje lahko zgolj praskamo po glavi in se sprašujemo, če je kaj takšnega res mogoče. Kako je lahko firma tako šlampasta, da je za ta del avtomobila zadolžila ljudi, ki so tako nesposobni, da so si privoščili takšen kiks? Kje vse so še varčevali pa bi bilo boljše, če ne bi?
Škoda časa za ta režimski forum.
Pobrišite post, iz bunkerja vas že kličejo.
Adijo mod Rdeči Kmeri.
Ob takšnih novicah se ljudje lahko zgolj praskamo po glavi in se sprašujemo, če je kaj takšnega res mogoče. Kako je lahko firma tako šlampasta, da je za ta del avtomobila zadolžila ljudi, ki so tako nesposobni, da so si privoščili takšen kiks? Kje vse so še varčevali pa bi bilo boljše, če ne bi?
Delam v IT že 15+ let in me taka novica čisto nič ne preseneti. Še večje šlamparije se skrivajo marsikje v ozadju pa še niso odkrite in mogoče nikoli ne bodo.
Zato pa ne bom _NIKOLI_ imel stvari ki so always online in so "nujne". Če bo treba, bom hodil peš. Bicikl si znam pa tudi sam sešvasat v najhujšem primeru.
Če prebereš celotno zgodbo vidiš , da postopek niti ni bil povsem enostaven in je razbitju zaščite delno prispevala tudi sreča. Definitivno, gre pa za feller iz hyunajove strani.
Zato pa ne bom _NIKOLI_ imel stvari ki so always online in so "nujne". Če bo treba, bom hodil peš. Bicikl si znam pa tudi sam sešvasat v najhujšem primeru.
Jp. Enako tu. Če bo treba bom šel peš. Kupoval stare kripe. Inštaliral win 3.1 če ne gre drugače. Dovolj mi je tega posiljevanja.
Drugače pa Hyundaijev IVI razvijajo Nemci. So bili površni? Dvomim. Prej bi rekel, da se s tem niso ukvarjali in da če se komu ljubi poskušati zamenjat firmware in ga še enkrat šifrirati itd. naj kar. Imajo pa zadaj podprto platformo, da lahko zaklenejo z lastnim ključem, če bi hoteli.
Upam da ne delajo tudi ostalih komponent vozila na ta način.
Itak da jih.
Če se je kdo spraševal kako to, da so se v avtomobilskih sistemih (se še kdo spomni "kodiranih ključev"), telefonskih sistemih (SS7 , GSM "enskripcija",...), satelitskih sistemih, itd. dogajajo taki security felerji... to je odgovor.
Preprosto, tam imajo ljudi, ki sicer zelo dobro obvladajo svoj osnovni posel, ampak o securityju pa vedo zelo malo.
Zato pa ne bom _NIKOLI_ imel stvari ki so always online in so "nujne". Če bo treba, bom hodil peš. Bicikl si znam pa tudi sam sešvasat v najhujšem primeru.
Jp. Enako tu. Če bo treba bom šel peš. Kupoval stare kripe. Inštaliral win 3.1 če ne gre drugače. Dovolj mi je tega posiljevanja.
Bi prisegel, da se je en vostok tu na forumu v Tesla circlejerk temi zaklinjal da so samovozeči always-online AI avtomobili prihodnost? Any relation? Jaz sem že takrat pisal zakaj je to slaba ideja in zakaj bom ostal ludit v tem pogledu.
Jah šef je rekel: "Tone, daj ti tale FW naredi, 3 mesece imaš cajta, če ti bo pa kaj cajta ostalo pa še malo zavaruj zadevo.", in Tonetu je pač ostalo še 5 minut cajta in je zadevo "zavaroval" kot jo pač je. Videno ničkolikokrat.
Varnost informacijskih sistemov, v firmah katerih glavni biznis niso informacijski sistemi sami, je šefova zadnja briga.
Ker zdaj še imaš izbiro, čez nekaj let jo pa ne boš imel več.
Razen, če se boš šel "puščavnika".
Novega avta, brez GPS in GSM modula mislim, da sploh se ne da več dobiti.
Kako pa bojo ob samorazkritju Reptilijanci lahko polovili vse upornike, če ne bo tega sledenja? /s
Raje se vprašaj zakaj FSB nebi hacknila nekega random serverja (slučajno Tesla FW update server), in potem slučajno naložila gor nek čuden FW, ki čisto slučajno povzroči, da avtomobili na nekih specifičnih koordinatah (kjer se redno vozi nek anti-Putler disident) da "gas" na max in zaklene volan? Tko čist by-the potka.
Ja, saj vem, že zdaj te lahko ofnejo, če si tarča.
Ampak terorist, ki pa recimo nič za zgubit (think random snackbar kozjeljubec), pa v takem primeru komot povzroči večje število žrtev kot COVID med delovno aktivno populacijo ...
Kljucna informacija je kaj lahko nekdo, ki uporabi ta kljuc, naredi s tem. Torej kateri varnostni cilji so lahko ogrozeni. Ko gre za infotainment ni nujno kriticno, je pa to stvar ustrezenega procesa (analiz). Ce izbira kljuca ni primerna, bo potrebno dvigniti kulturo v podjetju na ustrezen nivo.
Mednarodni standard za kibernetsko varnost, prilagojen za potrebe avtomobilske industrije (ISO 21434), je namrec precej nov (2021-08) in bo se nekaj casa preteklo, da se ga ustrezno osvoji po celi verigi*. Je pa s tem vsaj postavljen minimalen standard, ki ga morajo proizvajalci izpolnjevati.
*Fin prikaz procesa, kjer je stvar precej podobna funkcionalni varnosti:
Takole si pa velike firme predstavljajo security, ce imas varen produkt, se nimas za kaj sekirati, ce kdo, recimo Mythbusters razlozijo kako deluje... mar ne?
Ker zdaj še imaš izbiro, čez nekaj let jo pa ne boš imel več.
Razen, če se boš šel "puščavnika".
Novega avta, brez GPS in GSM modula mislim, da sploh se ne da več dobiti.
Kako pa bojo ob samorazkritju Reptilijanci lahko polovili vse upornike, če ne bo tega sledenja? /s
Raje se vprašaj zakaj FSB nebi hacknila nekega random serverja (slučajno Tesla FW update server), in potem slučajno naložila gor nek čuden FW, ki čisto slučajno povzroči, da avtomobili na nekih specifičnih koordinatah (kjer se redno vozi nek anti-Putler disident) da "gas" na max in zaklene volan? Tko čist by-the potka.
Ja, saj vem, že zdaj te lahko ofnejo, če si tarča.
Ampak terorist, ki pa recimo nič za zgubit (think random snackbar kozjeljubec), pa v takem primeru komot povzroči večje število žrtev kot COVID med delovno aktivno populacijo ...
Ampak Vostok kot vedno implicira, da avto fabrke to vgrajujejo namenoma zato, da bi lahko “men behind the curtain” izvajali neke takšne rabote. Se strinjam s tabo, da takšne luknje nenamerno omogočajo barabam, da jih izkoristijo, definitivno pa ne verjmem Vostokovim blodnjam.
PS: Drugače sem videl video o tem, kako se na daljavo prevzame kontrolo nad avtomobilom preko internetne povezljivosti le-tega že v prejšnjem desetletju.
Škoda časa za ta režimski forum.
Pobrišite post, iz bunkerja vas že kličejo.
Adijo mod Rdeči Kmeri.
Jaz pa sem presenecen, ce gre za dobavitelja. Ker to je prej stvar OEM-a. Podobno so v Boeingu krivili programerje v Indiji, pa je bilo hitro jasno kje je bistvo problema (ljudem z industrije pa se prej).
Aja... kaj pravite? Da za lastno boljso prihodnost niste pripravljeni storiti nicesar? Da je treba ziveti danes?
Hm, mogoce bom sel pa delat za avtomobilsko industrijo, s tako maso kretenov ne morejo sfalit.
Sem poln idej, stevilo pritiskov bremze na mesecno narocnino (vse kar preseze zakupljeno kolicino, se racuna trojno), kolicina pretocenega bencina na mesecno narocino (vsak dotocen liter 1 euro vec; zakaj bi samo naftasi sluzili), dovoljena zunanja temperatura voznje na mesecno narocnino (recimo od -5 do +5 je 50 eurov, od -10 do +25 je 100 eurov, +25 (morje) je 500 eurov / mesec navzgor... za uporabo izven 30km/dan v juniju, juliju in avgustu vse najemnine * 3,...
Pa odklep avtomobila po principu "kljuc je kreditna kartica in pin", da se lahko sproti trga. Presegel mesecno zakupljeno kolicino uporabe bremze in dosegel limit na kartici? Zaradi varnosti takojsna upocasnitev in ustavitev motorja, zagon onemogocen do sprostitve limita.
Zabite ofce, ki niso sposobne razmisljati vnaprej, je treba ostrizt do krvi, pa se kaksno ledvico pobrati.
(p.s.: se spomnite (seveda se ne, smrkavci), ko so ljudje popravljali avtomobile doma? Ko je vsak vaski orodjar bil sposoben popravit avto, brez posebne opreme, posebnih kljucev,...? No zdaj si lahko pogledate kam je zadeva prisla, ker se kreteni niso bili sposobni zadrzati in je kupovala blescece avtomobile z vedno vec "vendor lockin" featurjev. Mislite, da bo v prihodnosti bolje?)
Ob takšnih novicah se ljudje lahko zgolj praskamo po glavi in se sprašujemo, če je kaj takšnega res mogoče. Kako je lahko firma tako šlampasta, da je za ta del avtomobila zadolžila ljudi, ki so tako nesposobni, da so si privoščili takšen kiks? Kje vse so še varčevali pa bi bilo boljše, če ne bi?
Ker niti vecina racunalnicarjev ne ve nicesar o varnosti, kaj šele štromarji in strojniki. Jst že leta govorim "The S in IoT stands for security". Zato ne zaupam nobeni pametni napravi, ki ni racunalnik ali mobitel. Ker embedded programerji se pac ukvarjajo s svojim low level shitom in jim je kriptografija spanska vas.
In to se ne bo spremenilo, ker prevladujoca kultura med temi C/C++ programerji je da ne uprabljas knjiznjic in vse sam izumljas, kar je katastrofa za kripto. Da imas svoje utility rutine in jih kopiras s projekta na projekt. Nikoli jim ne zaupat.
Tukaj se pa celo s @p0f-om strinjam. Vprašanje je samo, kateri letnik vozil je še tisti, ki "ne komunicira" z medmrežjem. Dvomim, da je že kdo naredil tak spisek... Še huje je pa to, da moj novi pralni stroj LG omogoča cel "upload" programa za pranje preko Wi-Fi vmesnika! Ko sem to prebral, mi je bilo, da bi zavihtel sekirco... samo ga na žalost rabim, pa še odplačan ni :( Niso krive naprave, krivi so ljudje, ki "tripajo" na IoT naprave. Vprašanje je samo, kako dopovedati tem ljudjem, da se takšnim napravam NE zaupa, tako, kot so nas kot otroke učili, da NE zaupamo tujcem in neznancem...
Ko ne gre več, ko se ustavi, RESET Vas spet v ritem spravi.
Ob takšnih novicah se ljudje lahko zgolj praskamo po glavi in se sprašujemo, če je kaj takšnega res mogoče. Kako je lahko firma tako šlampasta, da je za ta del avtomobila zadolžila ljudi, ki so tako nesposobni, da so si privoščili takšen kiks? Kje vse so še varčevali pa bi bilo boljše, če ne bi?
Ker niti vecina racunalnicarjev ne ve nicesar o varnosti, kaj šele štromarji in strojniki. Jst že leta govorim "The S in IoT stands for security". Zato ne zaupam nobeni pametni napravi, ki ni racunalnik ali mobitel. Ker embedded programerji se pac ukvarjajo s svojim low level shitom in jim je kriptografija spanska vas.
In to se ne bo spremenilo, ker prevladujoca kultura med temi C/C++ programerji je da ne uprabljas knjiznjic in vse sam izumljas, kar je katastrofa za kripto. Da imas svoje utility rutine in jih kopiras s projekta na projekt. Nikoli jim ne zaupat.
V avtomobilski industriji, kjer se uporablja AUTOSAR framework, to s knjiznicam ne drzi, ker imas standardizirane module prav za ta namen. Tam je to bolj problem zahtev. Je pa tudi res, da je infotainment pogosto locena stvar.
Bi rekel da je kar velika možnost da je to dumping delovne sile v vsem svojem sijaju... Verjetno je to delal "inženir" na plači ki je pri nas primerljiva 1000 e neto...
Ob takšnih novicah se ljudje lahko zgolj praskamo po glavi in se sprašujemo, če je kaj takšnega res mogoče. Kako je lahko firma tako šlampasta, da je za ta del avtomobila zadolžila ljudi, ki so tako nesposobni, da so si privoščili takšen kiks? Kje vse so še varčevali pa bi bilo boljše, če ne bi?
Delam v software firmi in definitivno vidim kako se to zgodi. Pač vzame ta task en študent, ki se mu jebe, naredi kr neki in potem se to spregleda v reviewu, ker je dejansko težko odkriti, če ne veš, kaj iščeš. Tudi če jim pod prste gledaš ne najdeš vsega. Potem je še management, ki hoče prišparati na vsakemu vogalu in pride v produkcijo polno bedarij.
Hmm, mogoče v manjših firmah spustijo kakega študenta zraven. V teh večjih, je pa poglavitni razlog krčenje stroškov in selitev razvojnih služb nekam v Azijo (povečini v Indijo). Noben jim ne gleda pod prste (niti se ne ve, a je programer izkušen ali pa direkt s ceste), če je test vredu, potem hop v produkcijo. Je bilo pred covidom govora, kako se ta politika spreminja, in da firme več ne preferirajo Indije (zaradi slabše kvalitete itd), in selijo delovna mesta nazaj, ampak so to bile samo govorice. Preprosto gledajo samo na profit.
Me pa sicer zanima, če kdo ve, kako imajo v avtomobilski industriji zasnovan razvoj tega (nekritičnega) programja, recimo za infotainment? Je kdo zraven? Ker videt je, da je porazno, tudi pri ostalih znamkah.
, GSM "enskripcija",...), satelitskih sistemih, itd. dogajajo taki security felerji... to je odgovor.
