VW sagsøgte forskere for at skjule sikkerhedsfejl i to år

Reklame

Softwaresikkerhedssårbarheder rapporteres hele tiden. Generelt er svaret, når en sårbarhed afdækkes, at takke (eller i mange tilfælde betale) den forsker, der fandt det, og derefter løse problemet. Det er standardreaktionen i branchen.

Et bestemt ikke-standard svar ville være at sagsøge de mennesker, der rapporterede sårbarheden, for at forhindre dem i at tale om det og derefter bruge to år på at forsøge at skjule problemet. Det er desværre nøjagtigt hvad den tyske bilproducent Volkswagen gjorde.

Cryptographic Carjacking

Den pågældende sårbarhed var en fejl ved nogle biler 'nøglefri tændingssystem. Disse systemer, et avanceret alternativ til konventionelle nøgler, formodes at forhindre, at bilen låses op eller starter, medmindre nøglehovedet er i nærheden. Chippen kaldes “Megamos Crypto” og købes fra en tredjepartsproducent i Schweiz. Chippen skal detektere et signal fra bilen og svare med en kryptografisk signeret meddelelse Kan du underskrive dokumenter elektronisk og skal du?Måske har du hørt, at dine teknisk kyndige venner smider både på udtrykkene elektronisk signatur og digital signatur. Måske har du endda hørt dem bruges om hverandre. Du skal dog vide, at de ikke er ens. Faktisk,...

Læs mere forsikrer bilen om, at det er okay at låse op og starte.

Desværre bruger chippen et forældet kryptografisk skema. Da forskerne Roel Verdult og Baris Ege bemærkede denne kendsgerning, var de i stand til at oprette et program, der bryder krypteringen ved at lytte til beskederne mellem bilen og nøglehovedet. Efter at have hørt to sådanne udvekslinger er programmet i stand til at indsnævre række mulige taster ned til ca. 200.000 muligheder - et tal, der let kan brutetvinges af en computer.

Denne proces giver programmet mulighed for at oprette et "digitalt duplikat" af nøgle-fob'en og låse eller starte bilen efter eget ønske. Alt dette kan udføres af en enhed (som en bærbar computer eller en telefon), der tilfældigvis befinder sig i nærheden af ​​den pågældende bil. Det kræver ikke fysisk adgang til køretøjet. I alt tager angrebet cirka tredive minutter.

Hvis dette angreb lyder teoretisk, er det ikke. Ifølge Londons Metropolitan Police42% af biltyverierne i London sidste år blev udført ved hjælp af angreb mod nøglefri ulåste systemer. Dette er en praktisk sårbarhed, der sætter millioner af biler i fare.

Alt dette er mere tragisk, fordi nøglefri oplåsningssystemer kan være meget mere sikre end konventionelle taster. Den eneste grund til, at disse systemer er sårbare, skyldes inkompetence. De underliggende værktøjer er langt mere kraftfulde end nogen fysisk lås nogensinde kunne være.

Ansvarlig videregivelse

Forskerne afslørede oprindeligt sårbarheden for skaberen af ​​chippen, hvilket gav dem ni måneder til at ordne sårbarheden. Da skaberen nægtede at udsende en tilbagekaldelse, gik forskerne til Volkswagen i maj 2013. De planlagde oprindeligt at offentliggøre angrebet på USENIX-konferencen i august 2013, hvilket gav Volkswagen cirka tre måneder til at begynde en tilbagekaldelse / eftermontering, inden angrebet ville blive offentligt.

I stedet sagsøgte Volkswagen for at forhindre forskerne i at offentliggøre papiret. En britisk højret sidet med Volkswagenog sagde ”Jeg anerkender den høje værdi af akademisk fri ytring, men der er en anden høj værdi, sikkerheden i millioner af Volkswagen-biler.”

Det har taget to års forhandlinger, men forskerne får endelig lov til det offentliggøre deres papir, minus en sætning, der indeholder et par nøgleinformationer om replikering af angrebet. Volkswagen har stadig ikke fastgjort nøglehovedene, og heller ikke de andre producenter, der bruger den samme chip.

Sikkerhed ved litigiousness

Volkswagens opførsel her er selvfølgelig grovt uansvarlig. I stedet for at prøve at løse problemet med deres biler, hældte de i stedet gud - ved, hvor meget tid og penge det var for at forsøge at forhindre folk i at finde ud af det. Det er et forræderi med de mest grundlæggende principper for god sikkerhed. Deres opførsel her er utilgivelig, skammelig og andre (mere farverige) invektiver, som jeg sparer dig. Det er tilstrækkeligt at sige, at dette ikke er, hvordan ansvarlige virksomheder skal opføre sig.

Desværre er det heller ikke unikt. Bilproducenter har droppet sikkerhedsbolden Kan hackere virkelig overtage din bil? Læs mere meget for sidst. Sidste måned blev det afsløret, at en bestemt model af Jeep kunne være trådløst hacket gennem sit underholdningssystem Hvor sikre er internetforbindende, selvkørende biler?Er selvkørende biler sikre? Kunne internetforbundne biler bruges til at forårsage ulykker eller endda myrde dissenter? Google håber ikke, men et nyligt eksperiment viser, at der stadig er en lang vej at gå. Læs mere , noget der ville være umuligt i noget sikkerhedsbevidst bildesign. Til Fiat Chrysler's kredit, de huskede mere end en million køretøjer i kølvandet på denne åbenbaring, men først efter at de pågældende forskere demoede hacket i en uansvarligt farlig og levende måde.

Millioner af andre internetforbundne køretøjer er sandsynligvis sårbare over for lignende angreb - men ingen har uforsvarligt truet en journalist med dem endnu, så der er ikke noget husk. Det er helt muligt, at vi ikke ser ændringer på disse, før nogen faktisk dør.

Problemet her er, at bilproducenter aldrig har været softwareproducenter før - men nu er de pludselig. De har ingen sikkerhedsbevidst virksomhedskultur. De har ikke den institutionelle ekspertise til at håndtere disse problemer på de rigtige måder eller opbygge sikre produkter. Når de står overfor dem, er deres første reaktion panik og censur, ikke rettelser.

Det tog årtier for moderne softwarevirksomheder at udvikle god sikkerhedspraksis. Nogle, som Oracle, er stadig fast i forældede sikkerhedskulturer Oracle ønsker, at du holder op med at sende dem bugs - her er hvorfor det er skørOracle er i varmt vand over et forkert blogindlæg af sikkerhedschef Mary Davidson. Denne demonstration af, hvordan Oracle's sikkerhedsfilosofi afviger fra mainstream, blev ikke modtaget godt i sikkerhedssamfundet ... Læs mere . Desværre har vi ikke den luksus at blot vente på, at virksomheder udvikler denne praksis. Biler er dyre (og ekstremt farlige) maskiner. De er et af de mest kritiske områder inden for computersikkerhed efter grundlæggende infrastruktur som det elektriske net. Med stigning af selvkørende biler Historien er køje: Fremtiden for transport vil være som intet, du har set førI løbet af få årtier lyder udtrykket 'førerløs bil' meget, som 'hesteløs vogn', og ideen om at eje din egen bil vil lyde så malerisk som at grave din egen brønd. Læs mere især disse virksomheder skal gøre det bedre, og det er vores ansvar at holde dem til en højere standard.

Mens vi arbejder med det, er det mindste, vi kan gøre, at få regeringen til at stoppe med at aktivere denne dårlige opførsel. Virksomheder bør ikke engang forsøge at bruge domstolene til at skjule problemer med deres produkter. Men så længe nogle af dem er villige til at prøve, bør vi bestemt ikke lade dem. Det er vigtigt, at vi har dommere, der er opmærksomme på teknologien og praksis i den sikkerhedsbevidste softwarebranche til at vide, at denne form for gag-orden aldrig er det rigtige svar.

Hvad synes du? Er du bekymret for dit køretøjs sikkerhed? Hvilken bilproducent er bedst (eller værst) med sikkerhed?

Billedkreditter:åbner sin bil af nito via Shutterstock