VW sökte forskare att dölja säkerhetsfel i två år

Säkerhetsproblem i programvaran rapporteras hela tiden. Svaret när en sårbarhet upptäcks är i allmänhet att tacka (eller, i många fall, betala) forskaren som fann den, och sedan åtgärda problemet. Det är det vanliga svaret i branschen.

Ett bestämt icke-standardiserat svar skulle vara att stämma de personer som rapporterade sårbarheten för att hindra dem från att prata om det och sedan tillbringa två år som försöker dölja problemet. Tyvärr är det precis vad den tyska biltillverkaren Volkswagen gjorde.

Kryptografisk Carjacking

Sårbarheten i fråga var en del av vissa bilars nyckelfria tändsystem. Dessa system, ett avancerat alternativ till konventionella nycklar, ska förhindra att bilen låser upp eller startar om inte nyckelfobben är i närheten. Chippet kallas “Megamos Crypto,” och köps från en tillverkare från tredje part i Schweiz. Chipet ska upptäcka en signal från bilen och svara med ett kryptografiskt signerat meddelande. Kan du elektroniskt signera dokument och ska du? Kan du elektroniskt skriva under dokument och ska du? Kanske har du hört dina tekniskt kunniga vänner kasta både termen elektronisk signatur och digital signatur. Kanske har du även hört dem använda utbytbart. Du borde dock veta att de inte är desamma. Faktum är att ... Läs mer försäkra bilen om att det är okej att låsa upp och starta.

Tyvärr använder chipet ett föråldrat kryptografiskt system. När forskare Roel Verdult och Baris Ege noterade detta faktum kunde de skapa ett program som bryter krypteringen genom att lyssna på meddelandena mellan bilen och key-fob. Efter att ha hört två sådana utbyten, kan programmet begränsa antalet möjliga nycklar ner till cirka 200 000 möjligheter - ett nummer som lätt kan vara brutalt tvingat av en dator.

Denna process låter programmet skapa en “digital duplicat” av nyckel-fob och låsa upp eller starta bilen efter vilja. Allt detta kan göras av en enhet (som en bärbar dator eller en telefon) som råkar vara nära den aktuella bilen. Det kräver ingen fysisk åtkomst till fordonet. Totalt tar attacken ungefär trettio minuter.

Om denna attack låter teoretisk är det inte. Enligt Londons storstads polis genomfördes 42% av bilstöld i London förra året med anfall mot nyckellösa olåsta system. Detta är en praktisk sårbarhet som sätter miljontals bilar i fara.

Allt detta är mer tragiskt, eftersom nyckellösa upplåsningssystem kan vara mycket säkrare än konventionella nycklar. Det enda skälet till att dessa system är sårbara beror på inkompetens. De underliggande verktygen är mycket kraftfullare än något fysiskt lås som någonsin kunde vara.

Ansvarig Disclosure

Forskarna avslöjade ursprungligen sårbarheten för skaparen av chipet och gav dem nio månader för att fixa sårbarheten. När skaparen vägrade att utfärda ett återkallande gick forskarna till Volkswagen i maj 2013. De planerade ursprungligen att publicera attacken vid USENIX-konferensen i augusti 2013, vilket gav Volkswagen ungefär tre månader för att påbörja en återkallelse / eftermontering innan attacken skulle bli offentliga.

Istället stämde Volkswagen för att stoppa forskarna från att publicera papperet. En brittisk hög domstol som sidde med Volkswagen och sade “Jag känner igen det höga värdet av akademiskt yttrandefrihet, men det finns ett annat högt värde, säkerheten för miljontals Volkswagen-bilar.”

Det är två år av förhandlingar, men forskarna får slutligen publicera sitt papper, minus en mening som innehåller några viktiga detaljer om att replikera attacken. Volkswagen har fortfarande inte fixat nyckelfobbarna, och inte heller de andra tillverkarna som använder samma chip.

Säkerhet Av Litigiousness

Självklart är Volkswagens beteende här grovt oansvarigt. I stället för att försöka fixa problemet med sina bilar, hällde de istället gud-vet hur mycket tid och pengar de försöker stoppa folk från att ta reda på det. Det är en svek av de mest grundläggande principerna för god säkerhet. Deras beteende här är oförlåtligt, skamligt och andra (mer färgstarka) invektiva som jag kommer att spara dig. Det är tillräckligt att säga det här inte hur ansvariga företag ska bete sig.

Tyvärr är det inte heller unikt. Biltillverkare har släppt säkerhetsbollen Kan Hackers verkligen ta över din bil? Kan hackare verkligen ta över din bil? Läs mer väldigt mycket nyligen. Förra månaden uppenbarades att en viss Jeepmodell kan hackats via sitt underhållningssystem. Hur säker är internetansluten, självkörande bilar? Hur säkra är internetanslutna, självkörande bilar? Är självkörande bilar säkra? Kan Internet-anslutna bilar användas för att orsaka olyckor, eller till och med mörda dissenters? Google hoppas inte, men ett nytt experiment visar att det fortfarande finns en lång väg att gå. Läs mer, något som skulle vara omöjligt i någon säkerhetsmedveten bildesign. Till Fiat Chryslers kredit, påminde de mer än en miljon fordon i kölvattnet den uppenbarelsen, men först efter att forskarna ifrågasatte häcken på ett oansvarigt farligt och levande sätt.

Miljontals andra Internetanslutna fordon är sannolikt utsatta för liknande attacker - men ingen har oroat en journalist med dem, så det har inte hunnit återkallas. Det är helt möjligt att vi inte kommer se förändringar på dessa tills någon faktiskt dör.

Problemet här är att biltillverkare aldrig tidigare varit mjukvaruutvecklare - men nu är de plötsligt. De har ingen säkerhetsmedveten företagskultur. De har inte den institutionella kompetensen att hantera dessa problem på rätt sätt, eller bygga säkra produkter. När de står inför dem är deras första svar panik och censur, inte korrigeringar.

Det tog decennier för moderna mjukvaruföretag att utveckla goda säkerhetspraxis. Några, som Oracle, stannar fortfarande med föråldrade säkerhetskulturer. Oracle vill du sluta skicka dem buggar - här är varför det är galet Oracle vill du sluta skicka dem buggar - här är varför det är galet Oracle är i varmt vatten över ett missvisat blogginlägg av säkerhet chef, Mary Davidson. Denna demonstration av hur Oracles säkerhetsfilosofi avgår från det vanliga mottogs inte bra i säkerhetsgemenskapen ... Läs mer. Tyvärr har vi inte lyxen att helt enkelt vänta på att företagen utvecklar dessa metoder. Bilar är dyra (och extremt farliga) maskiner. De är ett av de mest kritiska områdena av datasäkerhet, efter grundläggande infrastruktur som elnätet. Med ökningen av självkörande bilar är historien Bunk: Transportens framtid kommer att vara som ingenting du har sett innan Historien är Bunk: Transportens framtid kommer att bli som ingenting du har sett före Om några decennier kommer uttrycket " förare utan bil "kommer att låta en väldigt mycket som" horseless carriage "och tanken att äga egen bil kommer att låta som pittoreskt som att gräva din egen brunn. Läs mer i synnerhet måste dessa företag göra bättre, och det är vårt ansvar att hålla dem till en högre standard.

Medan vi arbetar på det, kan vi bara göra att regeringen slutar göra det möjligt för detta dåliga beteende. Företagen ska inte ens försöka använda domstolarna för att dölja problem med sina produkter. Men så länge som några av dem är villiga att försöka, borde vi verkligen inte låta dem. Det är viktigt att vi har domare som är medvetna om tekniken och rutinerna i den säkerhetsmedvetna mjukvaruindustrin för att veta att denna typ av gag-order aldrig är det rätta svaret.

Vad tror du? Är du orolig för säkerheten för ditt fordon? Vilken bilmakare är bäst (eller värst) vid säkerhet?

Bildkrediter: öppnar sin bil med nito via Shutterstock

Utforska mer om: Automotive Technology, Hacking.