Siamo sicuri di volere l'auto ultraconnessa? Hacking a Jeep Cherokee

[loric]

Articolo tratto da Wired edizione internazionale:

Hackers Remotely Kill a Jeep on the Highway—With Me in It

I WAS DRIVING 70 mph on the edge of downtown St. Louis when the exploit began to take hold.

Though I hadn’t touched the dashboard, the vents in the Jeep Cherokee started blasting cold air at the maximum setting, chilling the sweat on my back through the in-seat climate control system. Next the radio switched to the local hip hop station and began blaring Skee-lo at full volume. I spun the control knob left and hit the power button, to no avail. Then the windshield wipers turned on, and wiper fluid blurred the glass.

As I tried to cope with all this, a picture of the two hackers performing these stunts appeared on the car’s digital display: Charlie Miller and Chris Valasek, wearing their trademark track suits. A nice touch, I thought.

The Jeep’s strange behavior wasn’t entirely unexpected. I’d come to St. Louis to be Miller and Valasek’s digital crash-test dummy, a willing subject on whom they could test the car-hacking research they’d been doing over the past year.

(...)

Hackers Remotely Kill a Jeep on the Highway?With Me in It | WIRED

Per riassumere: un team di smanettoni ha individuato una vulnerabilità nell'Uconnect del gruppo Chrysler. Questa vulnerabilità, se l'auto è dotata di collegamento cellulare, permette ad un attaccante di sovrascrivere da remoto (e senza intervento fisico sul mezzo) il firmware di alcune centraline della vettura. Nel proof of concept illustrato nell'articolo, i comandi nell'abitacolo sono stati bypassati dagli hacker che hanno potuto quindi manovrare non solo l'impianto multimediale e il climatizzatore, ma sistemi vitali quali sterzo, motore, freni, trasmissione e (parzialmente) lo sterzo.

Gli hacker hanno condiviso i risultati della loro impresa con Chrysler che la scorsa settimana ha creato una patch per chiudere la falla.

I dettagli dell'attacco (escluso il codice per riscrivere il firmware della centralina) verranno resi noti durante una conferenza di Black Hat che si terrà il prossimo mese.

La prossima volta che in un film alla TV vedrete l'achero di turno che prende il controllo dell'auto del suo bersaglio, tenete presente che non è la solita americanata, ma che è un rischio reale.

Food for thought.

(edit: se un mod potesse correggermi l'errore di battitura nel titolo, smetterei di prendere a testate il monitor. Grazie )

riedit: ringrazio l'anonimo moderatore che ha risposto al mio appello

Modificato 21 Luglio 2015 da loric

[Nico87]

Il fatto che l'infotainment possa dialogare in bidirezione con il controllo motore, esp ed eps non è una gran cosa. Non ne vedo molto l'utlilità soprattutto, anche perchè tra qualche anno quando questi sistemi saranno molto diffusi, a voglia quante vulnerabilità verranno fuori, e magari quando i veicoli saranno a fine cliclo non verranno nemmeno piu corretti.

[ricky1750]

Io son sicuro che NON lo voglio... e qualunque persona sana di mente dovrebbe NON volerlo... e' una minchiata (nonche' vulnerabilita') colossale gia' solo la possibilita' di comandare da remoto il preriscaldamento/raffreddamento abitacolo e l'apertura porta.. ma del resto siamo in un mondo che blatera sulla violazione della privacy quando arrivano le denunce perche' li hanno beccati a scaricare film via Bittorrent - senza manco rendersi conto che sono stati loro ad andarli a prendere e farsi vedere - e poi passa a Facebook anche quante volte va al cesso...

[owluca]

un mese fa pensavo di ricaricare lo smartphone tramite la presa USB posta nell'abitacolo della 500L......

.........

..........

[loric]

Io son sicuro che NON lo voglio... e qualunque persona sana di mente dovrebbe NON volerlo... e' una minchiata (nonche' vulnerabilita') colossale gia' solo la possibilita' di comandare da remoto il preriscaldamento/raffreddamento abitacolo e l'apertura porta.. ma del resto siamo in un mondo che blatera sulla violazione della privacy quando arrivano le denunce perche' li hanno beccati a scaricare film via Bittorrent - senza manco rendersi conto che sono stati loro ad andarli a prendere e farsi vedere - e poi passa a Facebook anche quante volte va al cesso...

La sostanza è che queste minchiate che si aggiungono alle auto (perché se non le hai non sei premiummm) non servono ad un beneamato cazzo e creano problemi.

Anche se non così eclatante come quella che ha visto protagonista la Cherokee, qualche mese fa una vulnerabilità del menga è stata individuata nel Connected Drive di BMW. Con una banalissima tecnica di man in the middle era possibile ingannare il sistema della BMW in modo tale che scaricasse informazioni da un server farlocco e non da quello BMW. Con quell'hack si poteva come minimo agire sulla chiusura centralizzata dell'auto, sul climatizzatore e, ovviamente, sul sistema di infotainment. In quel caso la vulnerabilità era banalissima, roba che in altri settori informatici, se fai una cosa simile, ti fucilano: il sistema utilizzava una connessione HTTP (non cifrata e non sicura) al server di BMW.

Pare che l'hack dell'Uconnect sia molto meno banale, ma dimostra che è stato adottato un design demenziale del sistema.

[Nicola_P]

Pure sti problemi adesso... non bastavo sti gingilli del cavolo che potenzialmente distraggono un sacco, adesso pure gli hacker.

[McNab]

Articolo tratto da Wired edizione internazionale:

Hackers Remotely Kill a Jeep on the Highway?With Me in It | WIRED

Per riassumere: un team di smanettoni ha individuato una vulnerabilità nell'Uconnect del gruppo Chrysler. Questa vulnerabilità, se l'auto è dotata di collegamento cellulare, permette ad un attaccante di sovrascrivere da remoto (e senza intervento fisico sul mezzo) il firmware di alcune centraline della vettura. Nel proof of concept illustrato nell'articolo, i comandi nell'abitacolo sono stati bypassati dagli hacker che hanno potuto quindi manovrare non solo l'impianto multimediale e il climatizzatore, ma sistemi vitali quali sterzo, motore, freni, trasmissione e (parzialmente) lo sterzo.

appello

Mi lascia perplesso la possibilità di agire sullo sterzo.

Per poterlo fare é forse necessario che sia presente il park assist?

[Wilhem275]

Probabilmente basta il servo elettrico, che negli ultimi modelli può essere controllato attivamente dall'ESP.

[Uno Turbo D]

Un hacker coi controcazzi, le vulnerabilità, le trova ovunque, non solo nello uConnect.

E il fatto di camminare con un auto "superconnessa" mi farebbe preoccupare non poco: immaginiamo che stia guidando per affari miei in autostrada in tutta tranquillità, e uno di quei figli di buonadonna riesca a manovrare le funzioni della centralina del mio motore, magari accelerando improvvisamente o tagliando potenza dal motore (pericolosissimo soprattutto in autostrada...): bella cagata, del resto sempre computer sono!

[Nico87]

A me preoccupa che dato le macchine moderne hanno tutte chiave elettronica e relativo bloccasterzo elettronico, riuscire a far inserire il bloccasterzo in marcia è potenziale causa di disastro.