Hackere tok kontroll over Tesla Model S

[rosetta stoned]

Jeg hadde en boble 1300S en gang

[rosetta stoned]

 

 

 

Dette er den eneste grunnen til at jeg ikke hadde kjøpt en Tesla. Veldig fin bil ellers.

Jeg kommer aldri til å kjøpe en bil, drone (DJI) etc, som potensielt kan hackes eller som styres og oppdateres automatisk av produsenten.

Ingen grunn til å inkludere alt det usikre software-vaset i en bil.

For letthetens skyld. Hah.

Får holde deg til biler fram til 2005 du da

For ordens skyld; jeg kommer aldri til å kjøpe en Tesla, men jeg krever å ha mulighet til å bruke en bil "offline" når det måtte passe meg.

 

Ja, absolutt. Men det er ingen grunn til at man ikke kan lage nye elektriske biler uten alt det sårbare beleilige vaset som saueflokken gomler i seg. 

 

Det som gjøres nå legger til rette for framtidige hackere som kommer til å glede seg over alle mulighetene som har blitt skapt.

Det er en mulighet at det flyet som forsvant ble hacket, om det viser seg å være tilfellet kommer kanskje folk begynne å bli skeptiske.

hehe den var bra

[G]

 

Da er det jo bra for Tesla at de har mekanismer som automatisk kan pushe ut ny software til alle bilene.

som alle biler med litt avangsert datasystem burde ha, som desverre ikke er tilfelelt. det her man ser forslkell på selskap som er teknologi selskap(Tesla) og bil selskap som ikke har greid å følge med i tiden (jeep).

 

 

Men, om hacker'ne klarer å knekke tilgangen på hvordan de skal klare å push'e software til bilene, så har man et alvorlig problem. 

[skripis]

Ehrm...

 

Tenk hvor mye rart en kan gjøre gjennom OBDII-

kontakten på alle andre biler?

[Mad Esc]

 

 

 

Dette er den eneste grunnen til at jeg ikke hadde kjøpt en Tesla. Veldig fin bil ellers.

Jeg kommer aldri til å kjøpe en bil, drone (DJI) etc, som potensielt kan hackes eller som styres og oppdateres automatisk av produsenten.

Ingen grunn til å inkludere alt det usikre software-vaset i en bil.

For letthetens skyld. Hah.

Får holde deg til biler fram til 2005 du da

For ordens skyld; jeg kommer aldri til å kjøpe en Tesla, men jeg krever å ha mulighet til å bruke en bil "offline" når det måtte passe meg.

 

Ja, absolutt. Men det er ingen grunn til at man ikke kan lage nye elektriske biler uten alt det sårbare beleilige vaset som saueflokken gomler i seg. 

 

Det som gjøres nå legger til rette for framtidige hackere som kommer til å glede seg over alle mulighetene som har blitt skapt.

Det er en mulighet at det flyet som forsvant ble hacket, om det viser seg å være tilfellet kommer kanskje folk begynne å bli skeptiske.

hehe den var bra

 

Hva var bra? Hvis du skal være nedlatende så kan du ihvertfall komme med et skikkelig argument. Tåpe.

[_dundun_]

Har lest litt mer nå. Det som har skjedd er at noen har brukt to år på å lete etter hull på en Model S de hadde full fysisk tilgang til. De klarte ved å demontere noen paneler og koble seg rett på nettverket å sende en kommando som slår av bilen, men ingenting mer. Når bilen slås av merker den det og senker sakte farten på en trygg måte.

 

Alle hullene som ble funnet er allerede tettet på alle bilene via en OTA-oppdatering.

 

Dette er en suksesshistorie for Tesla, ikke et problem.

[wirrumsen]

Dette er en suksesshistorie for Tesla, ikke et problem.

 

Hvorfor suksesshistorie? Hvilke andre biler er hacket og mindre sikre enn Tesla?

[HKS]

 

Dette er en suksesshistorie for Tesla, ikke et problem.

Hvorfor suksesshistorie? Hvilke andre biler er hacket og mindre sikre enn Tesla?

 

Hva med en halv million biler fra Fiat-Chrysler.

Der er til også snakk om et "remote exploit" og de fikk full tilgang til CAN-bussen.

 

http://www.wired.com/2015/07/hackers-remotely-kill-jeep-highway/

 

 

Edit: Typo

Endret 7. august 2015 av HKS

[_dundun_]

Hvorfor suksesshistorie? Hvilke andre biler er hacket og mindre sikre enn Tesla?

Fordi nesten alle systemer faller når man har fysisk tilgang og god tid. Jeg er ærlig talt overrasket over at de ikke fikk full aksess til alle funksjoner.

 

Tesla er tydeligvis bedre på software enn hardware (hilsen han som er på sin tredje motor og snart skal ha bilen på verksted for å få den vanntett).

[FenrisC0de]

Dette er den eneste grunnen til at jeg ikke hadde kjøpt en Tesla. Veldig fin bil ellers.

Jeg kommer aldri til å kjøpe en bil, drone (DJI) etc, som potensielt kan hackes eller som styres og oppdateres automatisk av produsenten.

Ingen grunn til å inkludere alt det usikre software-vaset i en bil.

For letthetens skyld. Hah.

 

Da får du slutte å kjøre bil. Sårbarheten som omtalt her krever fysisk tilgang til bilen og angriper ikke Teslaens internett-tilknyttede tjenester. Charlie Miller og Chris Valasek har jo vist liknende problemer med en rekke andre biler. Problemene ligger gjerne i at det er mulig å kjøre ondsinnet kode via CAN bussen på ECU'ene i bilene fra ulike grensesnitt. Så skal du unngå problematikken fullstendig må du tilbake til biler som ikke har en CAN bus eller annen elektronisk kommunikasjonskanal mellom de ulike komponentene i bilen. Da snakker vi vel 80-tallet og eldre. Selvsagt er problemet værre på biler med aktive sikkerhetsystemer ettersom kompromittering av ECU'ene gi angriper mulighet til å få fysisk innvirkning på bilen, men dette gjelder jo alt fra Toyota Prius til Tesla. Det har også blitt vist PoCs hvor man angriper biler via bluetooth, noe svært mange av nyere biler har integrert. 

 

Så hvis dette er den eneste grunnen til at du ikke kjøper en Tesla synes jeg synd på deg, for du går glipp av en utrolig herlig bil som i motsetning til andre biler mottar jevnlige systemoppdateringer over nett. Tesla har også etter min mening tatt informasjonsikkerheten på alvor i større grad enn andre bilprodusenter. Det at de bruker VPN for all internettkommunikasjon er småkult feks. Alternativet til oppdateringer fra produsenten er jo kjente sårbarheter som aldri blir patchet, så jeg kan ikke skjønne at det er noe å trakte etter.

Endret 7. august 2015 av Zyg0te

[FenrisC0de]

spiller ingen rolle hvilken type bil, det er produsentene som ikke vil inrømme at trådløs sikkerheten er ræva. ikke bare Tesla som kan overtas.

Produsentene må ta seg selv bak og begynne med kryptering.

 

Kryptering av hva? I Teslas tilfelle blir jo datatrafikken mot internett allerede kryptert og hvis du får tilgang til ECU'en er det lite kryptering får gjort.

 

Jeg tror heller veien å gå er automatisert deteksjon. Dataangrep mot biler er tilsynelatende ganske lett å oppdage (på systemnivå). Ved mindre bilen din er på verksted er det ingen grunn til at det skal gå diagnosepakker rundt på CAN-bussen feks, og de CAN meldingene som går er ganske forutsigbare. Man kunne se for seg en slags IDS for biler.

[Mad Esc]

Da får du slutte å kjøre bil.

 

Er du seriøs? Det finnes faktisk biler man har direkte kontroll over. Og jeg er fornøyd med min. Den har ingen sårbar "bloatware" og er fra 90-tallet. Stille til å være bensinmotor, luftkjøling, rask nok. Alt man trenger.

 

Hvis du har noen gode argumenter for hvorfor man trenger en potensielt sårbar bil man ikke har direkte kontroll over vil jeg gjerne høre de.

 

Og en ting til, du sier sårbarheten krever fysisk tilgang til bilen.

Dette kan komme som et sjokk for deg, men det er mulig å injisere kode uten fysisk tilgang via elektromagnetisk interferens. http://csrc.nist.gov/news_events/non-invasive-attack-testing-workshop/papers/04_Hayashi.pdf

[FenrisC0de]

 

Da får du slutte å kjøre bil.

 

Er du seriøs? Det finnes faktisk biler man har direkte kontroll over. Og jeg er fornøyd med min. Den har ingen sårbar "bloatware" og er fra 90-tallet. Stille til å være bensinmotor, luftkjøling, rask nok. Alt man trenger.

 

 

Uten å vite med sikkerhet hva slags bil du kjører kan jeg garantere deg at det er digitale komponenter i bilen som snakker sammen. Den kommunikasjonen kan potensielt angripes. Bilen din har vel air bags? Nå er ikke jeg noen ekspert på air-bager men så vidt jeg vet styres de av en ACU. Ettersom du skrev at du aldri kom til å kjøre en bil som potensielt kan hackes antydet jeg at du burde holde deg unna biler (med unntak av veteranbiler).

 

Jeg har ingen gode argumenter for hvorfor man trenger digital teknologi i en bil utover det samme tankegodsen som har gitt oss smarttelefoner, datamaskiner og internett (som alt kan potensielt hackes!). Jeg synes nå mye av det er praktisk.

 

Jeg er fult klare over at det er mulig å gjennomføre trådløse angrep, men mitt poeng var at de angrepene mot biler som har blitt presentert har tatt utgangspunkt i fysisk tilgang til bilen da man ikke har klart å få tilgang til ECU'ene og CAN-bus'en over internett. Unntaket som jeg vet om er noen sikkerhetsforskere som klarte å stoppe en bil ved å kompromittere bluetoothgrenesnittet.

Endret 7. august 2015 av Zyg0te

[plankeby]

Bilens underholdningssystem burde være fysisk adskilt fra bilens øvrige funksjoner. Eventuelet varme/klima bør være helt atskilt.

 

At man kan gi destruktiv programvare/kode via en usb inngang på dashbordet, som påvirker mer enn lyd/bile underholdning, er jo idiotisk.

 

Så lenge man har adskilte komponenter uten mulighet for toveis kommunikasjon, så er man langt mer sikker.

 

Ta en bil fra 2005 uten usb port og fancy multiskjerm. Den har alt mulig av elektronikk (hvis man har alt utstyr), men alt sammen har ikke toveis kommunikasjon med hverandre, eller er integrert i en felles prosesser o.l.

 

Når bilen skal bli for intelligent og selvdiagnosere seg, samt prøve å rette opp feil via total kommunikasjon med det meste, så er veien for destruktiv hacking åpen.

Endret 7. august 2015 av plankeby

[Mad Esc]

Air-bager utløses av en g-kraftsensor. Vet ikke detaljene presis, men det er vel elektrisitet med i bildet, så ja den kan kanskje fjernutløses. Det er noe jeg kan leve med, siden det ikke er en unødig implementasjon.
 

plankeby:

Det bør helt klart være en fysisk adskillelse, ja. Samme med fly, at man kan hacke seg inn i flysystemene via underholdningsutsyr i flyet er jo helt idiotisk. At noen ikke så noe galt i å sette de systemene sammen er ganske utrolig.

[FenrisC0de]

Bilens underholdningssystem burde være fysisk adskilt fra bilens øvrige funksjoner. Eventuelet varme/klima bør være helt atskilt.

 

At man kan gi destruktiv programvare/kode via en usb inngang på dashbordet, som påvirker mer enn lyd/bile underholdning, er jo idiotisk.

 

Så lenge man har adskilte komponenter uten mulighet for toveis kommunikasjon, så er man langt mer sikker.

 

Ta en bil fra 2005 uten usb port og fancy multiskjerm. Den har alt mulig av elektronikk (hvis man har alt utstyr), men alt sammen har ikke toveis kommunikasjon med hverandre, eller er integrert i en felles prosesser o.l.

 

Når bilen skal bli for intelligent og selvdiagnosere seg, samt prøve å rette opp feil via total kommunikasjon med det meste, så er veien for destruktiv hacking åpen.

 

Det er nok ikke så enkelt. Det er like "lett" å hacke en bil fra 2005 som dagens moderne biler. Forskjellen er at konsekvensene ikke er like store ettersom en angriper ikke vil feks ha mulighet til å styre rattet og gass/brems som er mulig med moderne biler som har automatisk parkering og nødbrems. Eldre biler har fortsatt en CAN bus og et grensesnitt mot denne som er tilgjengelig for diagnoseformål. Med en ECOM-kabel kan man både skrive til og lese fra CAN-bussen.

Endret 7. august 2015 av Zyg0te

[FenrisC0de]

Air-bager utløses av en g-kraftsensor. Vet ikke detaljene presis, men det er vel elektrisitet med i bildet, så ja den kan kanskje fjernutløses. Det er noe jeg kan leve med, siden det ikke er en unødig implementasjon.

 

Her er fra VW's egen dokumentasjon

 

 

The airbag control unit detects and evaluates a crash, before triggering the appropriate restraint systems according to the type of collision and its severity

[..]

 

The sensors in the control unit are used to evaluate and compare the signals from the other sensors. This then enables the control unit to determine the direction of the impact and its severity, on the basis of which it can trigger the appropriate restraint systems. The crash signal outputs connect the airbag control unit to additional CAN data bus systems to facilitate the task of locating and rescuing the occupants following an accident.

 

Med andre ord, kontrollkortet som styrer Airbagen henter inn sensordata fra ulike komponenter som blir sendt over CAN-busen. Hvis en angriper kan skrive til CAN-bus'en og emulere slik sensordata kan man trigge airbag'en til å utløse, noe som kan få fatale konsekvenser hvis du holder 110 km/t. 

 

Det som er fint med Tesla er at sårbarheter som feks går på CAN-bus'en kan patches i ettertid med trådløse oppdateringer. Da jeg var innom Møller og spurte om oppdatering til Audi'en min fikk jeg til svar at programvaren som følger med bilen er feilfri og ikke trenger oppdatering... Go figure. Det som selvagt er dumt med en Tesla er at du har så mange sensorer som leverer data som kan direkte påvirke feks bremsene men det skal sies at alle nyere biler med litt ekstraustyr har minst like mye funksjonalitet. Det er likevel funksjonalitet som mange setter pris på om som faktisk gjør bilene våre tryggere. Ulykkestallene på veiene går stadig nedover og sikrere biler får en del av æren for det. Jeg vil påstå at det er LANGT mer sannsynlig at automatisk nødbrems forhindrer en ulykke en at Charlie Miller plutselig dukker opp i baksetet ditt og kobler ut bremsene. 

 

Og som sagt, jeg tør påstå at Tesla tar datasikkerheten mer alvorlig enn de fleste andre bilprodusenter. I fjor var Tesla eneste bilprodusent som var fullt tilstede på DefCon, mens i år har noen flere sett alvoret og tatt seg bryet med å dukke opp.

Endret 7. august 2015 av Zyg0te

[Mad Esc]

"Det som er fint med Tesla er at sårbarheter som feks går på CAN-bus'en kan patches i ettertid med trådløse oppdateringer"

Det er ikke fint slik jeg ser det, jeg ser bare sårbarheter med det, særlig at det er trådløst.

 

Den airbag-kontrollenheten på den bilen er unødvendig sårbar når man kan koble seg til den, den bør være atskilt fra alt annet.

Men hvis en angriper trenger å plassere noe utstyr i bilen for å utløse airbagen blir jo alt hackeropplegget meningsløst. Da kan han like godt feste en bombe til bilen.

[FenrisC0de]

"Det som er fint med Tesla er at sårbarheter som feks går på CAN-bus'en kan patches i ettertid med trådløse oppdateringer"

Det er ikke fint slik jeg ser det, jeg ser bare sårbarheter med det, særlig at det er trådløst.

 

Den airbag-kontrollenheten på den bilen er unødvendig sårbar når man kan koble seg til den, den bør være atskilt fra alt annet.

Men hvis en angriper trenger å plassere noe utstyr i bilen for å utløse airbagen blir jo alt hackeropplegget meningsløst. Da kan han like godt feste en bombe til bilen.

 

Med din logikk ville man samtidig konkludere med at det ville vært bedre om Windows ikke kunne patches med oppdateringer. Så får man heller holde seg unna internett for da er man helt trygg.  Microsoft kan bare legge ned WSUS altså. Jeg håper isåfall ikke du har ansvar for IT-sikkerheten i din bedrift. Jeg vil påstå at det er mye bedre å ha muligheten til å fikse sårbarheter enn å ikke ha det, men det er nå så. Hvis man ser bort i fra sannsynligheten for at noen skulle gidde å hacke bilen min ville jeg mye heller befunnet meg i en bil som har fått sikkerhetsoppdateringer enn en bil som aldri har fått det, men hver sin sak.

 

Og hvordan ser du for deg at ACU'en skal få data fra sensorene i bilen som måler hastighet, aksellerasjon, osv som den trenger for å avgjøre når den skal utløse airbagen? Alternativet vil være et helvete av redundante system hvis alle skal ha sine egne lukkede sensornettverk for alt mulig. Du måtte mangedoble mengden elektronikk i alle biler hvis ingen systemer skulle kunne snakke sammen.

Endret 7. august 2015 av Zyg0te

[funkweb]

 

spiller ingen rolle hvilken type bil, det er produsentene som ikke vil inrømme at trådløs sikkerheten er ræva. ikke bare Tesla som kan overtas.

Produsentene må ta seg selv bak og begynne med kryptering.

 

Kryptering av hva? I Teslas tilfelle blir jo datatrafikken mot internett allerede kryptert og hvis du får tilgang til ECU'en er det lite kryptering får gjort.

 

Jeg tror heller veien å gå er automatisert deteksjon. Dataangrep mot biler er tilsynelatende ganske lett å oppdage (på systemnivå). Ved mindre bilen din er på verksted er det ingen grunn til at det skal gå diagnosepakker rundt på CAN-bussen feks, og de CAN meldingene som går er ganske forutsigbare. Man kunne se for seg en slags IDS for biler.

 

kanskje du skal lese denne artikkelen: Hacker remotely kill a jeep

Hvis det er så enkelt, da har ikke produsentene gjort jobben med å sikre det trådløse.