Hlavní navigace

Postřehy z bezpečnosti: kdo ovládá vaše auto?

Martin Čmelík 26. 1. 2015

V dnešním díle Postřehů si povíme něco k ODB-2 adaptérům a jak pomocí nich ovládnout na dálku automobil, poslednímu updatu Google Chrome opravující 62 chyb, základům wardrivingu, čím se zabývá útok kleptografie, o nadějném nástupci TrueCryptu a spoustu dalšího.

Již několik kolegů mi sdělilo, že v autě používají OBD-II adaptér schopný komunikovat s diagnostikou auta a navíc pomocí Bluetooth, WiFi, či GPRS s mobilním telefonem, kam předává i údaje o spotřebě, otáčkách, nabití baterie, nahlášené problémy a spoustu dalších informací, které z přístrojové desky ani nezjistíte. Užitečná věc. Problém nastává když si uvědomíte, že tato zařízení nebyla konstruovaná s myšlenkou bezpečnosti na prvním místě, a protože je zařízení schopné komunikovat s každým dalším zařízením na sběrnici, tak je jeho ovládnutím možné přímo ovlivňovat brzdy, motor, plyn, světla, senzory, atd. Ve článku odborníci ze společnosti Argus Cyber Security ovládli jedno konkrétní zařízení (založené na čipu Telit GE865), které je nainstalováno minimálně ve dvou milionech aut.

Nejen že pro tuto tématiku existuje spousta článkůaplikací, popisujících, jak přesně postupovat při dekódování protokolu a zasílání zpráv konkretním komponentám, ale i několik názorných videí, takže byste s podobným vybavením měli zacházet opatrně.

Naše postřehy

Poslední verze prohlížeče Chrome (40.0.2214.91) opravila 62 bezpečnostních chyb. Sedmnáct z nich bylo klasifikováno jako závažných a většinou se jednalo o chyby paměti, či use-after-free, které jsou v poslední době velmi populární. 26 chyb bylo nahlášeno externisty pomocí bug bounty programu ve kterém Google vyplatil 88 500 dolarů jen za tuto verzi Chrome. Kompletní seznam chyb i s odkazem na podrobnosti najdete na blogu prohlížeče. Velká řada chyb byla odhalena pomocí programů AddressSanitizerMemorySanitizer.

Wardriving neboli hledání WiFi access pointů a zaznamenávání jejich polohy zažilo svůj boom několik let zpět. Pokud by vás toto téma zajímalo a rádi byste si to sami zkusili, výše uvedený odkaz vás seznámí se základními termíny, typy antén a předpoklady pro úspěšný lov, jehož výsledky pak můžete sdílet např. na službě WiGLE.

Narazil jsem na zajímavý článek popisující možnosti, jak pomocí kryptografického trojského koně změnit generování klíčů asymetrického šifrování tak, že je možné derivovat privátní klíč z klíče veřejného. Ve článku se popisuje příklad pro RSA, ale je to aplikovatelné na jakýkoliv jiný algoritmus generování klíčů, či protokoly (Diffie-Hellman, DSA, SSL, SSH, IPSec, …). Tomuto útoku se říká (poměrně trefně) Kleptografie. Předpokládá se, že takový trojský kůň je právě používán generátorem pseudo-náhodných čísel Dual_EC_DRBG známý ve spojení s NSA. Pokud je trojský kůň implementován v uzavřených kryptosystémech jako například HSM, SmartCard, či TPM, tak je velmi těžké ho odhalit.

Pamatujete si ještě z katalogu NSA na Cottonmouth-1? USB kabel schopný komunikovat s malwarem v počítači i bez připojení k počítačové síti? Na poslední konferenci ShmooconMichael Ossman představil TURNIPSHOOL, MitM USB zařízení, které je schopné pomocí integrovaného USB hubu a mikroprocesoru s vysílačem docílit toho samého. Potřebné součástky stojí jen několik dolarů. Pokud vás zajímají o ostatní open-source projekty, které jsou alternativou k NSA ANT katalogu, tak se podívejte na web NSA Playset.

Jeden z nejznámějších registrátorů domén GoDaddy opravil CSRF chybu pomocí které bylo možné změnit parametry domén, či úplně převést doménu na někoho jiného. Podle Dylana Saccomanniho, který chybu nalezl, neměl GoDaddy prakticky žádnou ochranu proti těmto útokům.

Vypadá to, že projekt VeraCrypt je nadějným nástupcem TrueCryptu. Nejedná se o pouhý fork, ale opravili i spoustu bezpečnostních problémů starého TrueCryptu, které byly odhaleny během auditu společnosti iSECpartners. Aktuální stabilní verze je 1.0f-1 a podporované operační systémy jsou Windows, Linux i OS X.

Call for Papers

Zdravíme přátele IT bezpečnosti. Blíží se další ročník Security Session.

Letos jsme se rozhodli vás oslovit se žádostí o tip na zajímavé řečníky (Call For Papers). Pokud znáte někoho kdo pracuje na zajímavém projektu, nebo dokonce takový projekt vedete, tak nás, prosím, kontaktujte. Z minulosti víme, že naši posluchači ocení především zkušenosti z praxe.

Akceptovány jsou dva typy prezentací:

  • standardní 30–40minutové přednášky (uzavírka je měsíc před pořádáním konference)

  • nově i 5minutové lightning talks (uzavírka 2 týdny před konferencí)

Základním pravidlem je: žádný obchodní marketing. Je to konference o bezpečnosti a ne o aktuální nabídce produktů.

Kontaktovat nás můžete na info@security-session.cz

Ve zkratce

Pro pobavení

24×7 :)

Závěr

Tento seriál vychází střídavě za pomoci pracovníků Národního bezpečnostního týmu CSIRT.CZ provozovaného sdružením CZ.NIC a redaktorů serveru Security-Portal.cz. Uvítali bychom i vaši spolupráci na tvorbě obsahu tohoto seriálu. Pokud byste nás chtěli upozornit na zajímavý článek, tak nám napište na FB stránku, případně na Twitter. Děkujeme.

Našli jste v článku chybu?

26. 1. 2015 11:47

Ray (neregistrovaný)

Jenze prechod na nouzovej rezim neni (pokud jsi to zazil) tak uplne plynulej, nehlede na to, ze skok zmeny ovladani je natolik velkej, ze pokud se to stave v prihodny okamzik... Tak proste jen sofer neprizpusobil jizdu stavu a povaze vozovky :) Ne kazdek dokaze ten 'sok' ustat.. A je jen otazka casu, kdy i brzdy a volant budou jen joystick (o: Kdyby se venovalo alespon 1% energie na jedno umrti ve vysetrovali, jako v letecke doprave, myslim si, ze hodne nehod by neskocilo jen jako blbost sofera …

26. 1. 2015 16:29

Předpokládám, že to bude stejné, jako u letadel. Tedy když ten systém vypne, člověk už prakticky nemá šanci to zachránit. Jenže dokud ten systém funguje, zachrání toho víc, než by běžně dokázal člověk. Takže statisticky je pořád lepší, když automobily tyhle systémy mají, protože se tím množství nehod snižuje. Ano, z pohledu jednotlivce je to nepříjemné, protože člověka vnímá mnohem víc ten jeden konkrétní případ, kdy stroj nedal člověku šanci, než tu statistiku případů, kdy to stroj zachránil (a…

Vitalia.cz: Znáte „černý detox“? Ani to nezkoušejte

Znáte „černý detox“? Ani to nezkoušejte

Měšec.cz: Kdy vám stát dá na stěhování 50 000 Kč?

Kdy vám stát dá na stěhování 50 000 Kč?

Podnikatel.cz: Přehledná titulka, průvodci, responzivita

Přehledná titulka, průvodci, responzivita

Lupa.cz: Seznam mění vedení. Pavel Zima v čele končí

Seznam mění vedení. Pavel Zima v čele končí

Root.cz: 250 Mbit/s po telefonní lince, když máte štěstí

250 Mbit/s po telefonní lince, když máte štěstí

120na80.cz: Horní cesty dýchací. Zkuste fytofarmaka

Horní cesty dýchací. Zkuste fytofarmaka

Měšec.cz: U levneELEKTRO.cz už reklamaci nevyřídíte

U levneELEKTRO.cz už reklamaci nevyřídíte

Lupa.cz: Co se dá měřit přes Internet věcí

Co se dá měřit přes Internet věcí

Lupa.cz: Insolvenční řízení kvůli cookies? Vítejte v ČR

Insolvenční řízení kvůli cookies? Vítejte v ČR

Vitalia.cz: Tesco: Chudá rodina si koupí levné polské kuře

Tesco: Chudá rodina si koupí levné polské kuře

Podnikatel.cz: Chtějte údaje k dani z nemovitostí do mailu

Chtějte údaje k dani z nemovitostí do mailu

Lupa.cz: Google měl výpadek, nejel Gmail ani YouTube

Google měl výpadek, nejel Gmail ani YouTube

Měšec.cz: Zdravotní a sociální pojištění 2017: Připlatíte

Zdravotní a sociální pojištění 2017: Připlatíte

Vitalia.cz: Paštiky plné masa ho zatím neuživí

Paštiky plné masa ho zatím neuživí

DigiZone.cz: Sony KD-55XD8005 s Android 6.0

Sony KD-55XD8005 s Android 6.0

Root.cz: Vypadl Google a rozbilo se toho hodně

Vypadl Google a rozbilo se toho hodně

DigiZone.cz: Flix TV má set-top box s HEVC

Flix TV má set-top box s HEVC

Vitalia.cz: Baletky propagují zdravotní superpostel

Baletky propagují zdravotní superpostel

Vitalia.cz: Láska na vozíku: Přitažliví jsme pro tzv. pečovatelky

Láska na vozíku: Přitažliví jsme pro tzv. pečovatelky

Vitalia.cz: Dáte si jahody s plísní?

Dáte si jahody s plísní?