Riskante Verbindungen

Verbundene Fahrzeuge benötigen eine ständige Verbindung, um auf Online-Dienste zugreifen zu können. Diese werden normalerweise über mobile Datendienste mit einem GSM- oder LTE-Modul und einer SIM-Karte abgewickelt.

Eine ähnliche Technologie - eCall - ist so konzipiert, dass sie im Falle eines schweren Verkehrsunfalls automatisch Notdienste anruft.

In den meisten Fällen ist die Verbindung durch einen privaten Zugangspunktnamen (APN) gesichert, was bedeutet, dass die Fahrzeuge nicht über das öffentliche Internet zugänglich sind.

APNs können jedoch relativ leicht kompromittiert werden und sobald sie gehackt sind, können sie Zugang zu Fahrzeugen bereitstellen.

Die Konnektivität wird in der Regel von einer Telematik-Steuereinheit (TCU) verwaltet.

Durch das Extrahieren der SIM von der TCU oder durch direktes Verbinden mit der TCU kann ein Hacker häufig den privaten APN kompromittieren.

Hacking über den APN

Pen Test Partners war interessiert, welche Informationen der APN bei einer kürzlichen Untersuchung im Auftrag eines Automobilherstellers liefern würde.
Tests haben gezeigt, dass private APN-Sicherheitsschlüssel bemerkenswert einfach zu hacken sind.

Durch das Entfernen der SIM-Karte und ihre Platzierung in einer Testzelle ist es möglich, die Anmeldeinformationen abzufangen, die für die Authentifizierung beim privaten APN verwendet werden.

Die Schlüssel sind mit MD5 verschlüsselt, was bedeutet, dass extrem lange Passwörter benötigt werden, um ein einfaches Cracken zu verhindern. Sobald die Passwörter geknackt wurden, hatten wir Zugriff auf den privaten APN.

Selbst wenn die Schlüssel ausreichend stark waren, um einem Reißen zu widerstehen, könnte man den Verkehr auch über die TCU selbst routen. Key Cracking war nicht notwendig, weil es ein vertrauenswürdiges Gerät war. Mit Hilfe von Debug-Headern oder auch nur durch Routing über die TCU kann auf den privaten APN zugegriffen werden.

Dort wurden die Dinge interessant. Man würde erwarten, dass alle Clients auf dem privaten APN voneinander getrennt wären. Man würde hoffen, dass ein Clientgerät nur die Server sehen kann, mit denen die TCU kommunizieren musste.

Ein kurzer Blick auf die Telematik-Service-Plattform (TSP), auf die das Gerät Zugriff hatte, zeigte jedoch, dass wir eine große Anzahl anderer Clients sehen konnten, die damit verbunden waren.

Da wir keine Erlaubnis hatten, auf dem TSP herumzuschnüffeln, entschieden wir uns, eine einfache Reverse-DNS-Anfrage zu stellen. Zahlreiche Anfragen wurden zurückgegeben.

Was überraschte, war, dass diese mit anderen Autoherstellern in Verbindung standen, viele von ihnen deutsche Marken, die nicht mit dem Hersteller verbunden waren, mit dem wir arbeiteten.

Offensichtlich waren Fehler gemacht worden, aber von wem? Der OEM, der TCU-Hersteller, der Telematikanbieter oder der Connectivity-Provider?

Jemand, wahrscheinlich der TSP-Anbieter, hatte es versäumt, die Verbindungen zwischen Fahrzeugen zu trennen, und es war sogar versäumt worden, eine Fahrzeugmarke von einer anderen zu trennen.

Ein Angreifer, der auf diese Informationen zugreift, könnte möglicherweise einen Exploit über eine TCU ausführen und ganze Fahrzeugflotten kompromittieren, die mit dem TSP verbunden sind.

Flottenweite Angriffe

Es ist genau diese Art von Fehler, auf die sich Elon Musk bezog, als er kürzlich warnte, dass "eines der größten Risiken für autonome Fahrzeuge jemand ist, der einen flottenweiten Angriff durchführt". Tatsächlich übertrifft es seine Prioritätenliste von einem Sicherheitsstandpunkt aus, da die Kompromittierung eines gesamten Automodells eine Massenstörung verursachen kann, indem Malware oder Ransomware eingeführt wird oder indem die physische Kontrolle über das Fahrzeug übernommen wird.

Trotzdem haben wir klare Beweise dafür, dass Hersteller, die unsere TCU verwenden, bereits unnötig exponiert wurden und sich dessen nicht bewusst sind.

Die fehlende Segregation, die wir gesehen haben, erinnert an den Miller und Valasek Jeep Hack im Jahr 2015. In diesem Szenario war der Kompromiss über die mobile Datenverbindung, aber ein privater APN war nicht einmal vorhanden, was in sich besorgniserregend ist. Der Angriff funktionierte, da das Datennetzwerk von Sprint auch keine Kundentrennung aufwies.

Was können Hersteller und Ingenieure tun, um dieses Problem zu vermeiden? Die Kundentrennung ist entscheidend - es reicht nicht aus, nur einen privaten APN zu implementieren.

APN-Schlüssel müssen sehr lang und komplex sein. Es muss auch darüber nachgedacht werden, wie wiederhergestellt werden kann, wenn der APN-Schlüssel offengelegt wurde.

Eine Alternative wäre eine eSIM - diese kann remote konfiguriert werden und ist nicht auf austauschbare SIM-Karten angewiesen.Gehen Sie nicht einfach davon aus, dass ein TSP-Anbieter eine sichere Plattform hat. Überprüfen Sie es, testen Sie es und stellen Sie Fragen zu ihrer Sicherheit, da die Wiederherstellung von einer kompromittierten Telematik-Plattform sehr kostspielig sein könnte.

Über den Autor

Ken Munro ist Sicherheitsforscher bei Pen Test Partners