A Mitsubishi Outlanderé a következő súlyos autós sebezhetőség
Könnyen elárulja földrajzi helyét a Mitsubishi Outlander SUV-je - és még a riasztója is kikapcsolható. A japán gyártó járműve a legújabb a kétes biztonságú "okosautók" sorában.
Az "okosautók" foghíjas biztonságáról már több alkalommal megemlékeztünk, tavaly nyáron egyes Jeep modelleknél bukkant fel kritikus biztonsági hiba, idén februárban pedig az elektromos Nissan Leaf védtelen alkalmazása váltott ki széles körű sajtóvisszhangot. A sor azonban nem ért véget, a Pen Test Partners biztonsági szakértői ezúttal a hibrid Mitsubishi Outlander SUV-ján találtak sebezhetőséget, amelyet kihasználva az autó számos funkciója fölött átvehető a kontroll. A szóban forgó Mitsubishi modellhez, ahogy számos más, az elmúlt években megjelent autóhoz, okostelefonos alkalmazás is tartozik, amelyen keresztül több funkció vezérlésére is lehetőség van, a lámpák felvillantásától egészen az ajtók nyitásáig-zárásáig.
Az Outlander különlegessége, hogy az több rivális megoldással szemben nem webszerveren keresztül kommunikál alkalmazásával, sőt, a jármű egyáltalán nem rendelkezik saját GSM kapcsolattal - ehelyett saját Wi-Fi hozzáférési pontot biztosít, amelyre a tulajdonos okostelefonjával csatlakozhat. Igaz a gyártó a megoldással egy sor költséget megspórol, a hálózat használati díjától a fejlesztési költségekig, az a felhasználók számára jóval előnytelenebb, mint a hagyományos, GSM-es konstrukciók, hiszen ahhoz, hogy a mobilappon keresztül kapcsolatba léphessenek az autóval az említett Wi-Fi AP hatósugarán belül kell legyenek, ráadásul közben értelemszerűen más Wi-Fi hálózatot sem használhatnak.
Ünnepi mix a bértranszparenciától a kódoló vezetőkig Négy IT karrierrel kapcsolatos, érdekes témát csomagoltunk a karácsonyfa alá.
A korlátozott kényelemnél azonban jóval nagyobb probléma, hogy az Outlander által biztosított hálózat biztonsága finoman szólva is hagy kívánnivalót maga után. A biztonsági cég szerint ahhoz egy túl egyszerű és rövid megosztott kulcs tartozik, amelyet egy négy GPU-s célszámítógéppel kevesebb mint négy nap alatt sikerült feltörni, ez az idő ráadásul valamilyen felhős szolgáltatást használva jócskán lecsökkenthető. Bár az autókhoz egyedi SSID tartozik, azok mind egy adott formátumot követnek, így viszonylag könnyen végigpróbálgathatók, vagy ha épp a közelünkben van egy a japán cég SUV-i közül, telefonnal is egyszerűen megnézhető az AP azonosítója. Utóbbit megszerezve az autó földrajzi pozíciója könnyedén követhető valamely, a vezeték nélküli hálózatok feltérképezésére szolgáló online szolgáltatás segítségével, mint például a wigle.com. Valószínűleg nem kell ecsetelni, ez milyen értékes adatokat jelenthet például az autótolvajoknak.
A Pen Test Partners szakértőinek némi kísérletezés után sikerült a mobilalkalmazás által kommunikációra használt bináris protokollt is megfejteni, ezáltal képesek voltak távolról bekapcsolni az autó lámpáit és légkondicionálóját, ezzel tetszés szerint lemerítve az akkumulátort, illetve a töltési programot is módosítani tudták, hogy a jármű a jóval költségesebb, csúcsidőszakban töltse magát - végül pedig a riasztót is sikerült teljesen kikapcsolni. A kutatók szerint ráadásul a fentiek még nem merítik ki a támadók lehetőségeit, jó eséllyel további biztonsági rések is tátonganak az járművön.
A Mitsubishi Outlanderek tulajdonosai leggyorsabban úgy biztosíthatják be magukat a fenti veszélyek ellen, hogy egyszerűen lekapcsolják az autó Wi-Fi hozzáférési pontját, amelyet a mobilapp párosításának törlésével tudnak megtenni - az abszurdba hajló leírást mindenképp érdemes fellapozni. Remélhetőleg a gyártó hamarosan kiad egy firmware-frissítést a fenti sebezhetőségek orvoslására, ugyanakkor miután a probléma nem elhanyagolható része magából a Wi-Fis koncepcióból ered, a szakértők szerint a teljes újragondolás, illetve az érintett modellek visszahívása jelenthet hosszútávú megoldást.