Взлом авто через JavaScript? Легко! 🚗 🛜 🔑

Исследователь Чарли Жерар показал, как с помощью JavaScript и устройства HackRF захватывать сигналы ключей-брелоков и открывать машины. Код и веб-приложение уже в открытом доступе — осталось купить оборудование и попробовать.

«С помощью этого можно принимать, записывать и передавать данные, что открывает возможности для взлома домофонов, гаражных ворот и многого другого»

Статья с видео

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

🔑 Умные ключи? Не такие уж и умные!

Исследователи из Университета Ашока (Индия) провели глубокий анализ систем Remote Keyless Entry (RKE) в автомобилях Honda, Toyota, Maruti-Suzuki и Mahindra. Они выявили уязвимости к атакам, таким как replay-атаки (перехват и повтор сигнала) и атаки по времени (внедрение в процесс синхронизации ключа и автомобиля).

Результат? Все четыре марки оказались уязвимы к известным методам взлома. Например, злоумышленники могут перехватить сигнал ключа, усилить его и открыть автомобиль без ведома владельца.

Это исследование перекликается с уже известными уязвимостями, такими как:

CVE-2022-27254: уязвимость в системе RKE, позволяющая перехватывать сигналы ключей.

CVE-2021-46145: слабая криптография в ключах, делающая их подверженными replay-атакам.

Это первое публичное исследование ключевых систем Maruti-Suzuki и Mahindra, и оно показывает, что даже современные технологии RKE могут быть недостаточно защищены. 🚘

Статья

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

Почему канадские авто воруют чаще, чем британские? 🚗🔓

CBC выпустили статью "Почему некоторые авто в Канаде легче украсть, чем те же модели в Великобритании". Они изучили топ-10 самых краденых машин в Канаде и выделили 6 моделей, которые продаются в обеих странах. Оказалось, что в британских версиях есть дополнительные функции безопасности, отсутствующие в канадских.

Производители объяснили это разницей в регуляциях: в ЕС и Великобритании они строже.

🔥 Интересный пример того, как регуляторные требования влияют на уровень кибербезопасности продукта. В данном случае их эффективность очевидна.

Статья

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

Функциональная безопасность и кибербезопасность авто: почему сгорел Lixiang L9 Ultra

Недавний случай с возгоранием нового Lixiang L9 Ultra на МКАДе из-за замыкания электропроводки поднимает важные вопросы о функциональной безопасности и кибербезопасности современных авто.

Функциональная безопасность отвечает за предотвращение сбоев, которые могут привести к авариям или повреждениям. Однако в эпоху "умных" машин она тесно связана с кибербезопасностью. Уязвимости в ПО или ошибки в проектировании могут не только открыть доступ хакерам, но и стать причиной физических неисправностей, как в случае с Lixiang.

Этот инцидент — напоминание: производителям важно обеспечивать не только технологичность, но и надежность всех систем. Ведь даже одна ошибка может превратить дорогой автомобиль в "ведро с болтами".

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

🔋 Взлом электромобилей: как уязвимости BMS угрожают безопасности

BMS (Battery Management System) — это мозг батареи электромобиля. Он управляет зарядом, температурой и другими критическими параметрами, чтобы Li-Ion аккумуляторы оставались стабильными.

Но BMS можно взломать через:

🚙 OBD-порт (диагностика)

🚙 Внутренние шины (например, CAN Bus)

🚙 Порт зарядки

🚙 Физический доступ (разборка и реверс-инжиниринг)

Уязвимости BMS могут привести к повреждению авто или даже возгоранию. Пример: исследование Патрика Кили по взлому BMS Tesla для увеличения мощности.

Безопасность BMS — это не только про функциональную сохранность автомобиля, но и про жизнь людей. 🔥

Взлом BMS
Видео
Другая статья

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

🔴 Китайские автомобили: технологии, угрозы и двойные стандарты 🔴
https://teletype.in/@autovisor/1XY5zTfeMSc

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

🛡 Кибербезопасность в автопроме: мониторинг, вызовы и опыт Audi 🛡

Два инженера по безопасности из Audi поделились опытом разработки и внедрения систем мониторинга транспортных средств. В рамках презентации "Мониторинг безопасности в автомобильной кибербезопасности: вызовы и перспективы" они раскрыли ключевые аспекты защиты автомобилей с точки зрения производителя.

В докладе освещены уникальные кейсы, распространённые проблемы и вызовы, с которыми сталкиваются инженеры при обеспечении кибербезопасности современных автомобилей. Это редкая возможность узнать, как крупные автопроизводители справляются с растущими угрозами в эпоху подключённых транспортных средств.

Презентация в двух форматах:
YouTube / PDF

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

🚚🪱 Уязвимости в ELD: киберчервь для грузовиков 🔒⚠️

Исследователи из Университета Колорадо выявили критические уязвимости в Electronic Logging Devices (ELD) — устройствах, обязательных для коммерческих автомобилей в США. ELD подключаются к бортовой системе через CAN-шину и используются для отслеживания режима труда и отдыха водителей, а также состояния транспортного средства. Внедрение подобных систем государственного мониторинга активно обсуждается и в России.

Выявленные уязвимости позволяют злоумышленникам создавать "Truck-to-Truck Worm", который может автоматически распространяться между грузовиками через Wi-Fi и Bluetooth.

Основные уязвимости (CWE):

➡️CWE-284: Improper Access Control — отсутствие защиты Wi-Fi и Bluetooth.

➡️CWE-306: Missing Authentication — возможность обновления прошивки без проверки.

➡️CWE-912: Hidden Functionality — риск модификации прошивки для атак.

Исследователи разработали Proof of Concept (PoC), демонстрирующий, как червь может заражать грузовики. Это первый публичный пример автомобильного червя.

В России аналогичные функции выполняют тахографы и ГЛОНАСС-трекеры, которые также могут быть уязвимы к подобным атакам. Важно, чтобы разработка и внедрение таких систем учитывали требования кибербезопасности, включая рекомендации стандарта ISO 21434 📄.

PDF статья Код на Github

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

Угроза для автомобилей: бэкдор в Bluetooth-чипах

Исследователи обнаружили незадокументированные команды в популярном Bluetooth-чипе ESP32, который широко используется в автомобилях, IoT и промышленных системах. Эти команды, соответствующие CWE-912: Hidden Functionality, позволяют злоумышленникам обходить механизмы безопасности и выполнять атаки.

Работа "Атаки на Bluetooth: простой способ", представленная Мигелем Тараско Акунья и Антонио Васкес Бланко, раскрывает детали уязвимости. Для автомобильной кибербезопасности это особенно критично, так как чип используется в системах связи, мультимедиа и управления транспортными средствами. Уязвимость также подпадает под CWE-284: Improper Access Control, что делает её ещё более опасной.

Презентация на испанском, но технические слайды и таблица команд (слайд 39) доступны для понимания всем специалистам.

PDF презентация

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности

🚚🪝Взлом грузовиков: прибыльно, но опасно🔒⚠️

Коммерческие грузовики — лакомая цель для хакеров: устаревшие системы, сложная инфраструктура и ценный груз. Исследование "Взлом грузовиков: киберриски и защита для тяжелой техники" Марко Вольфа и Роберта Ламберта раскрывает ключевые угрозы и решения.

Кибербезопасность грузовиков, как и легковых автомобилей, требует внимания, но имеет свои особенности. Уязвимости в системах управления, соответствующие CWE-1236: Improper Neutralization of Formula Elements, и отсутствие защиты от атак на цепочку поставок (CWE-829: Inclusion of Functionality from Untrusted Control Sphere) делают их уязвимыми.

Внедрение стандарта ISO/SAE 21434 может помочь минимизировать риски, обеспечивая системный подход к защите.

Рекомендуем ознакомиться с исследованием, чтобы понять, как защитить коммерческий транспорт от кибератак.

🚙 [AutoVisor] - ландшафт автомобильной кибербезопасности