Thread by @Schnabelobst

Gute Nacht Geschichte?

"Hacker" versucht die "Unterhaltungs"-Elektronik an seinem neuen #Hyundai zu knacken, bricht sich einen ab, zieht alle Register... und erhält am Schluß "root" Zugang, weil PFUSCH IM QUADRAT.

Für Nicht-Experten: Der Gute hat

1/

programmingwithstyle.com/posts/howihack…

2/
sich brav durch alle denkbaren Lösungsmöglichkeiten geknobelt, in der Hoffnung eine zu 99,999999% abgesichertes Teil zu finden, dem er den entscheidenden Tritt verpassen kann.

Scheitert alles, weil alles erst mal bei 100% "abgedichtet". Nicht besonders toll, aber doch

3/
abgesichert. Nichts, was nicht ein Team mit ein bisschen Rechenleistung knacken könnte, aber doch... ganz okay.

Bis er auf eine Kombination aus "ACH DU LIEBER HIMMEL" stößt. Diverse Methoden und Passwörter, die in verfügbaren Logging Dateien zu finden sind, "Passwörter" aus

4/
vierstelligen Zahlen, die "hardcoded", also bei allen Fahrzeugen ab Werk gleich (!) lautend verwendet wurden, und die abgesichert wurden, indem man das "Passwort", also die vierstellige Zahl ändert... und einen einfachen MD5-Hash (das ist 2022 wie "Kinder-Geheimsprache oder

5/
ein ROT-13 Verfahren (siehe Link) zu verwenden).

Aber die Krönung ist, dass die Übertragung nach außen über eine SSL Verbindung (kennt Ihr aus dem "https") hergestellt wird. Das ist eigentlich gut, aber wenn man dafür "Schloß und Schlüssel" verwendet, die in

6/
einem ANFÄNGER TUTORIAL FREI IM NETZ STEHEN, dann ist es halt auch nicht besonders schwer, sich Zugang zu verschaffen.

Nun bin ich kein diskriminierendes, sondern ein wohlwollendes Obst und mein Gedanke dabei ist keineswegs: "Die doofen Koreaner", sondern vielmehr ein

7/
HOFFENTLICH HABEN DIE DEUTSCHEN AUTOBAUER EINE BESSERE QUALITÄTSSICHERUNG IN DIESEN BEREICHEN VERD**** NOCH MAL.

Warum?

Weil es sich hier "nur" um die Passagierbespaßung handelt, sprich: Sind die Türen auf oder zu, wie warm heizt die Heizung, kühlt die Klimaanlage, welche

8/
Musik hören wir uns heute an.

Also Dinge, die "gehacked" wenig bis gar nicht gefährlich sind. Mehr oder weniger halt.

ABER

Wenn bei solchen Systemen derartiges Versagen festzustellen ist, dann ist die Wahrscheinlichkeit hoch, dass Ähnliches auch bei "vitaler" Elektronik

9/
zu finden ist.

Und das würde dann allerlei Lustigkeiten bedeuten: Vollgas, Vollbremsung, Vollbremsung auf einem (Vorder-)rad inkl. "Lenkunterstützung zum Parken"... bei Tempo 200.

Leider, leider, leider ist die deutsche Gesetzgebung auf dem Standpunkt dass jeder, der nicht

10/
dummdröselig vor dem ihm vorgesetzten elektronischen Gerät sitzt und brav macht, das man von einem DAU* erwartet, sondern etwas mehr... ein böser Hacker ist und sofort weggesperrt gehört.

Leider, leider, leider halten sich die Initiativen zur Absicherung der KfZ Elektronik

11/
irgendwie immer noch in Grenzen.

Es gibt zwar immer wieder ein paar Aktionen, die auch sehr löblich sind, aber bisher fehlt irgendwie sowohl der gesetzliche Rahmen als auch die Heerschar (!) an Experten, die nötig ist, um all die Systeme abzusichern.

Was ich damit

12/
sagen will?

Auch in der Autoindustrie muss man mich erst noch davon überzeugen, dass wir nicht im SIMS Style mit einem "ATTACK HERE!" Pfeil über dem Kopf durch die Gegend eiern.

Häh?

Nunja, sagen wir's so: Wer uns im "Cyber" schaden will, der kann das tun. Bisher hat's

13/13
entweder noch keiner probiert, oder die sind "alle dumm".

Letzteres ist ausgeschlossen, China hat uns in Sachen IT lange überholt. Russland hat enorme Gelder in Cyber Kriegsführung investiert.

Am ehesten, wurde noch nichts "aktiviert".

Und das ist nicht sehr beruhigend.

14/13 (sic!)

Link vergessen. ROT-13 Verfahren

und

Erklärung vergessen:

*DAU = Dümmster Anzunehmender User

de.wikipedia.org/wiki/ROT13