Perbatasan berikutnya dalam peretasan mobil | doug newcomb

Peretasan mobil telah menjadi berita utama akhir-akhir ini, meskipun hanya ada satu insiden yang terdokumentasi (yang merupakan pekerjaan orang dalam lima tahun lalu).

Peretasan mobil yang lebih baru dilakukan bukan oleh penjahat tetapi peneliti keamanan TI, yang dalam beberapa minggu terakhir telah menunjukkan cara mendapatkan akses ke kontrol kritis Jeep saat meluncur di jalan raya, memainkan aplikasi jarak jauh GM OnStar untuk membuka pintu mobil dan nyalakan mesin dari jarak jauh, dan matikan mesin dari Tesla Model S. Tindakan peretasan ini telah menempatkan upaya mobil pembuat mobil yang terhubung menjadi sorotan dan menjadikan mereka sasaran pejabat dan tuntutan hukum terpilih.

Sekarang, perhatian telah beralih ke perangkat mobil yang terhubung dengan aftermarket yang dihubungkan ke Onboard Diagnostic Port II kendaraan, juga dikenal sebagai dongle OBD-II. Perangkat telah ada selama beberapa tahun dan membiarkan pemilik kendaraan diproduksi setelah tahun 1996 dengan port ODB-II menambah konektivitas. Mereka ditawarkan oleh perusahaan mulai dari perusahaan asuransi mobil besar hingga sekitar selusin perusahaan baru mulai dari memantau gaya mengemudi dan penghematan bahan bakar hingga melacak remaja saat mereka berada di belakang kemudi.

Memotong Rem Corvette

Menjelang konferensi keamanan minggu ini, para peneliti dari University of California di San Diego (UCSD) mengungkapkan bagaimana mereka dapat meretas secara nirkabel ke dongle OBD-II yang dicolokkan ke Corvette model terbaru. Mereka mengirim pesan SMS ke perangkat yang menyalakan wiper kaca depan mobil dan mengerem. Sementara para peneliti mencatat bahwa peretasan rem hanya dapat dilakukan pada kecepatan rendah karena cara kendaraan dirancang, mereka menambahkan bahwa serangan itu dapat dengan mudah disesuaikan dengan hampir semua kendaraan modern untuk mengambil alih komponen penting seperti kemudi atau transmisi.

"Kami memperoleh beberapa dari ini, merekayasa balik mereka, dan sepanjang jalan menemukan bahwa mereka memiliki sejumlah kekurangan keamanan, " kata Stefan Savage, seorang profesor keamanan komputer UCSD yang memimpin proyek. Dongle "menyediakan banyak cara untuk mengontrol… jarak jauh apa saja pada kendaraan yang terhubung dengan mereka, " tambahnya.

Dongle OBD-II yang diretas dibuat oleh perusahaan Prancis Mobile Devices, tetapi didistribusikan oleh Metromile, sebuah perusahaan asuransi mobil yang berbasis di San Francisco yang memberikan dongle OBD-II terhubung-seluler gratis untuk membebani pelanggan hanya untuk jarak tempuh didorong.

Para peneliti UCSD memberi tahu Metromile tentang kerentanan dongle pada Juni, dan perusahaan itu mengatakan secara nirkabel mengirim patch keamanan ke perangkat. "Kami menganggap ini sangat serius segera setelah kami tahu, " kata CEO Metromile Dan Preston kepada Wired .

Namun, bahkan setelah Metromile mengirimkan patch keamanannya, ribuan dongle terlihat dan masih dapat diretas, sebagian besar karena mereka digunakan oleh perusahaan manajemen armada Spanyol Coordina. Dalam sebuah pernyataan dari perusahaan induk TomTom Telematics, Coordina mengatakan bahwa mereka melihat ke serangan para peneliti dan menemukan bahwa itu hanya berlaku untuk dongle versi lama yang digunakan perusahaan. Sekarang sedang dalam proses mengganti "jumlah terbatas" dari perangkat-perangkat itu.

Perusahaan juga mencatat bahwa nomor telepon yang ditetapkan untuk kartu SIM di perangkatnya tidak publik dan tidak dapat dihubungi melalui pesan teks, seperti dalam serangan oleh para peneliti UCSD. Tetapi para peneliti membalas bahwa bahkan tanpa mengetahui nomor telepon kartu SIM, dongle-dongle tersebut rentan terhadap serangan brutal dengan mengirimkan rentetan pesan teks.

Sementara peretasan mobil produksi baru-baru ini telah memakan waktu berbulan-bulan untuk melakukan akses jarak jauh atau diperlukan fisik ke kendaraan, kerentanan keamanan dongle OBD-II yang terhubung ke cloud telah dikenal selama beberapa bulan dan tampaknya jauh lebih mudah untuk diretas. Dan masalahnya tidak terbatas pada produk Perangkat Seluler. Pada Januari, peneliti keamanan Corey Thuen dapat meretas perangkat Progressive Snapshot, sementara peneliti di perusahaan keamanan cyber Argus menemukan kelemahan keamanan dengan perangkat Zubie OBD-II.

Para peneliti mencatat bahwa potensi peretasan tidak terbatas pada Corvette yang digunakan dalam pengujian mereka, dan bahwa mereka dapat membajak kemudi atau rem dari kendaraan modern apa pun dengan dongle Perangkat Mobile yang dicolokkan ke dasbornya. "Bukan hanya mobil ini yang rentan, " kata peneliti UCSD Karl Koscher.

Seperti halnya mobil-mobil yang terhubung dari para pembuat mobil, belum ada peretasan berbahaya yang didokumentasikan atas sebuah kendaraan dengan dongle OBD-II. Tetapi para peneliti percaya bahwa ancaman itu nyata dan mencatat bahwa, tidak seperti dengan konektivitas dalam mobil produksi, tidak ada pengawasan pemerintah untuk perangkat aftermarket.

"Kami memiliki sejumlah besar yang sudah ada di pasaran, " tambah Savage. "Mengingat kita telah melihat eksploitasi jarak jauh yang lengkap dan hal-hal ini tidak diatur dengan cara apa pun dan penggunaannya semakin meningkat… Saya pikir ini penilaian yang adil bahwa akan ada masalah di tempat lain."

"Pikirkan dua kali tentang apa yang kamu tancapkan ke mobilmu, " Koscher memperingatkan. "Sulit bagi konsumen reguler untuk mengetahui bahwa perangkat mereka dapat dipercaya atau tidak, tetapi itu adalah sesuatu yang harus mereka pikirkan sejenak. Apakah ini membuat saya lebih berisiko?"

Ini adalah pertanyaan yang sudah lama ditanyakan konsumen, dan pengemudi yang ingin menghubungkan mobil mereka ke cloud melalui dongle OBD-II sekarang juga harus bertanya.