Die Sicherheitsforscher Levente Buttyán, András Szijj und Zsolt Szalay von der Technischen Universität Budapest haben eine Schwachstelle aufgezeigt, mit der Autos des Volkswagen-Konzerns angreifbar sind.
Die Schwachstelle befindet sich in einer weit verbreiteten Diagnose-Software, die etwa in Werkstätten eingesetzt wird, um Probleme am Auto zu finden. Über einen Man-in-the-Middle-Angriff schalteten sie sich zwischen die Diagnose-Software und die Autoelektronik. So sendeten sie falsche Befehle an einen Audi TT und konnten etwa den Beifahrer-Airbag deaktivieren – ohne, dass die Diagnose-Software oder die Pkw-Elektronik eine Warnung anzeigten.
Laut den Forschern wäre es möglich das Notebook des Mechanikers lokal oder über das Internet mit Schad-Software zu infizieren. Wird das Notebook dann mit dem Diagnose-Port des Autos verbunden, werden die falschen Befehle übermittelt.
Neben dem Audi TT sollen auch andere VW-Autos betroffen sein. Die Forscher kritisieren, dass die Kommunikation zwischen Software und Auto nicht ausreichend verschlüsselt ist, extern geladener Code nicht überprüft wird und die Signatur-Prüfung der Befehle nicht ausreichend ist. Zumindest Letzteres hätte einen Angriff mittels dieser Lücke erschwert.
Die Forscher berichten, dass nicht alle Funktionen in ihren Tests deaktiviert werden konnten, wie etwa das ABS-Modul. Zusammenfassend sehen sie ihre Arbeit als erfolgreich an, da sie in der Praxis beweisen konnten, dass es mit relativ einfachen Mitteln möglich ist Cyber-Attacken auf Autos auszuführen.
Die Schwachstelle befindet sich in einer weit verbreiteten Diagnose-Software, die etwa in Werkstätten eingesetzt wird, um Probleme am Auto zu finden. Über einen Man-in-the-Middle-Angriff schalteten sie sich zwischen die Diagnose-Software und die Autoelektronik. So sendeten sie falsche Befehle an einen Audi TT und konnten etwa den Beifahrer-Airbag deaktivieren – ohne, dass die Diagnose-Software oder die Pkw-Elektronik eine Warnung anzeigten.
Laut den Forschern wäre es möglich das Notebook des Mechanikers lokal oder über das Internet mit Schad-Software zu infizieren. Wird das Notebook dann mit dem Diagnose-Port des Autos verbunden, werden die falschen Befehle übermittelt.
Neben dem Audi TT sollen auch andere VW-Autos betroffen sein. Die Forscher kritisieren, dass die Kommunikation zwischen Software und Auto nicht ausreichend verschlüsselt ist, extern geladener Code nicht überprüft wird und die Signatur-Prüfung der Befehle nicht ausreichend ist. Zumindest Letzteres hätte einen Angriff mittels dieser Lücke erschwert.
Die Forscher berichten, dass nicht alle Funktionen in ihren Tests deaktiviert werden konnten, wie etwa das ABS-Modul. Zusammenfassend sehen sie ihre Arbeit als erfolgreich an, da sie in der Praxis beweisen konnten, dass es mit relativ einfachen Mitteln möglich ist Cyber-Attacken auf Autos auszuführen.
