IT-Rebellen Das Blog für IT- und Businessentscheider, die neue Wege gehen wollen.
Ausgerechnet Software, die offiziell oft gar nicht aktiviert ist, könnte Hackern ein Einfallstor in so manches Autos bieten. Davor warnen Forscher der Tandon School of Engineering an der New York University (NYU). Verantwortlich dafür sind Sicherheitslücken im Standard „MirrorLink“, der eine Verbindung zwischen Smartphone und In-Car-Systemen ermöglicht. Diese Software wird auch in Modellen ausgeliefert, die sie gar nicht nutzen – und ist dort für Bastler oft leicht zu aktivieren.
MirrorLink ist ein Protokoll des Car Connectivity Consortiums, dem die meisten großen Autobauer angehören. Der Standard erlaubt die Verbindung zwischen Smartphone und Infotainment-System des Fahrzeugs. In manchen Autos wird MirrorLink zwar ausgeliefert, ist aber ab Werk deaktiviert, weil es sich um einen Prototypen handelt. „Tuner werden nach derartigen Prototypen suchen, und wenn die Systeme leicht zu entsperren sind, werden sie es tun“, warnt NYU-Informatikprofessor Damon McCoy. Damit gehen dann auch Sicherheitslücken auf.
Unvorhergesehene Schwachstelle bei Smartphone-Verbindung
Bei einem Fahrzeug des Baujahrs 2015, das das NYU-Team auf eBay gekauft hatte, war MirrorLink nach dem Entsperren geeignet, um über ein Smartphone die Kontrolle über kritische Systeme wie ABS zu erlangen. Und das Aktivieren der Software war erschreckend leicht. Nötig sind nur ein Firmwareupdate und das Anpassen eines Konfigurationswerts. „Es gibt öffentlich verfügbare Anleitungen, die beschreiben, wie man MirrorLink entsperrt“, betont McCoy. Die Hürde für Tuner ist also gering. Ein entsprechendes YouTube-Video, das die Forscher gefunden haben, hat dem Team zufolge über 60.000 Aufrufe.
Der namentlich nicht genannte Hersteller des untersuchten Fahrzeugs weigert sich den Forschern zufolge, ein Sicherheitsupdate zu veröffentlichen – immerhin hat er das Verbindungsprotokoll für dieses Modell gar nicht aktiviert. Wer also ein getuntes Auto mit entsperrtem MirrorLink fährt, nimmt die damit verbundenen Sicherheitsrisiken wohl ungeschützt in Kauf. Die anlässlich des 10th USENIX Workshop on Offensive Technologies veröffentlichte Arbeit soll auf das Problem des nachträglichen Entsperrens unsicherer Features aufmerksam machen, ehe Lösungen wie MirrorLink in noch mehr Autos präsent – oder eben versteckt – sind.
Wir brauchen hier dringend eine scharfe Gesetzesnovell, um die Hersteller in die direkte Haftung zu nehmen.
Mittelfristig kommen wir hier nicht an Freier Software vobei, die von jedem jederzeit selbst überprüft werden kann.
Am besten sollten hier Strafen für Sicherheitslücken direkt an die entsprechenden Hacker, die sie aufdecken, gezahlt werden. Und die Geheimhaltung von Lücken sollte mit Haftstrafen belegt werden.
Anders werden wir diese Katastrophe – die noch tausende Menschenleben kosten wird – kaum aufhalten können.