As vulnerabilidades de segurança de software são reportadas o tempo todo. Geralmente, a resposta quando uma vulnerabilidade é descoberta é agradecer (ou, em muitos casos, pagar) o pesquisador que a encontrou e, então, corrigir o problema. Essa é a resposta padrão no setor.
Uma resposta decididamente não padronizada seria processar as pessoas que relataram a vulnerabilidade para impedi-las de falar sobre isso e depois passar dois anos tentando esconder o problema. Infelizmente, é exatamente isso que a montadora alemã Volkswagen fez.
Carjacking criptográfico
A vulnerabilidade em questão era uma falha no sistema de ignição sem chave de alguns carros. Esses sistemas, uma alternativa de ponta para as teclas convencionais, devem impedir que o carro seja destravado ou ligado a menos que o chaveiro esteja por perto. O chip é chamado de "Megamos Crypto" e é comprado de um fabricante terceirizado na Suíça. O chip deve detectar um sinal do carro e responder com uma mensagem criptograficamente assinada. Você pode assinar eletronicamente documentos e você deve? Você pode assinar eletronicamente documentos e você deve? Talvez você tenha ouvido seus amigos com experiência em tecnologia jogarem os termos assinatura eletrônica e assinatura digital. Talvez você até tenha ouvido eles serem usados de forma intercambiável. No entanto, você deve saber que eles não são os mesmos. De fato, ... Leia Mais assegurando ao carro que está tudo certo para desbloquear e iniciar.
Infelizmente, o chip usa um esquema criptográfico desatualizado. Quando os pesquisadores Roel Verdult e Baris Ege notaram esse fato, eles conseguiram criar um programa que quebra a criptografia ouvindo as mensagens entre o carro e o chaveiro. Depois de ouvir duas dessas trocas, o programa é capaz de reduzir o alcance de possíveis chaves a cerca de 200.000 possibilidades - um número que pode ser facilmente forçado por um computador.
Este processo permite ao programa criar uma “duplicata digital” do chaveiro, desbloquear ou ligar o carro à vontade. Tudo isso pode ser feito por um dispositivo (como um laptop ou telefone) que esteja perto do carro em questão. Não requer acesso físico ao veículo. No total, o ataque leva cerca de trinta minutos.
Se esse ataque parece teórico, não é. De acordo com a Polícia Metropolitana de Londres, 42% dos roubos de carros em Londres no ano passado foram realizados usando ataques contra sistemas desbloqueados sem chave. Esta é uma vulnerabilidade prática que coloca milhões de carros em risco.
Tudo isso é mais trágico, porque os sistemas de desbloqueio sem chave podem ser muito mais seguros do que as teclas convencionais. A única razão pela qual esses sistemas são vulneráveis é devido à incompetência. As ferramentas subjacentes são muito mais poderosas do que qualquer bloqueio físico jamais poderia ser.
Divulgação Responsável
Os pesquisadores originalmente divulgaram a vulnerabilidade ao criador do chip, dando-lhes nove meses para corrigir a vulnerabilidade. Quando o criador se recusou a emitir um recall, os pesquisadores foram para a Volkswagen em maio de 2013. Eles originalmente planejavam publicar o ataque na conferência USENIX em agosto de 2013, dando à Volkswagen cerca de três meses para iniciar um recall / retrofit, antes do ataque tornar-se público.
Em vez disso, a Volkswagen processou os pesquisadores da publicação do artigo. Uma alta corte britânica tomou o partido da Volkswagen, dizendo: "Eu reconheço o alto valor da liberdade de expressão acadêmica, mas há outro alto valor, a segurança de milhões de carros da Volkswagen".
Foram necessários dois anos de negociações, mas os pesquisadores finalmente podem publicar seu artigo, menos uma frase que contém alguns detalhes importantes sobre a replicação do ataque. A Volkswagen ainda não consertou os chaveiros e nem os outros fabricantes que usam o mesmo chip.
Segurança por litigiosidade
Obviamente, o comportamento da Volkswagen aqui é totalmente irresponsável. Ao invés de tentar consertar o problema com seus carros, em vez disso, eles derramaram Deus sabe quanto tempo e dinheiro para tentar impedir as pessoas de descobrirem sobre isso. Isso é uma traição aos princípios mais fundamentais da boa segurança. Seu comportamento aqui é imperdoável, vergonhoso e outras (mais coloridas) invectivas que eu vou poupar você. Basta dizer que não é assim que as empresas responsáveis devem se comportar.
Infelizmente, também não é único. Os fabricantes de automóveis têm deixado cair a bola da segurança Pode os Hackers REALMENTE tomar seu carro? Hackers podem realmente assumir seu carro? Leia mais muito ultimamente. No mês passado, foi revelado que um modelo específico de Jeep poderia ser cortado sem fio através de seu sistema de entretenimento. Como são seguros os carros autônomos conectados à Internet? Quão seguros são os carros autônomos conectados à Internet? Auto-dirigindo carros são seguros? Os automóveis conectados à Internet poderiam ser usados para causar acidentes ou até mesmo assassinar dissidentes? Google não espera, mas uma experiência recente mostra que ainda há um longo caminho a percorrer. Leia mais, algo que seria impossível em qualquer projeto de carro consciente de segurança. Para o crédito da Fiat Chrysler, eles lembraram mais de um milhão de veículos na sequência dessa revelação, mas apenas depois que os pesquisadores em questão demonstraram o hack de uma maneira irresponsável, perigosa e vívida.
Milhões de outros veículos conectados à Internet provavelmente estão vulneráveis a ataques semelhantes - mas ninguém colocou em perigo uma jornalista com eles ainda, então não houve recall. É inteiramente possível que não veremos mudanças neles até que alguém morra.
O problema aqui é que os fabricantes de automóveis nunca foram fabricantes de software antes - mas agora eles são de repente. Eles não têm cultura corporativa consciente da segurança. Eles não têm o conhecimento institucional para lidar com esses problemas da maneira correta, ou construir produtos seguros. Quando eles se deparam com eles, sua primeira resposta é pânico e censura, não correções.
Demorou décadas para as empresas de software modernas desenvolverem boas práticas de segurança. Alguns, como a Oracle, ainda estão presos a culturas de segurança desatualizadas O Oracle quer que você pare de enviá-los - Por que isso é loucura A Oracle quer que você pare de enviá-los - Por que isso é loucura? chefe, Mary Davidson. Essa demonstração de como a filosofia de segurança da Oracle se afasta do mainstream não foi bem recebida na comunidade de segurança ... Leia Mais. Infelizmente, não temos o luxo de simplesmente esperar que as empresas desenvolvam essas práticas. Os carros são máquinas caras (e extremamente perigosas). Eles são uma das áreas mais críticas de segurança de computadores, depois de uma infraestrutura básica como a rede elétrica. Com a ascensão dos carros autônomos A história é beliche: o futuro dos transportes será como nada que você já viu Antes que a história seja beliche: o futuro dos transportes será como nada que você já viu Em poucas décadas, a frase " carro sem motorista vai soar muito como uma carruagem sem cavalos, e a idéia de possuir seu próprio carro parecerá tão pitoresca quanto cavar seu próprio poço. Leia Mais em particular, essas empresas devem fazer melhor, e é nossa responsabilidade mantê-las em um padrão mais elevado.
Enquanto trabalhamos nisso, o mínimo que podemos fazer é fazer com que o governo pare de ativar esse mau comportamento. As empresas nem deveriam tentar usar os tribunais para ocultar problemas com seus produtos. Mas, enquanto alguns deles estão dispostos a tentar, certamente não devemos deixá-los. É vital que tenhamos juízes que estejam cientes o suficiente da tecnologia e das práticas da indústria de software com consciência de segurança para saber que esse tipo de ordem não é a resposta certa.
O que você acha? Você está preocupado com a segurança do seu veículo? Qual montadora é melhor (ou pior) em segurança?
Créditos da Imagem: abrindo seu carro por nito via Shutterstock