Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Una vulnerabilità di Open VSX Registry mette in pericolo milioni di sviluppatori
Le stampanti multifunzione sono piene di bug! Uno espone la password di admin e Brother fa il record
L’Iran lancia un attacco di spear-phishing contro obiettivi israeliani
Windows 10: ancora un anno di aggiornamenti (quasi) gratis
Attacchi silenziosi ai server Exchange: keylogger in JavaScript rubano credenziali dalle pagine di login

Car hacking: cade anche Mitsubishi

Giu 06, 2016 Marco Schiaffino Hacking, News, Vulnerabilità 0

Nuovo capitolo nella saga del car hacking e a uscirne con le ossa rotte, questa volta, è Mitsubishi. La “vittima” è l’Outlander PHEV (Plug-in Hybrid Eelectric Vehicle) e il sistema di controllo tramite smartphone.

A rendere pubblica la vulnerabilità sono stati i ricercatori del PenTestPartners, che nel loro sito spiegano nei dettagli come hanno fatto a violare il sistema per disattivare l’antifurto del SUV ibrido.

Gli ingegneri della casa giapponese, d’altra parte, l’hanno fatta davvero grossa. Prima di tutto scegliendo una modalità di connessione che dovrebbe far storcere il naso già al primo impatto.

Come spiegano gli autori del report, il collegamento con gli smartphone avviene di solito attraverso la rete mobile, utilizzando la normale rete GSM. Mitsubishi, invece, ha optato per l’installazione di un access point Wi-Fi, al quale il proprietario della macchina si deve collegare per comunicare con il SUV attraverso l’app.

Usare il Wi-Fi per il collegamento allo smartphone è più economico, ma molto meno sicuro.

Una soluzione che anche sotto il profilo della facilità d’uso non è proprio il massimo, visto che obbligherebbe l’utilizzatore (almeno sotto casa) a cambiare le impostazioni del Wi-Fi a ogni accesso.

Sotto il profilo della sicurezza, però, la scelta del Wi-Fi è un vero disastro. Prima di tutto perché la geolocalizzazione consente a chiunque di individuare facilmente la posizione del veicolo. Basta conoscere l’SSID (nel caso di Mitsubishi è “REMOTE” seguito da due numeri e quattro lettere) e usare un servizio come quello di wigle.net.

In secondo luogo perché, come dimostra l’esperimento portato a termine da PenTestPartners, è a rischio crack. I ricercatori hanno impiegato 4 giorni per violare la password predefinita utilizzando un dispositivo stand-alone con 4 GPU, ma stimano che utilizzando un servizio cloud dedicato serva molto meno tempo.

Una volta violata la password, è possibile controllare numerose funzioni del veicolo. Si può regolare il climatizzatore, accendere e spegnere le luci, ma soprattutto disattivare l’antifurto. La buona notizia, per lo meno, è che l’app non consente di aprire le portiere.

Non si possono aprire le porte a distanza, ma disattivare l’antifurto sì.

Stando a quanto si legge nel report, Mitsubishi avrebbe già preso delle contromisure per mitigare il rischio. Il suggerimento dei ricercatori di PenTestPartners per i proprietari di Outlander, però, è uno solo: disattivare il Wi-Fi.

Condividi l'articolo