Newsgroup: it.comp.sicurezza.varie
Titolo: [OT] Car hacking

 
una robetta piuttosto impressionante
 
http://www.wired.com/2015/07/hackers-remotely-kill-jeep-highway/
 
 
specie considerando che può essere sfruttata da *remoto* ossia anche
tramite una connessione internet :P !!
 
==================================================================
 
"I was driving 70 mph on the edge of downtown St. Louis when the
exploit began to take hold......
 
.....Though I hadn’t touched the dashboard, the vents in the Jeep
Cherokee started blasting cold air at the maximum setting, chilling the
sweat on my back through the in-seat climate control system. Next the
radio switched to the local hip hop station and began blaring Skee-lo
at full volume. I spun the control knob left and hit the power button,
to no avail. Then the windshield wipers turned on, and wiper fluid
blurred the glass.
 
As I tried to cope with all this, a picture of the two hackers
performing these stunts appeared on the car’s digital display: Charlie
Miller and Chris Valasek, wearing their trademark track suits. A nice
touch, I thought.....
 
"Miller and Valasek’s full arsenal includes functions that at lower
speeds fully kill the engine, abruptly engage the brakes, or disable
them altogether. The most disturbing maneuver came when they cut the
Jeep’s brakes, leaving me frantically pumping the pedal as the 2-ton
SUV slid uncontrollably into a ditch. The researchers say they’re
working on perfecting their steering control—for now they can only
hijack the wheel when the Jeep is in reverse. Their hack enables
surveillance too: They can track a targeted Jeep’s GPS coordinates,
measure its speed, and even drop pins on a map to trace its route.
 
"Uconnect, an Internet-connected computer feature in hundreds of
thousands of Fiat Chrysler cars, SUVs, and trucks, controls the
vehicle’s entertainment and navigation, enables phone calls, and even
offers a Wi-Fi hot spot. And thanks to one vulnerable element, which
Miller and Valasek won’t identify until their Black Hat talk,
Uconnect’s cellular connection also lets anyone who knows the car’s IP
address gain access from anywhere in the country. “From an attacker’s
perspective, it’s a super nice vulnerability,” Miller says.....
 
"When Miller and Valasek first found the Uconnect flaw, they thought it
might only enable attacks over a direct Wi-Fi link, confining its range
to a few dozen yards. When they discovered the Uconnect’s cellular
vulnerability earlier this summer, they still thought it might work
only on vehicles on the same cell tower as their scanning phone,
restricting the range of the attack to a few dozen miles. But they
quickly found even that wasn’t the limit. “When I saw we could do it
anywhere, over the Internet, I freaked out,” Valasek says. “I was
frightened. It was like, holy fuck, that’s a vehicle on a highway in
the middle of the country. Car hacking got real, right then.”
 
 

 exploit began to take hold......
 
Beh, quando nella mia 500 si ruppe il cavo della messa in moto, ero 
ugualmente preoccupato. Però almeno la cosa si fermava lì.
 
Ciao
Luca

 perspective, it’s a super nice vulnerability,” Miller says......
 
 
Avevo già letto sommariamente di questi problemi, immagino siano limitati alla 
versione 6 e superiori di Uconnect e comunque Fiat ha già aggiornato il sw; 
però IMO dovrebbe fare un richiamo totale, cliente per cliente.
 
Quello che non mi è chiaro dai vari articoli è se sto problema sia solo per 
modelli USA o anche Europei.
Ora chiedo ad un mio contatto in FCA.
 
 
Gabriele



già, e per lo meno il cavo si era rotto da solo causa usura, in questo
caso invece, se ad un tizio saltasse il ticchio di disattivarti i freni
mentre sei su una strada di montagna ... :(
 

 in FCA.
 
http://media.fcanorthamerica.com/newsrelease.do;jsessionid=F2311D84ECF96635B99F887F74B32367?&id=16827&mid=1
 
 
:P
 
 

ObiWan wrote on 22/07/15 12:55:

Questo l'avevo già letto ieri.
Non dice niente riguardo le diverse versioni di Uconnect, né a che modelli di 
FCA si riferisce.
Inoltre se il cliente non passa di sia iniziativa in officina (tralasciando i 4 
gatti che lo fanno da soli), l'aggiornamento non viene applicato. Secondo me 
invece qua è il caso di un richiamo massivo.
Ho chiesto ora su Twitter, vediamo se e cosa risponderanno!
 
Gabriele
 

 risponderanno!
 
in effetti credo sia il caso; il problema è sempre lo stesso, si
aggiungono "features" senza considerare la sicurezza ed a quel punto
quando poi salta fuori la PERICOLOSITA' della cosa, visto che non c'è
un meccanismo di update automatico e considerando che un richiamo
comporta dei costi, si fa finta di niente, della serie "tanto non
succederà nulla" ... sino a che ... :P
 
 

 succederà nulla" ... sino a che ... :P
 
Le case serie fanno i richiami, o almeno intervengono per correggere 
i problemi quando l'automobilista porta la macchina per il tagliando
nelle officine autorizzate.
 
 
Inoltre, prima di andare nel panico, riflettiamo su quanta sicurezza
IN PIU' si introduce con le nuove "feature" elettroniche, non di rado.
 
Pensa all'auto che si guida da sola, oramai prossima ventura.
 
Provocherà molti meno incidenti della guida umana, statisticamente.
 
Però scommetto che quei pochi incidenti per difetti o hackeraggi 
dell'"automobile intelligente" faranno molta più paura dei tantissimi 
incidenti provocati dalla "normale" stupidità e disattenzione umana.
 
 


Ma soprattutto, l'importante e' che capiti agli altri

 IN PIU' si introduce con le nuove "feature" elettroniche, non di rado.
 
ma anche in meno, se consideriamo che (purtroppo) molto spesso di tende
ad aggiungere features "elettroniche" ma non si tiene in considerazione
la sicurezza (nel senso di resistenza ad eventuale "hacking") delle
stesse... semplicemente per mantenere i costi bassi e per avere un time
to market ridotto, poi, quando salta fuori il casino *vero* la risposta
è il classico insabbiamento, però, se nel frattempo c'è scappato il
morto, azzi di chi è morto :P che palle !
 

 Ma soprattutto, l'importante e' che capiti agli altri
 
Ma soprattutto, separare due reti, quanto gli costa?
 



considera che lo *stesso* tipo di problema (anche se su
scala /leggermente/ diversa) è presente sia su Airbus che su Boeing, e
se non lo sistemano sugli aerei, secondo te lo faranno sulle auto ?
 
 
 

 invece qua è il caso di un richiamo massivo.
...
 
 
"Customers can either download and install this particular update themselves..."
 

 themselves..."
 
già, perchè non solo il sistema non prevede alcun tipo di protezione
da intrusioni esterne, ma non esiste neanche un sistema che permetta
l'aggiornamento automatico (ad esempio "over the air"); in pratica se
l'utente (che ovviamente del problema NON SA NULLA :P !) non porta la
propria auto in officina richiedendo *esplicitamente* l'aggiornamento
il fantastico "buco" che permette il controllo remoto resta attivo
 
bello eh ?
 
 

 se non lo sistemano sugli aerei, secondo te lo faranno sulle auto ?
 
tanto per chiarire
 
http://www.wired.com/2015/05/feds-say-banned-researcher-commandeered-plane/
 
 
 
 


La cosa più interessante è che il tipo ha scritto un tweet "scherzoso" con le 
faccine mentre era in volo, ma già all'arrivo dell'aereo si sono presentati 
gli agenti a interrogarlo! :D

 dell'aereo si sono presentati gli agenti a interrogarlo! :D
 
quella è stata una palese provocazione, il tizio si occupa proprio di
sicurezza e credo che quel tweet fosse proprio teso a scatenare una
reazione :P resta il fatto che, anche nel caso dell'aereo, penetrando
nel sistema di intrattenimento si arriva al bus principale dato che si
tratta di una rete (fisica) unica :P
 
 
 

 da intrusioni esterne, ma non esiste neanche un sistema che permetta
 
Questo mi ricorda il collegamento alla Rete usando un comune modem
analogico: praticamente non esisteva nemmeno il concetto di firewall,
forse ci sarà stato un solo modello di modem analogico con firewall
incorporato, forse non ci ha pensato nessuno allora... boh :-/
 

 se non lo sistemano sugli aerei, secondo te lo faranno sulle auto ?
 
Direi di sì, anche se forse servirà un certo numero di morti ed un
processo da levare la pelle, oppure l'intervento federale: in America
mica scherzano come da noi.
 
Scrivo forse proprio perchè in America ragionano in maniera differente.
Riguardo gli aerei, visto quello che è successo all'ultima riunione
della IATA, gli americani hanno una ragione in più per bloccare a terra
i 380, non so se la sai.


'sta intera definizione non ha nessun senso...
 



+1
 

 FCA si riferisce.
 
...
FCA will be contacting potentially affected customers with these details and has provided the software update to the FCA US dealer network for immediate customer installation.
 
Customers can enter a vehicle identification number (VIN) and find out if their 
vehicle needs the software update. If your vehicle needs the update, you can 
download the software update to a USB drive and install it yourself.
...snip...
 
The vehicles listed below that have a 8.4 inch touchscreen radio system need 
this software update:
 
2013-2014 Ram 1500 Pickup
2013-2014 Ram 3500 Cab Chassis
2013-2014 Ram 2500 Pickup
2013-2014 Ram 4500/5500 Cab Chassis
2013-2014 Ram 3500 Pickup
2014 Grand Cherokee
2014 Durango
2013-2014 Viper
2014 Cherokee
Some 2015 Chrysler 200s
For any questions regarding how to complete the software update please call our 
Customer Care Center at 
1-877-855-8400
.
 
http://blog.fcanorthamerica.com/2015/07/22/unhacking-the-hacked-jeep/
 
 

 
http://blog.fcanorthamerica.com/2015/07/22/unhacking-the-hacked-jeep/
 
 
Updated to clarify: Due to market access to cellular connectivity, the 8.4 
touchscreen issue noted in the blog post is for vehicles sold only in the U.S.


 
Ah ben gli sta :D
 
Grazie per il link.
 
Gabriele

 'sta intera definizione non ha nessun senso...
 
Cervello bollito, per caso? ;-)
 

 una robetta piuttosto impressionante
 
Si, però....ci vuole una connessione per fare questi danni.
 
E allora, la domanda: come sono instaurate queste connessioni? L'utente 
può metterci le mani e interromperla? In fin dei conti, ci vorrà pure 
una sim da qualche parte...
 
Preoccupiamoci adesso, allora, perchè dal 2018 tutte le auto di nuova 
immatricolazione in Italia dovranno avere una specie di scatola nera 
che potrà spengere il motore a semplice richiesta dell'agente di turno 
e mille altre cose scomode e pericolose e specialnmente hackerabili.
 
E pure questa dovra avere una sim, penso.
 
Chi ha montato la scatola nera dell'assicurazione, cosa ci può dire 
della sim che e montata lì?
 
 

 Le case serie fanno i richiami, o almeno intervengono per correggere 
...
 
O in caso contrario si beccano sonore multe dalle autorità dei Paesi civili,
così poi imparano la lezione.
 
"L'America multa Fca: oltre 100 milioni di dollari per poca chiarezza sui 
richiami"
 
http://motori.ilmessaggero.it/motori/fca_multa_105_milioni_dollari_da_nhtsa_problemi_richiami_sicurezza/notizie/1486147.shtml
 
 
WASHINGTON - Una sanzione dal valore complessivo di 105 milioni di dollari. Più 
tre anni di monitoraggio indipendente e un programma per il riacquisto di oltre 
500.000 veicoli. Fca raggiunge un accordo con le autorità americane su 23 
richiami che hanno riguardato, dal 2009, più di 11 milioni di auto.
...snip...
 
 

 
http://blog.fcanorthamerica.com/2015/07/22/unhacking-the-hacked-jeep/
 
 
http://www.huffingtonpost.com/entry/fiat-chrysler-recalls-14-million-cars-following-jeep-hacking-incident_55b2668fe4b0074ba5a45855
 
 
quattordici milioni di veicoli, mica pizza & fichi :P !
 
 
 

 quattordici milioni di veicoli, mica pizza & fichi :P !
 
C'è un punto, cioè una virgola: 1,4 milioni. Che è comunque una bella cifra :)



ops, hai ragione, comunque resta sempre un bel mucchio di veicoli