Onderzoekers van de Britse universiteit van Birmingham en het Duitse bedrijf Kasper & Oswald hebben twee lekken ontdekt in sleutelloze toegangssystemen van auto's, waaronder vooral Volkswagens. Door één lek kan toegang verkregen worden tot ongeveer 100 miljoen auto's.

Het eerste lek zou ongeveer elke Volkswagen treffen die sinds 1995 is verkocht, evenals modellen van Audi en Škoda. Het tweede lek is aanwezig in andere merken, waaronder Fiat, Ford, Nissan, Opel en Peugeot. De eerste kwetsbaarheid is de meest verontrustende, schrijft Wired.

Deze heeft te maken met het feit dat Volkswagen een beperkt aantal cryptografische sleutels gebruikt, die samen met een andere sleutel toegang geven tot een voertuig. Zo zijn er slechts vier verschillende sleutels, die uit verschillende 'interne componenten' van de auto gehaald kunnen worden, waarmee toegang tot 100 miljoen voertuigen nodig is.

Het enige andere element dat daarvoor nodig is, is de cryptografische sleutel die door de bestuurder van de auto draadloos naar het voertuig wordt overgebracht op het moment dat hij de auto van het slot haalt. Deze is te achterhalen door een aanvaller die zich binnen 90m van de auto bevindt en met een Arduino-apparaat van ongeveer 35 euro het signaal onderschept. Volgens de onderzoekers is het maar één keer nodig om die gegevens te onderscheppen, om samen met de sleutel uit de interne componenten een nieuwe sleutel te maken die permanent toegang biedt tot het voertuig. De aanval wordt wel bemoeilijkt door het feit dat de vier gedeelde sleutels verschillen per jaar en model van de auto. Ook zijn ze opgeslagen in verschillende interne componenten.

De tweede kwetsbaarheid is aanwezig in het HiTag2-systeem, dat nog steeds in de NXP-chips van miljoenen auto's wordt gebruikt. Dit systeem is ook al een keer in 2012 gekraakt, door onderzoekers van de Radboud Universiteit. Door acht codes te onderscheppen die door de sleutel van de bestuurder naar de auto worden verstuurd, konden de onderzoekers de versleuteling binnen zestig seconden kraken.

De wetenschappers verwachten niet dat er snel oplossingen voor de kwetsbaarheden zullen komen, omdat auto's een lang ontwikkelingsproces hebben. Omdat de lekken alleen toegang geven tot de auto en niet het starten mogelijk maken, raden de onderzoekers aan om geen waardevolle objecten in de auto achter te laten. Het onderzoek werd gepresenteerd op de Usenix-conferentie, die in Austin plaatsvindt.

        De Arduino waarmee sleutelsignalen onderschept kunnen worden. Via Wired.

bron: Tweakers.net