Diagnose-Dongle: Forscher hacken Corvette per SMS
Die unter anderem von US-Versicherern an Auto-Besitzer ausgegebenen Diagnose-Dongles ermöglichen Hackern per Textnachricht Zugriff auf die Fahrzeugelektronik.
(Bild: Ian Foster)
Ein Forscherteam der University of California, San Diego hat sich mit den von vielen Versicherern und Autovermietern in den USA genutzten Dongles beschäftigt, die an den Diagnose-Port des Fahrzeugs (OBD-II) angeschlossen werden. Die schwarzen Boxen sollen eigentlich Daten zum Treibstoffverbrauch und zur Anzahl der gefahrenen Kilometer sammeln. Durch Schwachstellen können die Dongles jedoch auch zum Sicherheitsrisiko werden, wie die Wissenschaftler in einem Paper darlegen (PDF).
SMS aktiviert Scheibenwischer
Den Forschern gelang es, das Gerät so weit zu manipulieren, dass sich über eine SMS an den Dongle Kommandos an die Fahrzeugelektronik weiterleiten ließen. Am Beispiel einer Corvette zeigten die Wissenschaftler, wie sie durch eine kurze Textbotschaft die Scheibenwischer aktivieren oder die Bremsen bei niedrigem Tempo blockieren konnten.
Die betreffenden Dongles stammen vom Hersteller Mobile Devices und werden vom US-Versicherer Metromile eingesetzt, der damit die Laufleistung der Kunden-Fahrzeuge ĂĽberwacht. Auch Teilnehmer des Online-Vermittlungsdiensts fĂĽr Fahrdienstleistungen Uber werden von Metromile mit den Dongles ausgestattet.
Auslieferung im Entwickler-Modus
Grundsätzlich lassen sich nach Ansicht der Forscher nahezu alle Teilbereiche des Fahrzeugs über die Dongles steuern. Ein Zugriff auf die Lenkung oder den Schließmechanismus sei bei einer Vielzahl an Fahrzeugmodellen denkbar. Hauptursache für die Verwundbarkeit sei, dass sie im „Entwickler-Modus“ ausgeliefert werden. Dieser ermöglicht die Weiterleitung von SMS-Kommandos mit geringen Sicherheitsanforderungen an die Fahrzeugelektronik.
Doch auch Dongles anderer Hersteller könnten von Hackern zur Fernsteuerung genutzt werden. Die Zahl der Nutzer solcher Systeme steigt weiter an. Die US-Regierung entschied beispielsweise erst kürzlich, dass alle Fahrzeugflotten in öffentlicher Hand mit entsprechenden Systemen zur Treibstofferfassung versehen werden müssen. Neben Mobile Devices seien auch andere Hersteller von der Sicherheitslücke betroffen. Ein System des Versicherers Progressive verfügt über ähnliche Schwachstellen. Die für den privaten Einsatz gedachten Systeme von Zubie könnten ebenfalls per SMS attackiert werden.
Autohacks in Serie
In den vergangenen Wochen hatte es eine Serie aufsehenerregender Auto-Hacks gegeben. So musste FiatChrysler in den USA die Software von 1,4 Millionen Jeep-Fahrzeugen aktualisieren, weil Hacker über eine Sicherheitslücke im Unterhaltungssystem des Wagens bis zur Steuerung des Fahrzeugs vordringen konnten. Andere Forscher demonstrierten, wie sie über ein OnStar-Digitalradio von GM ein Fahrzeug aufschließen oder starten konnten. Weiteren Experten gelang es, einen Tesla-Elektrowagen während der Fahrt auszuschalten. (axk)
