Direct naar artikelinhoud

Ook 'oud wrak' is doelwit hackers

De hackers die vorige week het stuur over wisten te nemen van een Jeep Cherokee, zullen delen van hun bevindingen de komende dagen prijsgeven tijdens een hackers-conferentie in Las Vegas. Hoe kwetsbaar zijn onze auto's?

Auto's zijn intussen rijdende mobiele telefoons, zoals oprichter Elon Musk van Tesla zegt. Hierdoor kunnen ze voor het eerst in de geschiedenis beter worden nadat ze zijn aangeschaft, gewoon door hun software te updaten, zoals we gewend zijn bij smartphones en laptops. Zo zullen eigenaren van een recentelijk gekochte Model S binnenkort merken dat hun auto na een update zelfrijdend wordt.

Bovendien: als er sprake is van een ernstige softwarefout, kan die worden hersteld zonder dure terugroepacties. Handig voor de fabrikant. En verder is het natuurlijk leuk om te kunnen kijken of de deuren van je Volvo wel op slot zitten als je in het restaurant zit en om te zien of de accu al vol is. Nog beter: je Range Rover buiten de auto besturen met een smartphone. Het kan inmiddels allemaal.

Helaas zijn er ook nadelen. Gevaarlijke nadelen bleek onlangs toen de Amerikaanse hackers Charlie Miller en Chris Valasek aantoonden dat ze vanaf elke plek ter wereld konden inloggen op een Jeep Cherokee en onder meer de motor op afstand konden uitschakelen, bij lagere snelheden de remmen konden ontmantelen en de besturing overnemen.

Fabrikant Chrysler was volgens hen al maanden op de hoogte van het lek, maar deed weinig. Pas een week voordat de hackers met hun bevindingen naar buiten kwamen, kwam het concern met een softwarepleister, zonder te benadrukken hoe groot het mogelijke gevaar van het lek was. Eigenaren moesten de patch zelf downloaden en met behulp van een usb-stick installeren om hun auto weer veilig te krijgen. Daarop besloot Chrysler tot een terugroepactie voor 1,4 miljoen auto's. Haast was geboden, omdat Miller en Valasek hadden aangekondigd details over de kraak naar buiten te brengen op de hackersbijeenkomst DefCon die volgende donderdag start.

Wie denkt dat het probleem alleen speelt bij auto's die constant online zijn, heeft het mis. In principe is elke auto sinds halverwege de jaren 90 kwetsbaar voor hacks. Sinds die tijd hebben alle auto's een zogenoemde On-board Diagnostics-poort: een stekker die direct toegang geeft tot alle computersystemen van de auto. Via die obd-poort kan onder meer de status van het motormanagement worden uitgelezen, gekeken worden of het ABS-remsysteem naar behoren werkt en of er problemen zijn met de airbags.

Al deze systemen moeten met elkaar kunnen communiceren en dat gebeurt via de zogenoemde CAN-bus, een communicatiestandaard die halverwege de jaren 80 is ontwikkeld. In die tijd was beveiliging geen issue. Data die via de CAN-bus lopen, zijn ook vandaag de dag onbeveiligd en er is geen authenticatie nodig om een 'bericht' in het systeem te kunnen zetten. Dat betekent dat de ene computer niet kan checken of een commando van een andere computer ook echt afkomstig is van die computer. In een gemiddelde middenklasser zitten tegenwoordig honderd computers die met elkaar communiceren via die CAN-bus.

Lek als een zeef

Beveiliging werd destijds niet toegepast, omdat dat mogelijk zou leiden tot vertragingen bij het versturen van commando's: zodra de bestuurder op de rem trapt, moet dat commando onmiddellijk op de plek van bestemming zijn. Encryptie zou de signaaloverdracht kunnen vertragen.

Opmerkelijk is dat de CAN-bus nog altijd wordt gebruikt. Ze is daarom een geliefd doel onder hackers. Vijf jaar geleden konden computerwetenschappers van de universiteit van Washington via deze bus al diep ingrijpen op kritische systemen van een auto. Door te knoeien met de Electronic Brake Control Module konden ze de remmen uitschakelen, of juist op één wiel voluit remmen, waardoor de auto onbestuurbaar werd. Ze konden de motor uitschakelen. Bovendien konden ze inbreken in de computers zonder ook maar enig spoor achter te laten. Het was in theorie mogelijk een auto te laten crashen zonder dat iemand de oorzaak achteraf zou kunnen vaststellen.

Dat auto's kwetsbaar zijn, is dus al lang bekend. Alleen moest fysiek worden ingebroken in de auto om zoiets te kunnen uitvoeren. Het grote verschil met de hack van de Jeep van vorige week is dat de hackers het onlinesysteem van de auto gebruikten om toegang te verkrijgen. Daarmee kon in theorie elke auto op elke willekeurige plaats worden onderschept.

Er is een tweede ontwikkeling die hacks gevaarlijker maakt. Auto's hebben de afgelopen jaren steeds meer extra's gekregen die een deel van de besturing kunnen overnemen, zoals automatische rijstrookbewakers die tegensturen als de middenlijn wordt gepasseerd. Of systemen die een auto zelfstandig laten inparkeren. Radars die afstand houden tot een voorligger. Door in te breken op deze systemen kan in theorie de besturing worden overgenomen, wat het risico nog groter maakt.

Hoewel al jaren bekend is dat auto's lek zijn, doen fabrikanten er te weinig aan hun producten en klanten te beschermen, vinden hackers. Hun belangrijkste verdedigingslinie is dat het veel kennis vergt om binnen te kunnen dringen in de computersystemen van een auto, stelde een van de twee Jeep-hackers Chris Valasek vorig jaar. "Er is in feite geen echte beveiliging", zegt hij in een presentatie die online staat. Kwalijk, vindt Valasek, want vroeg of laat komt die kennis beschikbaar en dan zijn jouw auto's mogelijk blootgesteld aan de kwade buitenwereld.

Wachtwoord

"In onze gesprekken met automakers krijgen we de indruk dat ze het graag goed willen doen", zegt Karl Koscher, een van de onderzoekers die in 2010 als een van de eersten de controle over een auto wisten over te nemen. Maar het is ingewikkeld voor ze, zegt hij, omdat automakers hun producten steeds meer assembleren uit diverse onderdelen van toeleveranciers. Ook deze toeleveranciers besteden veel van hun werk weer uit. "De meeste beveiligingskwetsbaarheden die we ontdekten, zaten op plaatsen waar computersystemen van verschillende fabrikanten gegevens aan elkaar overdragen."

Een ander probleem is de lange ontwikkeltijd van auto's, zegt Koscher. "Zelfs als fabrikanten in 2011 al onze bevindingen hadden doorgevoerd, zou het tot 2014 duren voor de eerste auto's op de markt kwamen met die beveiliging."

Martin Hunt, beveiligingsexpert bij de ethische hackafdeling van British Telecom, ziet een vergelijkbaar probleem. Automakers waren lange tijd vooral druk bezig met de fysieke veiligheid van hun auto's. Cybersecurity is pas recentelijk om de hoek komen kijken, waardoor beveiliging nog niet overal vanaf het eerste ontwerp wordt toegepast. "Als ik een paar gouden regels zou moeten geven, is de belangrijkste dat het entertainmentsysteem gescheiden moet zijn van de systemen die cruciale delen van de auto regelen", zegt hij vanuit zijn standplaats München. Zolang die twee geen gegevens met elkaar uitwisselen, is de kans kleiner op besmettingen met kwaadaardige software. "Iedereen koppelt zonder enige terughoudendheid zijn smartphone aan de usb-verbinding van de auto. Terwijl je nooit weet of je mogelijk een besmetting overbrengt." Daarom plugt Hunt zijn telefoon nooit in een huurauto en zelfs liever niet in zijn eigen auto. "Dat zou niemand moeten doen." Beveiliging is volgens hem niet alleen een kwestie van de fabrikant, maar ook van de klant.

Daarnaast, zegt Hunt, zou toegang tot cruciale systemen beschermd moeten zijn met een wachtwoord, net als bij je smartphone. "Dat voorkomt dat onbevoegden iets kunnen veranderen." OBD is een open systeem en dat is goed, omdat de garage om de hoek ook aan jouw auto moet kunnen werken, maar nu kan iedereen overal ongezien bij. "Zorg dat je delen van de elektronica in de auto alleen kunt benaderen als je het juiste wachtwoord hebt."

Helaas zijn deze gouden regels lastig uit te voeren. Want het entertainmentsysteem moet ook de snelheid van de auto weten, stelt Valasek. Bijvoorbeeld om het volume automatisch te kunnen aanpassen, of om de digitale snelheidsmeter aan te sturen.

"Het is duidelijk dat fabrikanten er nog niet zijn als het gaat om cybersecurity", zegt Koscher. "Niettemin, na onze gesprekken met fabrikanten, toezichthouders en onderzoekers ben ik hoopvol dat de situatie de komende jaren zal verbeteren."