בעלי ג’יפ, פיאט וקרייזלר: פרצת אבטחה עלולה להרוג אתכם עוד היום
מומחי אבטחה העבירו לפיאט-קרייזלר לפני 9 חודשים מידע אודות פרצת אבטחה שמאפשרת להאקרים להשתלט על המכונית ולשלוט בהגה, בבלמים ובמנוע
צילומים: Wired
אם יש לך מכונית מתוצרת ג'יפ, קרייזלר, פיאט או אלפא-רומיאו שבה מותקנת מערכת מולטימדיה מסוג UConnect ? כדאי לך מאד לבדוק אם פיאט-קרייזלר פרסמה לגביה קריאת שירות לעדכון תוכנת ההפעלה של המערכת.
במידה שכן ? כדאי לך למהר אל המוסך הקרוב כדי לבצע את עדכון התוכנה לפני שהאקר חסר מצפון ישתלט לך על המכונית וירסק אותך בתאונה.
העובדה היא שבחלק מן המכוניות שבהן מותקנת מערכת UConnect קיימת פרצת אבטחה אשר מאפשרת לפצחנים ("האקרים") להשתלט מרחוק, בעזרת מחשב וטלפון נייד, על תוכנת ההפעלה, ובאמצעותה לשלוט בהגה, בבלמים ובמנוע ? וכך לגרום במזיד לתאונה.
מומחי המחשב צ'רלי מילר וכריס ואלסק (Valasek), אשר חשפו את חור האבטחה הזה כבר לפני 9 חודשים והודיעו עליו ליצרנית המכוניות, הדגימו לאחרונה לאנדי גרינברג, כתב מגזין המחשבים 'ווירד' (Wired) כיצד הם משתלטים על ג'יפ צ'רוקי סדרתי רגיל, ומביאים אותו בקלות למצבים כמעט תאונתיים.
כריס ואלאסק וצ'רלי מילר. צילום: 'ווירד'
?
זו לא הפעם הראשונה שואלאסק, מנהל מחקר אבטחת רכב בחברת IOACTIVE ומילר ? מהנדס אבטחה בחברת 'טוויטר' - שני פצחנים בזמנם החופשי, מדגימים לגרינברג כיצד הם משתלטים מרחוק על מכוניות.
השניים כבר פרצו והשתלטו על מכוניות מדגמי טויוטה פריוס ופורד אסקייפ, והדגימו כיצד הם נוהגים במקום הנהג בפריוס, בזמן שהנהג מאבד שליטה בהגה שלה.
אלא שהפריצה הפעם עושה רושם חמור עוד יותר, וההדגמה שלה מצמררת. ואלאסק ומילר לא ישבו בצ'רוקי שבו נהג גרינברג אלא ספונים בביתם, במרחק רב מן הכביש המהיר בסנט לואיס שעליו נהג גרינברג את הצ'רוקי הלבן, ואז הם החלו "להתעלל" בו בהדרגה.
בשלב ראשון הם הפעילו מרחוק את מיזוג האוויר, והעלו תמונה שלהם על מסך המגע המרכזי של המכונית. לאחר מכן הפעילו בעוצמה את מערכת השמע, באופן שלגרינברג לא הייתה עוד שליטה עליה גם כאשר הוא ניסה לסובב את כפתור עוצמת השמע.
?
ההתעללות מתחילה בקטן: איור של ואלאסק ומילר על מסך המגע בג'יפ צ'רוקי. צילום: 'ווירד'
?
משלב זה הם עברו מהתעללות משעשעת לפעולות שבהחלט עלולות לגרום לתאונות דרכים חמורות: הם הפעילו את המגבים והמתזים באופן שחסם את שדה הראיה של הנהג, ולאחר מכן פשוט כיבו את המנוע כאשר המכונית נמצאה בנסיעה על כביש מהיר ללא שוליים.
בהמשך, על מגרש חניה, הדגימו השניים כיצד הם מבטלים את פעולת הבלמים, והסבירו שהם מסוגלים להשתלט גם על מערכות נוספות ברכב, כמו נעילת הדלתות, המאותתים, ולמעשה כל מערכת אשר מקבלת מן המחשב המרכזי הוראות באמצעות תקשורת ה-CAN ברכב.
ואלאסק ומילר מסבירים שבאמצעות תוכנה שאותה פיתחו לפני כשנה הם מסוגלים לפרוץ, בשלב ראשון, למערכת ה- UConnect, ומכאן להמשיך ולהשיג שליטה בכל תקשורת ה-CAN
אלא שבעוד שהם עשו את כל פעולותיהם כדי להוכיח שהדבר אפשרי, ולעודד את היצרנית לסגור את פרצת האבטחה, ברור שישנם אחרים שעלולים לנצל לרעה את המצב ולגרום לנזקים, אולי אפילו להרוגים.
?
השלתטות מוחלטת: במצבים שונים יכולים ההאקרים להשתלט אפילו על גלגל ההגה, תיבת ההילוכים והב?מים ברכב. צילום: 'ווירד'
?
כעת מפצירים השניים בכל בעל רכב שבמכוניתו מותקנת מערכת UConnect מן הסוג שמותקן בצ'רוקי לגשת אל מוסכי הרשת כדי לבצע עדכון תוכנה ידני אשר יסגור את הפרצה.
צריך להדגיש שלא כל מערכת UConnect מחוברת באותו אופן ו/או ניתנת לשליטה מרחוק, אבל מה שמייחד אותה ממערכות מולטימדיה מחוברות אחרות הוא שהיא לא מפעילה רק את מערכת השמע והבידור ברכב אלא מחוברת גם לאמצעי שליטה במכונית, בהם ? כאמור ? ההגה, הבלמים והמנוע וגם ההילוכים, מגבי השמשה הקדמית, מד המהירות וה-GPS המובנה ברכב.
?
כך זה עלול להסתיים: בלי בלמים, בלי היגוי, בתוך שוחה. צילום: 'ווירד'
?
מערכת כזאת מותקנת במאות אלפי מכוניות שיוצרו על-ידי קבוצת פיאט-קרייזלר מאז סוף שנת 2013, בין השאר במטרה לאפשר לנהגים להתניע את המכונית מרחוק, לפתוח את נעילת הדלתות ולהפעיל את פנסי החרום המהבהבים ("האזארד") באמצעות אפליקציה סלולרית ייעודית.
פיאט קרייזלר שחררה ב-16 ביולי עדכון אבטחה שאמור לפתור את הבעיה, אלא שהעדכון פורסם בינתיים רק בארה"ב והוא מחייב את בעלי הרכב להגיע פיזית למוסך מורשה של היצרנית (או הסוכן שלה) ולעדכן את מחשב המכוניות באמצעות חיבור פיזי דרכו מותקן טלאי התיקון.
"העדכון הזה אולי לא נשמע חשוב במיוחד, אבל תאמינו לי - אתם באמת צריכים להתקין את זה" צייץ מילר בטוויטר.
ככל הידוע כרגע, פרצת האבטחה קיימת במערכת מולטימדיה שמכונות אצל פיאט-קרייזלר RA4 ו-RA3 והן נמכרות בארה"ב עם רדיו בתדרים אמריקנים, לכן לא ברור אם מערכות אלה נמכרו רק בארה"ב או גם בישראל.
מה שכן ברור הוא שמערכות UConnect מוצעות גם אצלנו, בישראל, בדגמים של ג'יפ, קרייזלר, פיאט ואלפא-רומיאו.
מחברת סמל"ת, יבואנית פיאט ואלפא-רומיאו נמסר בתגובה: "מערכת UCONNECT לא מחוברת באף דגם קיים בישראל לפונקציות בטיחותיות ברכב. הדגם היחיד שבו מצב כזה אפשרי הוא 500X, אולם לגביו לא התקבלה עד כה כל קריאה לתיקון או התייחסות כלשהי מצד היצרן".
תגובת חברת מכשירי תנועה, יבואנית קרייזלר וג'יפ, תפורסם ברגע שתתקבל.
UConnectצ'רלי מילרכריס ואלסקאנדי גרינברגג'יפ צ'רוקיRA4RA3
היכנסו לעמוד הפייסבוק החדש של nrg
נא להמתין לטעינת התגובות
אקו"ם