Hackers zijn steeds meer geïnteresseerd in je auto
Auto's lijken steeds meer op computers met wielen en het is dan ook niet verrassend dat je op hackersconferenties niet lang hoeft te zoeken om iemand te vinden die een auto hackt.
Op de Hack in the Box-beveiligingsconferentie in Amsterdam demonstreren Chinese beveiligingsonderzoekers hoe ze misbruik kunnen maken van 'slimme autosleutels'. Handig die sleutels: als je in de buurt bent van je auto gaan de deuren automatisch van het slot. Maar het signaal dat de sleutels uitzenden, is ook te misbruiken.
Normaal gesproken moet iemand binnen twee meter van z'n auto staan voor ontgrendeling, maar met een zelf ontwikkeld apparaatje wisten onderzoeker Jun Li en zijn collega's van een groot Chinees beveiligingsbedrijf dat flink te vergroten. "We hebben iets ontwikkeld dat het draadloze signaal van de sleutel kan versterken", aldus Li.
Het is niet de eerste keer dat hackers op zo'n manier een autosleutel kraken, maar wat opvalt, is dat de hackers hun apparaatje bijzonder goedkoop wisten te ontwikkelen. Er zit voor slechts 20 euro aan onderdelen in het apparaat. De hackers gaan hun werkwijze bovendien vrijgeven, zodat iedereen er zelf mee aan de slag kan.
Het voorkomen van een auto-hack is niet eenvoudig of zelfs onmogelijk. Een van de adviezen van de onderzoekers is - geen grap - om je autosleutel in een kooi van Faraday te stoppen (een constructie waarin statische elektrische velden niet kunnen doordringen).
In sommige auto's kun je meteen wegrijden, zonder sleutel.
Om op deze manier een auto te stelen, moet je wel je best doen. Een van de dieven moet (met het apparaatje) binnen twee meter van de eigenaar van de auto staan. Het signaal wordt dan versterkt en krijgt een bereik van tussen de 4 en 300 meter. Dit kan je bijvoorbeeld doen in de rij bij de supermarkt of in een bar. Vervolgens kan een tweede dief de auto openmaken.
"In sommige auto's kun je dan meteen wegrijden, zonder sleutel", zegt Li. In andere auto's kan dat niet, al zou je wel de auto leeg kunnen roven.
Het hacken van een auto is een stuk makkelijker als je er al in zit. En daar richten andere hackers zich weer op. Zoals de Amerikaan Robert Leale, die in de car hacking village van Hack in the Box bivakkeert. "Hier leren we mensen de basis van het autohacken", zegt hij met uitzicht op een los auto-dashboard dat hij op zijn laptop heeft aangesloten.
Veel boordcomputers van auto's gebruiken dezelfde technologie om de auto aan te sturen: een zogenoemde can-bus. Die technologie stamt uit 1990 en de beveiliging kan een stuk beter. Door je laptop eraan te koppelen, kun je die aansturing onderscheppen en bijvoorbeeld de auto een andere kant op laten sturen.
"We willen mensen leren hoe ze hun eigen auto kunnen hacken", zegt Leale. "Zodat je hem allemaal dingen kunt laten doen: de deur ontgrendelen, de ramen open laten gaan."
Maar je hoeft niet per se in de auto te zitten. Eerder toonden beveiligingsonderzoekers hoe ze een auto op afstand laten remmen of de verkeerde kant op laten sturen. Dat leidde ertoe dat de Amerikaanse autofabrikant Chrysler honderdduizenden voertuigen terug moest roepen.
Beveiligingsonderzoeker Cédric Lévy-Bencheton van het Franse securitybedrijf IOActive vreest dat dat vaker gaat voorkomen. "Auto's worden steeds vaker op internet aangesloten", zegt Lévy-Bencheton. Er wordt nagedacht over manieren waarbij auto's met elkaar kunnen communiceren en over manieren waarbij auto's met bijvoorbeeld verkeerslichten kunnen communiceren. Maar als een auto is aangesloten op internet, levert dat veel risico op.
Ethische hackers
Die zorg was reden voor Lévy-Bencheton om zich aan te sluiten bij I Am The Cavalry, een groep ethische hackers die onder meer autofabrikanten wil helpen bij het beveiligen van hun producten.
Een belangrijk advies van de groep is dat je de software in je auto moet kunnen updaten, om zo beveiligingsproblemen te verhelpen. Tesla is een goed voorbeeld daarvan: modellen van die fabrikant werden recent gehackt, maar in tegenstelling tot Chrysler hoefde Tesla geen auto's terug te roepen. Eigenaren van een Tesla konden hun auto gewoon via internet updaten.
Ook andere fabrikanten worden zich langzaam maar zeker bewust van de risico's, zegt Lévy-Bencheton. "Het is allemaal nog niet veilig. Maar autofabrikanten beginnen het te begrijpen. Ze willen niet dat er iemand overlijdt door een hack."