Tras la introducción que vimos hace unos días, pasamos a la parte que más probablemente os gusta: analizar los vectores de ataque.
Para ello he cogido como ejemplo una arquitectura propuesta por BMW en sus nuevos coches lanzados al mercado. Se observan distintas opciones de ataque que se podrían encontrar tanto BMW como sus usuarios con la arquitectura propuesta. Hay que tener en cuenta que con toda la nueva tecnología y funcionalidades disponibles, el usuario está expuesto a nuevas amenazas que anteriormente no existían:
- Vector 1. Portal My BMW ConnectedDrive.
Se trata de un portal web desde el que es posible realizar la administración del vehículo. Para darse de alta es necesario proporcionar el número de bastidor de cada vehículo (número VIN). Una vez introducido el código VIN en el portal, se envía un segundo código al coche que se recibe a través de la tarjeta SIM que tiene integrada. El usuario debe abrir el coche y apuntar esta numeración para luego introducirla en el portal web. De este modo, se tiene que realizar una autenticación de dos factores que evita, por ejemplo, que podamos introducir los datos de un vehículo que no sea nuestro pero del que conozcamos los datos que nos solicitan.
No obstante, existen los mismos riesgos que para cualquier servicio web. Uno de ellos es el robo de contraseñas (por ejemplo, a través de un troyano) con el que se podría acceder a la gestión de los servicios que ofrece BMW en su portal. La gestión de un servicio online por parte de los usuarios también puede dar lugar a tipos de fraude ya conocidos en entornos como el bancario. Es posible que nazca spam especialmente creado para usuarios de BMW con el objetivo de robar las contraseñas o con el fin de llevar a cabo fraudes más elaborados.
Una posible mitigación sería ofrecer un segundo factor de autenticación para el portal web, por ejemplo, a través del teléfono móvil.
- Vector 2. Aplicaciones.
BMW proporciona una aplicación tanto para iPhone como para Android con la que se permite la gestión de las In Car Smartphone Apps; además de otra app para los Servicios Remotos: My BMW Remote. También existen aplicaciones de terceros autorizadas por BMW que se instalan en el teléfono del usuario de forma independiente. La lista puede ser consultada en la propia app BMW Connected.
Uno de los primeros riesgos para los usuarios es la existencia de aplicaciones maliciosas que se hagan pasar por las aplicaciones oficiales que se descargan desde la tienda online correspondiente (PlayStore o AppStore). Buscando en ambas tiendas se encuentran más de 400 y 800 aplicaciones de BMW respectivamente.
Para la ejecución de aplicaciones de terceros existe una selección de aplicaciones en la app contenedora BMW Connected, lo que limita en gran medida la posibilidad de que un atacante consiga ofrecer una aplicación maliciosa a través de esta lista limitada. Aunque no se han proporcionado detalles de qué sistemas de control se realizan a las aplicaciones de terceros, al ser una lista muy corta es poco probable en este momento que se incluya una aplicación maliciosa. No obstante, esto puede cambiar si en un futuro la lista de aplicaciones aumenta de forma considerable. Son muy conocidos los problemas que tienen las tiendas de aplicaciones para controlar las apps maliciosas. El sistema de BMW sólo permite la ejecución de aplicaciones especialmente firmadas por BMW, lo que disminuye mucho la posibilidad de ataque. Sin embargo, existen multitud de casos en el que un atacante ha robado certificados de desarrolladores para firmar sus propias aplicaciones maliciosas, por lo que siempre existe la posibilidad de la inserción de una aplicación maliciosa a partir de que un atacante comprometa a un desarrollador.
No se conocen los controles de BMW al respecto.
- Vector 3. Servicios Remotos.
Los servicios remotos permiten conocer el status de nuestro vehículo, pero también encender y apagar luces, hacer sonar el claxon, activar la climatización y abrir y cerrar puertas. Todo esto se gestiona desde el smartphone, en el que tenemos toda esta información disponible, a través de la app My BMW Remote.
En el caso de tenerlos activados, lo más notable es que nuestro teléfono se puede convertir en una llave. Es evidente que la elección de una mala pregunta/contraseña puede hacer que alguien que se haga con el control del teléfono pueda abrir las puertas.
La seguridad de la aplicación de servicios remotos en nuestro smartphone es la siguiente: la pregunta de control para la instalación se hace la primera vez que se descarga la aplicación en el teléfono. Una vez contestada, la propia aplicación pide al usuario que configure un código de 4 dígitos. Cada vez que el usuario abre la aplicación, se le solicita este código. En esta operación también existe un riesgo potencial ya que el conductor tiene la posibilidad de desactivar esta contraseña de 4 dígitos desde los ajustes.
- Vector 4. BMW TeleServices.
Parece uno de los vectores más peligrosos a priori. En caso de que un atacante consiguiese interceptar la comunicación (ataque Man in the Middle) podría llegar a suplantar el código que se instala en el coche. Este sería sin duda el caso más crítico, ya que podría llegar a instalar cualquier código.
También es posible actualizar el software para dispositivos externos (bluetooth). Para ello, hay que descargar la aplicación desde la página de BMW, lo único que pide es el código del bastidor para permitir el acceso a las actualizaciones. Una vez introducido el número de bastidor, hay que descargar las actualizaciones en un USB externo. Dicho USB se conecta directamente al coche, que realiza la actualización de forma automática. Evidentemente esto abre muchas puertas a ataques de ingeniería social con actualizaciones falsas, pudiendo provocar todo tipo de problemas en el vehículo.
Por otra parte, las autoridades de la industria del automóvil y los analistas alertan del creciente interés de los hackers en introducir virus en los dispositivos inalámbricos, un interés que pone en riesgo de infección a los sistemas informáticos de los automóviles. Mientras los fabricantes de vehículos ajustan los ordenadores de abordo para permitir a los consumidores transferir información con los reproductores de MP3 y teléfonos móviles, también están haciendo a sus vehículos vulnerables ante los virus móviles que se transfieren entre dispositivos a través de la tecnología Bluetooth que los conecta.
Si los teléfonos inteligentes y ordenadores de abordo tienen el mismo canal para transferir los datos, los ‘hackers’ podrían encontrar vulnerabilidades en los sistemas operativos de los ordenadores de abordo y usarlas para hacer el mal; quizá podrían acceder a la ECU… ¿y quién sabe entonces? Podría cesar el control del ordenador sobre el rendimiento del motor y las emisiones, la navegación y el sistema de entretenimiento. Eso probablemente significaría (en un caso optimista) un molesto viaje al taller de reparaciones o tener que reiniciar el sistema. Las empresas hasta ahora no han visto informes de virus en los sistemas de los coches, y los estudios han mostrado que no es fácil trasplantar virus dentro del automóvil, pero los fabricantes dicen que están tomando seriamente el riesgo.
Por ejemplo: El primer virus en teléfonos móviles, “Cabir”, se propagó por más de 20 países, desde Estados Unidos a Japón y de Finlandia a Sudáfrica, usando solamente la conexión Bluetooth, que se usa en las interfaces electrónicas de los vehículos para control y servicio.
Los fabricantes de vehículos usan la protección más sofisticada para equipos de seguridad como los airbags o el control del motor (la ECU), pero no son tan rigurosos en cuanto a los sistemas de información y entretenimiento. Lo cual podría constituir una posible vía de entrada para ciberatacantes.
Conclusión
Aunque hasta ahora no hay información de algún caso, las empresas dicen que están observando de cerca el desarrollo de los virus inalámbricos. También la conexión del automóvil con Internet abre un mundo de posibilidades casi ilimitadas para los usuarios, pero también abre la puerta a amenazas que ya existían en el mundo del PC y de los smartphones, que unidas a conocimientos técnicos de mecánica, control y calibración del motor y electrónica general del automóvil podrían resultar en un nuevo blanco para ciberataques de extrema gravedad.
Prácticamente nos podríamos quedar sin nuestro preciado auto en cuestión de minutos y tal vez para un futuro próximo deberíamos añadir la cláusula en nuestro seguro de coche “En caso de ciberataque”, además de lunas, robo, incendio, etc. ¡Esperemos que no!
