Vi sarà capitato di trovarvi fermi in autostrada, incolonnati in mezzo a tanti altri veicoli nelle vostre stesse condizioni. Probabilmente avete immaginato che fosse successo qualcosa di grave, vista la situazione, ma poi a un certo punto la coda è ripartita e nei chilometri successivi non avete visto né incidenti né cantieri o altro che potesse giustificare la fermata collettiva di così tanti veicoli su un’arteria pensata appositamente per lo scorrimento veloce.
Questo fenomeno ha un nome tecnico: si chiama ingorgo fantasma (in inglese, phantom traffic jam o semplicemente phantom jam).
Normalmente viene spiegato in questo modo: un automobilista, chiamiamolo Andrea, tocca i freni leggermente, per qualunque motivo anche banale, e quello che lo segue, chiamiamola Berenice, vede le luci di frenata di Andrea ma reagisce inevitabilmente con qualche istante di ritardo perché i suoi riflessi non sono istantanei. Questo ritardo comporta che i due veicoli comincino ad avvicinarsi pericolosamente, per cui Berenice frena un po’ più dello stretto necessario, per sicurezza.
Carlo, che sta dietro Berenice, vede la frenata un pochino brusca e frena a sua volta, ma anche lui reagisce con un fisiologico ritardo e quindi frena anche lui più dello stretto necessario. Davide, che sta dietro Carlo, fa lo stesso, e così via. Se questa situazione si ripete molte volte perché c’è traffico intenso, ogni conducente frena un po’ più di quanto serva realmente, amplificando man mano il fenomeno, fino a che Vittorio, che sta una ventina di auto più indietro, è costretto a fermarsi completamente.
Quest’onda di reazioni leggermente eccessive si propaga all’indietro lungo la serie di auto che sta percorrendo l’autostrada. La sua velocità di propagazione è di circa 15 km/h. La si vede molto concretamente in questo video della divulgatrice scientifica Hannah Fry.
Sappiamo inoltre che questo fenomeno è reale e misurabile grazie a un celebre esperimento effettuato nel 2008 da ricercatori giapponesi dell’Università di Nagoya, in Giappone. A 22 conducenti è stato chiesto di percorrere un circuito circolare di 230 metri a una velocità costante di 30 km/h. Nonostante l’assenza di incroci, semafori o incidenti, nel giro di pochi minuti si è verificato spontaneamente un ingorgo fantasma.
La spiegazione legata ai tempi di reazione degli esseri umani è a prima vista plausibile e risolutiva, ma non chiarisce il motivo per cui questi ingorghi fantasma non si manifestano sempre, visto che gli automobilisti toccano i freni o cambiano velocità in continuazione.
C’è infatti un altro fattore da considerare: il volume di traffico. Quando questo volume aumenta, la distanza tra i veicoli diminuisce inevitabilmente. Se scende sotto una certa soglia, i tempi di reazione generano l’ingorgo fantasma. Nell’esperimento giapponese, la soglia di densità critica è risultata pari a 22 veicoli: gli ingorghi si verificavano con 22 o più auto, ma si risolvevano spontaneamente con un numero inferiore a 22. Lo studio è pubblicato nel numero di questo mese del New Journal of Physics.
Secondo le ricerche fatte fin qui su questo fenomeno, gli ingorghi fantasma sono prevenibili se i conducenti evitano di cambiare corsia bruscamente o frequentemente e se viaggiano tutti grosso modo alla stessa velocità, senza andare né molto più veloce né molto più piano della velocità limite consentita dalla segnaletica.
Sarà interessante vedere se e come cambierà questo fenomeno quando quasi tutti i veicoli saranno dotati di cruise control adattivo, che ha tempi di reazione molto più rapidi di quelli umani e normalmente dosa meglio la frenata, mantenendo la distanza dal veicolo che precede.
Oggi pomeriggio in auto ho incrociato un biciclo: una bicicletta vecchio stile con una ruota anteriore enorme e un ruotino posteriore. La mia dashcam ha registrato l’incontro, avvenuto dalle parti di Melide, in Svizzera.
Non è un incontro che capita facilmente, e quindi da informatico mi sono chiesto subito una cosa: un sistema di guida autonoma basato sull’intelligenza artificiale come si comporterebbe di fronte a un veicolo del genere?
Nel corpus del sistema di guida, ossia nell’immenso insieme di immagini usato per addestrarlo, non ci sarà un gran numero di immagini di bicicli in ogni situazione di luce e visti da varie direzioni. Forse non ce ne sarà neanche una. Un biciclo è insomma un tipico esempio di edge case: un elemento significativo da usare nei processi decisionali che è raro ma non impossibile incontrare.
In un caso come questo, come si comporterà l’IA? Lo considererà uno pedone particolarmente alto? Lo interpreterà come un normale ciclista, nonostante la posizione del conducente non sia compatibile con una bicicletta normale? Non saprà riconoscerlo ma sarà in grado comunque di delimitarlo con un volume di rispetto o riquadro di delimitazione (bounding box)? Oppure lo ignorerà completamente, con il rischio di falciarlo?
Se qualcuno ha esperienza in questo campo, mi piacerebbe saperne di più.
Avrete notato che non ho caricato il video di questo articolo su YouTube o una delle solite piattaforme commerciali. L’ho messo nel Fediverso: specificamente su Peertube.uno. Un piccolo passo verso l’abbandono delle piattaforme dei fantastiliardari impazziti e la ripresa di un po’ di sovranità digitale.
Cinque anni fa, in piena pandemia, la Dama del Maniero e io abbiamo deciso di abbandonare definitivamente le auto a carburante e abbiamo acquistato una Tesla Model S di seconda mano, spendendo circa 35.000 euro. Cinque anni fa Elon Musk sembrava davvero un genio innovatore, eccentrico ma animato da intenti positivi. Oggi risulta essere un pazzo pericoloso con deliri di onnipotenza.
L’auto è in leasing, che scade tra pochi mesi: a quel punto decideremo cosa farne. Di certo continueremo a usare auto elettriche perché costano pochissimo (la sto caricando gratis in questo momento con l‘eccedenza di produzione dei pannelli solari sul tetto del Maniero, e la manutenzione in questi cinque anni è stata trascurabile), hanno di fatto un impatto ambientale molto minore di quello delle auto tradizionali e ci danno un grandissimo piacere di viaggio e di guida. Ma non credo che prenderemo un’altra Tesla: non ci piacciono le attuali scelte tecniche e soprattutto il marchio oggi è legato troppo strettamente a una persona totalmente tossica e socialmente disastrosa.
Abbiamo deciso di mettere in chiaro la nostra opinione mettendo due adesivi sulla nostra Tesla.
Sì, lo so che si legge la targa. Non è un segreto e ho scelto di pubblicarla perché il numero è un omaggio a Star Trek.
Questo è il testo della puntata del 4 ottobre 2024 del podcast Il Disinformatico della Radiotelevisione Svizzera, scritto, montato e condotto dal sottoscritto. Il testo include anche i link alle fonti di questa puntata.
[CLIP: audio dello sblocco di una Kia parcheggiata]
I rumori che state ascoltando in sottofondo sono quelli di un hacker che si avvicina a un’auto parcheggiata, che non è la sua, ne immette il numero di targa in una speciale app sul suo smartphone, e ne sblocca le portiere.
L’auto è un modello recentissimo, della Kia, e l’hacker può ripetere questa dimostrazione con qualunque esemplare recente di questa marca semplicemente leggendo il numero di targa del veicolo scelto come bersaglio. Non gli serve altro.
Questa è la storia di come si fa a “hackerare” un’automobile oggi, grazie alla tendenza sempre più diffusa di interconnettere i veicoli e consentirne il monitoraggio e il comando remoto via Internet. In questo caso l’“hackeraggio” è opera di un gruppo di informatici che agisce a fin di bene, e questa specifica vulnerabilità è stata risolta, ma conoscere la tecnica adoperata per ottenere questo risultato imbarazzante e preoccupante è utile sia per chi deve proteggere la propria auto da questa nuova frontiera dei furti sia per chi deve pensare alla sicurezza informatica in generale, perché mostra come scovare vulnerabilità inaspettate in qualunque contesto e rivela in modo intrigante come agisce un intruso informatico.
Benvenuti alla puntata del 4 ottobre 2024 del Disinformatico, il podcast della Radiotelevisione Svizzera dedicato alle notizie e alle storie strane dell’informatica. Io sono Paolo Attivissimo.
[SIGLA di apertura]
Questa storia inizia due anni fa, ad autunno del 2022, quando un gruppo di hacker statunitensi, durante un viaggio per partecipare a una conferenza di sicurezza informatica a Washington, si imbatte per caso in una falla di sicurezza degli onnipresenti monopattini elettrici a noleggio e con relativa facilità riesce a farne suonare in massa i clacson e lampeggiare i fanali semplicemente agendo in modo particolare sulla normale app usata per gestire questi veicoli.
[CLIP: audio dei monopattini]
Incuriositi dal loro successo inaspettatamente facile, i membri del gruppo provano a vedere se la stessa tecnica funziona anche sulle automobili, ed è un bagno di sangue: Kia, Honda, Infiniti, Nissan, Acura, Mercedes-Benz, Hyundai, Genesis, BMW, Rolls-Royce, Ferrari, Ford, Porsche, Toyota, Jaguar, Land Rover risultano tutte attaccabili nello stesso modo. Un aggressore può farne suonare ripetutamente il clacson, avviarle e spegnerle, aprirne e chiuderne le serrature, e tracciarne gli spostamenti, tutto da remoto, senza dover essere fisicamente vicino al veicolo.
Questo gruppo di informatici* è guidato da Sam Curry, che di professione fa appunto l’hacker e il bug bounty hunter, ossia va a caccia di vulnerabilità in ogni sorta di dispositivo, software o prodotto informatico per il quale il costruttore o lo sviluppatore offre una ricompensa monetaria a chi la scopre e la comunica in modo eticamente corretto.
*Il gruppo è composto da Sam Curry, Neiko Rivera, Brett Buerhaus, Maik Robert, Ian Carroll, Justin Rhinehart e Shubham Shah.
In un suo articolo di gennaio 2023 Curry spiega pubblicamente la tecnica usata per prendere il controllo delle auto e per ottenere dati particolarmente preziosi e sensibili come l’elenco di tutti i clienti della Ferrari.
In sostanza, invece di tentare di attaccare frontalmente il singolo veicolo, gli informatici prendono di mira il sistema centrale di gestione remota, il portale Web attraverso il quale i dipendenti e i concessionari delle singole case automobilistiche amministrano i veicoli. Nel caso di BMW e Rolls Royce, per esempio, si accorgono che è sufficiente una singola riga di comandi inviata via Internet per ottenere un codice di recupero che consente di prendere il controllo di un account amministrativo e da lì acquisire i dati personali dei clienti e comandare le loro automobili.
A questo punto gli hacker contattano le case costruttrici e le informano dei loro problemi, che vengono risolti, chiudendo queste falle. In totale, i veicoli a rischio sono circa 15 milioni, includono anche i mezzi di soccorso, e le scoperte del gruppo di informatici vengono anche segnalate al Congresso degli Stati Uniti.
Un imbarazzo collettivo del genere dovrebbe essere un campanello d’allarme per queste industrie, che dovrebbero in teoria avviare un ampio riesame interno delle proprie procedure per individuare altre eventuali falle prima che vengano scoperte, non da informatici di buon cuore come in questo caso, ma da criminali, ai quali potrebbe interessare moltissimo ricattarle, minacciando per esempio di rivelare i nomi e i dati personali dei loro clienti di alto profilo oppure paralizzando la loro rete di gestione delle auto. Ma la realtà racconta una storia molto differente.
Passano due anni, e Sam Curry e il suo gruppo* rivisitano i servizi online delle case automobilistiche per vedere come stanno le cose dopo la raffica di falle scoperte e risolte.
*Specificamente Curry insieme a Neiko Rivera, Justin Rhinehart e Ian Carroll.
L’11 giugno 2024 scoprono delle nuove vulnerabilità nei veicoli Kia che permettono di prendere il controllo delle funzioni di gestione remota semplicemente partendo dal numero di targa. L’attacco richiede mezzo minuto, funziona su tutti i modelli Kia dotati di connettività, e soprattutto funziona anche se il proprietario del veicolo non ha un abbonamento ai servizi di controllo remoto, che Kia chiama Kia Connect.
Gli hacker trovano inoltre che è possibile procurarsi informazioni personali del proprietario dell’auto, compreso il suo nome, il suo numero di telefono, il suo indirizzo di mail e il suo indirizzo di casa, diventando così, come spiega Curry, “un secondo utente invisibile del veicolo della vittima senza che quella vittima ne sappia nulla”.
Così Sam Curry e i suoi colleghi costruiscono un’app dimostrativa, grazie alla quale possono semplicemente immettere il numero di targa di un veicolo Kia e nient’altro e trovarsi, nel giro di una trentina di secondi, in grado di comandare da remoto quel veicolo.
Prima che i proprietari di Kia all’ascolto si facciano prendere dal panico, sottolineo e ripeto che il problema è già stato risolto: anche questa vulnerabilità è stata corretta, l’app di attacco non è mai stata rilasciata al pubblico, e Kia ha verificato che la falla che sto per descrivere non è mai stata usata in modo ostile.
La tecnica usata a fin di bene dagli hacker è diversa da quella adoperata in passato: mentre prima avevano agito al livello del singolo veicolo, ora hanno provato a un livello più alto. Scrive Curry: “e se ci fosse un modo per farsi registrare come concessionario, generare un codice di accesso, e poi usarlo?”. E infatti c’è.
Curry e i suoi colleghi mandano una semplice riga di comandi accuratamente confezionati a kiaconnect.kdealer.com, dando il proprio nome, cognome, indirizzo di mail e specificando una password, e vengono accettati senza battere ciglio. Per il sistema informatico di Kia, loro sono a questo punto un concessionario come tanti altri.
Questo permette a loro di immettere un VIN, ossia il numero identificativo unico di un veicolo, e ottenere in risposta i dati personali del proprietario di quel veicolo, compreso il suo indirizzo di mail, che è la chiave per l’eventuale attivazione dei servizi di comando remoto.
Avendo questo indirizzo e potendosi presentare al sistema informatico di Kia come concessionario, possono dire al sistema di aggiungere il loro indirizzo di mail a quelli abilitati a mandare comandi remoti all’auto, e a questo punto diventano pienamente padroni di telecomandare il veicolo del malcapitato utente.
Resta solo da scoprire il VIN del veicolo scelto come bersaglio, ma questo è relativamente facile. Molti veicoli riportano questo identificativo in maniera ben visibile, per esempio su una targhetta dietro il parabrezza, ma anche se il VIN non è in bella mostra e non c’è modo di avvicinarsi al veicolo per leggerlo è possibile iscriversi a uno dei tanti servizi che forniscono il VIN di un veicolo partendo dal suo numero di targa.
Visto che hanno trovato questo ultimo tassello del mosaico, Sam Curry e colleghi sono pronti per dimostrare il loro attacco. Avvisano immediatamente Kia, che risponde tre giorni dopo, e creano un’app che esegue automaticamente l’intero processo di intrusione: parte appunto dal numero di targa dell’auto presa di mira, che per ovvie ragioni è ben visibile, e poi interroga un servizio commerciale per ottenere il VIN corrispondente a quella targa.
Poi l’app si annuncia al sito di Kia come se fosse un concessionario, e si procura così l’indirizzo di mail associato al veicolo, aggiunge l’indirizzo di mail degli hacker a quello dell’utente legittimo, e infine promuove quell’indirizzo a utente principale.
A quel punto gli hacker, per restare nei limiti della dimostrazione non pericolosa e legale, noleggiano una Kia e registrano un video nel quale si vede che l’auto inizialmente chiusa a chiave diventa apribile, telecomandabile e localizzabile semplicemente immettendo nella loro app il suo numero di targa. Il 20 giugno mandano a Kia lo screenshot della loro app dimostrativa.
Passano varie settimane, e finalmente il 14 agosto Kia risponde dicendo che la vulnerabilità è stata corretta e che sta verificando che la correzione funzioni. Gli hacker, da parte loro, verificano che effettivamente la falla è stata turata e il 26 settembre scorso, pochi giorni fa, insomma, annunciano la loro scoperta pubblicandone i dettagli tecnici presso Samcurry.net.
Tutto è bene quel che finisce bene, si potrebbe pensare. La casa costruttrice ha preso sul serio la segnalazione di allarme degli hacker benevoli, cosa che non sempre succede, ha agito e ha risolto il problema. Ma tutto questo è stato possibile perché anche stavolta la falla, piuttosto grossolana, è stata scoperta da informatici ben intenzionati che hanno condiviso con l’azienda quello che avevano trovato. La prossima volta potrebbe non andare così bene e una nuova falla potrebbe finire nelle mani del crimine informatico organizzato.
Questa scoperta di una nuova grave vulnerabilità nella sicurezza delle automobili connesse, così di moda oggi, mette in evidenza i rischi e i vantaggi della crescente digitalizzazione nel settore automobilistico, che non sembra essere accompagnata da una corrispondente crescita dell’attenzione alla sicurezza informatica da parte dei costruttori. E noi consumatori, in questo caso, non possiamo fare praticamente nulla per rimediare.
Certo, questi veicoli connessi offrono grandi vantaggi in termini di comodità, con funzioni avanzate come il monitoraggio remoto, gli aggiornamenti del software senza recarsi in officina e i servizi di navigazione migliorati. Ma il loro collegamento a Internet, se non è protetto bene, li rende vulnerabili a possibili attacchi informatici, diventa un pericolo per la sicurezza del conducente e dei passeggeri, per esempio attraverso accessi non autorizzati ai sistemi critici del veicolo come i freni o l’acceleratore, e mette a rischio la privacy dei dati personali. Se è così facile accreditarsi come concessionari in un sistema informatico di un costruttore di auto, come abbiamo visto grazie a Sam Curry e ai suoi colleghi, vuol dire che la lezione di sicurezza non è stata ancora imparata a sufficienza.
Il caso di Kia, insomma, è un esempio da manuale di come agisce un aggressore informatico, e può essere esteso a qualunque attività che dipenda da Internet e dai computer. L’aspirante intruso è fantasioso e non attacca frontalmente ma cerca qualunque varco secondario lasciato aperto e lo usa come cuneo per penetrare gradualmente nei sistemi, andando sempre più in profondità. È quasi sempre molto più motivato e ossessivo di un difensore, che ha il problema di essere spesso poco apprezzato dal datore di lavoro, perché il suo lavoro è invisibile per definizione: quando opera bene non succede nulla e non ci si accorge di nulla.
Provate a guardare la vostra attività e chiedetevi se avete per caso blindato tanto bene la vostra porta principale ma avete dimenticato che per esempio l’ingresso dedicato ai fornitori è protetto “per comodità” da un PIN di accesso, che tutti quei fornitori puntualmente si annotano su un foglietto di carta appiccicato in bella vista sul cruscotto del loro furgone. Far esaminare le proprie difese dagli occhi di una persona esperta esterna può essere molto illuminante e può salvare da figuracce e disastri.
Le automobili moderne sono sempre più spesso dotate di servizi online, ma la loro sicurezza a volte è davvero patetica. Ho già segnalato il caso della Nissan Leaf; ora emerge che la Mitsubishi Outlander PHEV si può rubare usando la sua connessione di controllo remoto. Come se non bastasse, è possibile localizzare tutti gli esemplari di quest’auto.
La scoperta è stata fatta e documentata dagli esperti della società di sicurezza PenTestPartners. Normalmente l’app di gestione delle auto informatizzate usa la connessione cellulare. La Outlander, invece, usa una connessione Wi-Fi, che costa meno (non ci sono spese di trasmissione dati) ma ha una portata limitata. In pratica l’auto è una postazione Wi-Fi mobile: l’app di gestione funziona solo nel raggio di questa connessione.
Primo problema: la password che protegge la connessione è troppo semplice e corta, per cui gli esperti l’hanno trovata in meno di quattro giorni di tentativi. Quattro giorni possono sembrare tanti, ma non sono un ostacolo per un ladro di professione, specialmente se l’auto è parcheggiata a lungo nello stesso posto come capita di solito, e con computer più potenti il tempo necessario per scoprire la password si può ridurre.
Secondo problema: una volta scoperta la password, decifrare i comandi usati è piuttosto facile. Gli esperti di PenTestPartners sono riusciti ad accendere e spegnere le luci, l’aria condizionata e il riscaldamento, ma soprattutto sono riusciti a disabilitare l’antifurto. Sì, questa automobile ha un antifurto disabilitabile mandando un comando via Wi-Fi.
Terzo problema: il nome della postazione Wi-Fi di tutte le Outlander segue lo schema [REMOTEnnaaaa], dove nn è in cifre e aaaa è in lettere minuscole, per cui si possono usare servizi come Wigle.net per localizzare tutte le auto di questo tipo. Il ladro, insomma, può scegliersi con comodo da casa dove andare a rubare l’auto.
Il quarto problema è forse il peggiore: la società di sicurezza dice di aver contattato privatamente Mitsubishi per avvisare della grave vulnerabilità, ma di essere stata completamente ignorata. A quel punto si è rivolta alla BBC, rendendo pubblica la falla (senza darne tutti i dettagli) e ottenendo finalmente l’attenzione della Mitsubishi.
In attesa che la casa produttrice dell’auto sistemi la vulnerabilità, gli utenti possono disaccoppiare tutti i dispositivi mobili che si sono connessi all’auto. Questo mette in standby il modulo Wi-Fi di bordo, che si riattiva soltanto premendo dieci volte di seguito il telecomando della chiave d’avviamento.
Se siete proprietari di una Jeep della Fiat Chrysler (FCA) e leggete le notizie
su Internet probabilmente siete un po’ angosciati. L’esperto di sicurezza
informatica Charlie Miller ha infatto realizzato una dimostrazione spettacolare
della vulnerabilità di questo modello d’automobile agli attacchi informatici a
distanza.
Come racconta Wired, anche con un video eloquente, Miller è infatti riuscito dapprima a prendere
il controllo dell’aria condizionata della Jeep Cherokee guidata dal giornalista
che si era offerto come cavia, poi ha cambiato la stazione radio e ha messo il
volume al massimo. I comandi a bordo per abbassare il volume non funzionavano
più. Poi si sono accesi i tergicristalli e lo schizzo del lavavetri ha oscurato
la vista al conducente.
Non contento, Miller ha fatto comparire sullo schermo digitale dell’automobile
la propria immagine insieme a quella del collega Chris Valasek. Fatto questo, ha
disabilitato l’acceleratore e poi i freni, per cui i pedali non avevano più
effetto. Uno scenario da incubo per qualunque automobilista. E tutto questo è
stato possibile senza che l’informatico toccasse l’auto o vi si avvicinasse:
l’intero attacco è avvenuto via Internet. E a questo punto l’incubo ce l’hanno
le case automobilistiche, che per anni hanno ignorato gli avvertimenti degli
esperti e hanno trasformato le auto in computer su ruote senza pensare alle
implicazioni di sicurezza. L’idea che ci sia un sistema di controllo remoto di
sistemi vitali come i freni o l’acceleratore è pura pazzia.
Tutto questo è possibile perché è stata fatta un’altra scelta tecnica di rara
incoscienza: il ricco sistema di intrattenimento di bordo, battezzato Uconnect, è collegato al sistema di guida dell’auto. Consente di gestire la radio,
le telefonate cellulari e persino un accesso Wi-Fi. Miller ha approfittato di un
elemento della connessione cellulare che per ora, responsabilmente, non ha
identificato pubblicamente ma che è facilmente intuibile: per attaccare un’auto
dotata di questo sistema gli basta conoscere l’indirizzo IP della vettura. I
dettagli verranno resi pubblici prossimamente in una conferenza a Las Vegas e
sono già stati forniti mesi fa alla casa automobilistica, che ha predisposto un aggiornamento di sicurezza.
Ebbene sì: adesso bisogna scaricare e installare gli aggiornamenti anche nelle
auto.
Per evitare inquietudini inutili, va precisato che sono affette da questa
vulnerabilità soltanto le auto dotate del sistema Uconnect vendute negli Stati
Uniti, quindi quelle acquistate in Europa non dovrebbero avere problemi. Ma
resta l’interrogativo di fondo: quante altre case automobilistiche hanno
commesso lo stesso incredibile errore di progettazione? Se Charlie Miller non
avesse scoperto il difetto, la casa automobilistica lo avrebbe trovato? E se non
fosse stata organizzata una dimostrazione discutibile ma spettacolare, FCA
sarebbe intervenuta prontamente?
La sicurezza informatica delle nostre automobili è stata presa incredibilmente
sottogamba da parte di tutto il settore automobilistico. Ora, finalmente, questa
dimostrazione renderà un po’ più consapevoli del problema.
Aggiornamento (2015/07/24 20:00): FCA ha pubblicato un comunicato
con alcuni dettagli di marche e modelli coinvolti e con istruzioni su come
rimediare al problema. Sono coinvolti circa 1,4 milioni di veicoli, tutti
venduti negli Stati Uniti e dotati di radio con touchscreen da 8,4 pollici: Ram
1500 Pickup 2013-2014, Ram 3500 Cab Chassis 2013-2014, Ram 2500 Pickup
2013-2014, Ram 4500/5500 Cab Chassis 2013-2014, Ram 3500 Pickup 2013-2014, Grand
Cherokee 2014, Durango 2014, Viper 2013-2014, Cherokee 2014 e alcune Chrysler
200 del 2015.
Le chiavi di cifratura e di protezione del software della Hyundai Ioniq SEL
sono pubblicamente disponibili con una semplice ricerca in Google. Lo ha
scoperto Daniel Feldman, un ingegnere informatico di Minneapolis, negli Stati
Uniti, che con questa chiave è riuscito a hackerare il sistema di
informazione e intrattenimento o infotainment della propria vettura.
Feldman racconta nel proprio blog
che la sua auto, un’ibrida del 2021, è dotata di un sistema di infotainment, appunto, che funziona adeguatamente, ma lui voleva vedere
se era possibile personalizzarlo, e così ha scoperto che esistono già vari modi non ufficiali, ovviamente ad alto rischio, per entrare nella modalità manutenzione e
installare applicazioni. Il sistema, infatti, è basato su Android e quindi
accetta quasi qualunque applicazione realizzata per questo sistema operativo.
A quanto pare, la password di accesso a questa modalità manutenzione è
definita usando una tecnica piuttosto originale: è semplicemente composta
dalle quattro cifre dell’ora e del minuto indicati dall’orologio di bordo.
Ma Feldman voleva fare di più: voleva scoprire se era possibile creare degli
aggiornamenti personalizzati del firmware, ossia del software di base
del sistema di infotainment. Gli aggiornamenti ufficiali, diffusi da
Hyundai Mobis, sono distribuiti all’interno di un file ZIP protetto da una
password e sono cifrati e anche firmati digitalmente. Sembrerebbe una tripla
protezione più che ragionevole, ma purtroppo qualcuno in Hyundai ha commesso
una serie di errori davvero imbarazzante.
Per prima cosa, Feldman è riuscito a scavalcare la password del file ZIP e a
estrarne i contenuti; i dettagli della tecnica che ha usato sono nel suo blog.
Per la cifratura degli aggiornamenti, ha trovato la chiave di decrittazione
direttamente nel file ZIP. Due ostacoli su tre erano quindi rimossi.
Ma c’era ancora la firma digitale, ossia la protezione che consente di
installare soltanto software che sia stato firmato e garantito usando una
chiave segreta in due parti, una pubblica e una privata, nota soltanto ai
tecnici di Hyundai Mobis. Senza quella chiave, Feldman era a un punto morto. È
qui che ha avuto un’ispirazione molto felice.
Per verificare che nessun altro avesse già ottenuto i suoi stessi risultati,
ha provato a cercare in Google la chiave di cifratura che aveva scoperto. E
Google gli ha fatto scoprire che la chiave usata da Hyundai era quella usata come esempio nei manuali pubblici di crittografia (come il documento
NIST SP800-38A). Era insomma come scoprire che i tecnici di Hyundai Mobis avevano
“protetto” (si fa per dire) il proprio software usando la password pippo che si usa sempre nei tutorial e che conoscono tutti.
Ma non è finita qui. Frugando all’interno del software originale, l’ingegnere
informatico ha scoperto che quel software conteneva la parte pubblica della chiave di firma digitale. Ispirato dall’errore
precedente dei tecnici Hyundai, ha provato a cercare su Google una porzione di
questa chiave, e ha scoperto che anche stavolta i tecnici avevano usato una
chiave di firma digitale che è presente negli esempi dei tutorial, quelli che spiegano come firmare digitalmente qualunque file. E quei
tutorial, ovviamente, includono anche la chiave privata corrispondente.
In altre parole: Hyundai ha usato una chiave privata di firma digitale presa
da un tutorial e ha messo la chiave pubblica corrispondente nel proprio
software. E così è emerso che tutto il suo castello di protezioni risulta
essere fondato sull’argilla, e Feldman è riuscito a installare del software
(più precisamente del firmware) scritto da lui sulla propria auto, come
descrive in due altri articoli (primo, secondo). Missione compiuta, insomma.
Morale della storia: la sicurezza nel software non è cosa che si improvvisa. I
protocolli e gli standard possono essere anche robustissimi e matematicamente
inespugnabili, ma l’errore umano, o in questo caso la pigrizia di chi ha usato
una chiave di firma digitale presa di peso da un tutorial, è sempre in
agguato. Conviene ricordarlo quando qualche azienda, anche al di fuori del
settore automobilistico, si vanta di usare i software di crittografia più
sofisticati. Se li usa un pasticcione, sforneranno pasticci.
Chi lavora con l’informatica è abituato da tempo all’idea di comperare un
programma e poi pagare degli abbonamenti o dei supplementi per attivarne
alcune funzioni extra. Ma da qualche tempo questo modello commerciale si è
esteso anche alle automobili.
È di questi giorni la notizia che nel
Regno Unito BMW ha iniziato a offrire il riscaldamento dei sedili e del
volante in abbonamento. I componenti fisici del sistema di riscaldamento sono
installati di serie, ma per attivarli è necessario pagare un canone mensile di
15 sterline (circa 18 euro o franchi svizzeri), più altre 10 sterline (circa
12 euro o franchi) per attivare anche il riscaldamento del volante. In
alternativa si può pagare un supplemento, al momento dell’acquisto, di 200 sterline (grosso modo 230 euro o
franchi). Anche il cruise control attivo, gli
abbaglianti automatici e le sospensioni adattive sono installati ma attivati
solo a pagamento.
Può sembrare assurdo che una casa automobilistica installi di serie dei
componenti che il cliente non paga se non li attiva: in fin dei conti, questi
componenti hanno un costo di fabbricazione e di installazione, per cui
metterli su tutti i veicoli e poi sperare che il cliente paghi per attivarli
parrebbe a prima vista un autogol commerciale. Ma nella produzione di massa
capita spesso che installare i componenti su tutti gli esemplari costi meno
che gestire due o più filiere di produzione separate, con tutti i relativi problemi
di logistica, burocrazia e controllo qualità.
BMW non è l’unica marca a preinstallare hardware da sbloccare pagando un
canone tramite un’app, in una sorta di App Store per automobili che chiama Connected Drive Store. Tesla, per esempio, offre da tempo vari servizi supplementari di aumento
delle prestazioni che sono basati su un canone e propone anche un sistema di
assistenza di guida i cui computer e sensori sono presenti in ogni esemplare
venduto ma si attivano soltanto pagando un supplemento che parte da 3700
franchi (o euro equivalenti) e può superare i 7000; in passato ha offerto
anche batterie la cui autonomia era limitata via software e poteva essere
sbloccata pagando un supplemento di circa 8000 dollari. E Stellantis ha annunciato
a gennaio 2021 che si aspetta di ricavare circa 22 miliardi di dollari l’anno
dalla vendita di software e abbonamenti sulle proprie automobili entro il 2030.
Anche Volkswagen, General Motors e Ford fanno previsioni analoghe. E già ora GM
offre il proprio sistema di assistenza di guida su abbonamento: i primi tre
anni sono gratuiti, poi si devono pagare 25 dollari al mese.
L’introduzione di questi servizi in abbonamento non è stata accolta dal
pubblico con unanime entusiasmo, per dirla con garbo. L’annuncio dei sedili riscaldati a pagamento sulle BMW
ha suscitato parecchie discussioni online da parte di utenti che ritengono che
funzioni così basilari dovrebbero essere offerte di serie, e un sondaggio
della società di marketing Cox Automotive indica che i tre quarti dei
partecipanti dichiara di non essere disposta a pagare canoni mensili per le
funzioni della propria auto. Kurt Opsahl, consulente legale della Electronic
Frontier Foundation, ha tweetato
che “Un riscaldatore di sedili bloccato tramite software è guasto, e il
proprietario dell’auto dovrebbe avere il diritto di riparare i propri
sedili”.
Le case automobilistiche ribattono facendo notare che
questa formula consente al cliente di cambiare idea dopo l’acquisto, di
provare funzioni delle quali è incerto, ed è utile per chi compra auto di
seconda mano e può quindi attivare funzioni che il proprietario originale non
aveva pagato.
With our ‘Functions on-demand’, customers can opt for additional functions
after they purchased a car. Heated seats for example can be ordered with the
car (without additional fees afterwards) or added later on depending on
model and equipment through the online store.
Nel frattempo gli informatici non sono rimasti con le mani in mano ed è nata
una fiorente comunità di hacking
che sblocca le funzioni delle auto bloccate tramite software, esattamente come
si fa con i programmi per computer limitati artificialmente. In alcuni casi
questi sblocchi automobilistici alternativi sono a pagamento, ma la loro
legalità è molto controversa: da un lato si invoca il diritto di riparare ciò
che si possiede, ma dall’altro si fa notare che certe modifiche che toccano
componenti essenziali del veicolo possono invalidarne l’omologazione o, peggio
ancora, renderlo pericoloso per il conducente e per gli altri utenti della
strada.
C’è anche un altro problema: i servizi di questo tipo, che dipendono da un
server di gestione remota, sono revocabili o possono semplicemente smettere di
funzionare dopo che sono stati pagati. Non è teoria: è quello che mi è
capitato personalmente già nel 2020, quando stavo per acquistare un’auto elettrica della
Opel ma ho scoperto
che la sua app di gestione, OnStar, avrebbe smesso di funzionare a fine anno,
disattivando permanentemente funzioni essenziali come il monitoraggio dello
stato di avanzamento della ricarica e la chiamata automatica ai servizi di
soccorso in caso di incidente.
In altre parole, le cose che compriamo, comprese le auto, non sono più
realmente nostre. Ed è per questo che nascono organizzazioni e iniziative per
la difesa di quei diritti digitali che sembrano così astratti e invece si
rivelano profondamente concreti.
Honda ha annunciato che alcune sue fabbriche negli Stati Uniti, in Turchia, in India e in Sud America sono ferme a causa di un attacco informatico, secondo Ars Technica e Bloomberg.
Le prime avvisaglie sono arrivate su Twitter e poi un ricercatore di sicurezza informatica, milkr3am, si è accorto che qualcuno aveva inviato al sito VirusTotal un campione del virus informatico Snake/Ekans fatto su misura per attaccare Honda (conteneva un’istruzione riguardante il sottodominio mds.honda.com, che non è su Internet ma presumibilmente fa parte della intranet dell’azienda).
Successivamente lo stesso ricercatore è riuscito a ottenere una copia della richiesta di denaro inviata dagli aggressori a Honda:
Si tratta insomma di un classico attacco di ransomware, nel quale i dati della vittima vengono cifrati con una password nota soltanto all’aggressore, che poi chiede soldi per dare alla vittima questa password e permetterle di recuperare i propri dati.
Honda non è l’unica grande azienda colpita da questo genere di attacchi: Bloomberg cita Fincantieri SpA e nota che nel 2019 sono state colpite almeno 966 agenzie governative, scuole ed enti sanitari soltanto negli Stati Uniti. Blackfog ha stilato una cronologia degli attacchi ransomware avvenuti nei primi cinque mesi del 2020: ce n’è per tutti in tutto il mondo, compreso lo studio legale statunitense usato da Elton John, Robert De Niro e Madonna.
Le tecniche del ransomware, inoltre, si stanno evolvendo. La moda del momento è aumentare la pressione sulle vittime, per indurle a pagare, minacciando di vendere via Internet i dati rubati. Visto che il metodo di attacco prevalente è il classico allegato infettante inviato via mail, siate prudenti nell’aprire qualunque messaggio.
Si parla spesso con preoccupazione dell’aggiornabilità delle automobili via Internet: c’è chi teme che un aggiornamento possa portare virus, revocare funzioni o addirittura paralizzare l’auto mentre è in movimento, come succede con i computer.
In realtà le auto aggiornabili sono praticamente impossibili da infettare, perché scaricano gli aggiornamenti su una connessione diretta al sito del produttore e gli aggiornamenti scaricati sono firmati digitalmente, e soprattutto vengono installati esclusivamente quando l’auto è ferma e parcheggiata. La possibile revoca delle funzioni è l’unica critica sensata, ma avviene anche nelle auto tradizionali.
Non si parla molto, invece, del problema opposto: che cosa succede alle auto che non si possono aggiornare e nelle quali si scopre un difetto di sicurezza?
Un esempio arriva dai ricercatori delle università di Leuven, in Belgio, e di Birmingham, nel Regno Unito, che hanno pubblicato una ricerca sulle vulnerabilità delle chiavi di avviamento elettroniche di varie marche di auto. I sistemi di crittografia (DST80) usati per proteggere le auto contro gli avviamenti senza chiave sono infatti stati implementati maldestramente da Toyota, Hyundai, Kia e Tesla, per cui un ladro che riesca ad avvicinarsi alle chiavi di queste auto può copiarle usando un lettore e trasmettitore RFID della Proxmark e, con un po’ di destrezza, usare questa copia per avviare l’auto.
La lista delle auto vulnerabili a questo attacco è pubblicata nella ricerca e anche da Wired.com: si tratta di veicoli usciti fra il 2009 e il 2017. Secondo i costruttori, i modelli nuovi non hanno più questa falla, ma nel caso di Toyota, Kia e Hyundai chi ha un modello vecchio è costretto a tenersela.
Fa eccezione Tesla, che alcuni mesi fa ha risolto il problema distribuendo via Internet a tutte le sue Model S un aggiornamento software gratuito. Non tutti gli aggiornamenti, insomma, vengono per nuocere.
Devi effettuare l'accesso per postare un commento.