På sikkerhetskonferansen Nullcon i Berlin i forrige uke demonstrerte sikkerhetsforskerne Radu Motspan og Abdellah Benotsmane hvordan de kan ta full kontroll over infotainmentsystemet i Volkswagen ID.4.
Det skriver det tyske tech-mediet WinFuture. ID.4 har i flere år vært en av de mer utbredte elbilene på norske veier, og derfor er det verdt å se nærmere på hva angrepet gir tilgang til, hva det krever, og hva man selv kan gjøre for å beskytte seg.
Sporing og avlytting
Når forskerne først har kontroll over systemet, kan de følge bilens posisjon og registrere hvor den kjører. De kan også i det skjulte lytte med via mikrofonen i kupeen, vise vilkårlige bilder på den sentrale skjermen, spille av lyd gjennom bilens høyttalere og manipulere stemmeassistenten.
I tillegg kommer delvis tilgang til bilens karosserifunksjoner. Hvilke funksjoner det er snakk om, presiserer verken WinFuture eller konferansens beskrivelse av foredraget.
Bluetooth og CarPlay
Forskerne har funnet to veier inn i systemet. Den ene går via Bluetooth på 5 til 10 meters avstand, og her må en person i bilen typisk godkjenne en forespørsel om paring på skjermen, selv om det – avhengig av bilens innstillinger – kan kreve færre trinn.
Den andre går via en manipulert CarPlay-kabel og krever altså fysisk tilgang til kupeen. Svakhetene, som går under navnet PerfektBlue, ligger i bilens Bluetooth-tjeneste og i måten Apple CarPlay er bygget inn i systemet på. Herfra har forskerne klart å bryte ut av det isolerte miljøet infotainmentsystemet kjører i, uten at bilens innebygde overvåking av sikkerhetshendelser oppdaget det.
Risikoen
Ifølge forskerne er hundretusener av Volkswagens elbiler berørt, men det er deres egen opptelling, og det fremgår ikke hvordan de har kommet fram til tallet. Det er heller ikke avklart om andre av konsernets elbiler bygget på samme MEB-plattform, for eksempel Škoda Enyaq, Audi Q4 e-tron og Cupra Born, også er rammet.
Forholdsregler
Den beste beskyttelsen er heldigvis enkel. Dukker det opp en uventet forespørsel om Bluetooth-paring på bilens skjerm, bør du avvise den – med mindre du selv har startet paringen – og det gjelder også passasjerene. For CarPlay bør du bare bruke dine egne kabler, og la være å plugge inn en kabel du ikke kjenner opprinnelsen til.
Til slutt er det en god idé å holde bilens programvare oppdatert, slik at eventuelle rettelser fra Volkswagen blir installert så snart de kommer.
