¡Hac­kers so­bre la ca­rre­te­ra!

Ca­da vez es más fre­cuen­te que los ci­ber­cri­mi­na­les in­fil­tren apli­ca­cio­nes de na­ve­ga­ción, au­to­mó­vi­les in­te­li­gen­tes y más. ¿Le da­ría el vo­lan­te a un hac­ker?

IT Now Honduras - - SECURITY -

vi­les ubi­car re­mo­ta­men­te sus vehícu­los en ca­so de ro­bo, pa­ra des­blo­quear­los de for­ma re­mo­ta si pier­den o ex­tra­vían sus lla­ves, e in­clu­so pa­ra ini­ciar re­mo­ta­men­te o de­te­ner su mo­tor cuan­do es­tán es­ta­cio­na­dos y blo­quea­dos.

Los in­ves­ti­ga­do­res en­con­tra­ron que a par­tir de la ver­sión 3.9.4 de la apli­ca­ción mó­vil, lan­za­da a prin­ci­pios de di­ciem­bre, Hyun­dai agre­gó una función pa­ra car­gar un ar­chi­vo de re­gis­tro en un ser­vi­dor re­mo­to. La co­ne­xión al ser­vi­dor no es­ta­ba en­crip­ta­da con HTTPS, pe­ro Hyun­dai in­ten­tó pro­te­ger los da­tos del re­gis­tro en­crip­tan­do con una cla­ve es­tá­ti­ca com­par­ti­da por to­dos los usua­rios.

El pro­ble­ma es que es­ta cla­ve es­tá co­di­fi­ca­da den­tro de la apli­ca­ción, por lo que cual­quie­ra pue­de des­car­gar la apli­ca­ción, en­con­trar la cla­ve y ex­traer­la. Es­to per­mi­te que un atacante que es­té en po­si­ción de in­ter­cep- tar el trá­fi­co de un te­lé­fono mó­vil con la apli­ca­ción ins­ta­la­da in­ter­cep­te y des­ci­fre los da­tos de re­gis­tro.

El re­gis­tro de la apli­ca­ción con­tie­ne in­for­ma­ción con­fi­den­cial co­mo el nom­bre de usua­rio, la con­tra­se­ña y el PIN del pro­pie­ta­rio del au­to­mó­vil, así co­mo da­tos de GPS que po­drían re­ve­lar el his­to­rial de ubi­ca­ción del au­to­mó­vil. Los ata­ques Hom­bre-en-el-me­dio se pue­den eje­cu­tar en re­des inalám­bri­cas in­se­gu­ras, a tra­vés de en­ru­ta­do­res com­pro­me­ti­dos o in­clu­so más arri­ba en la ca­de­na de la red, si el atacante gana vi­si­bi­li­dad en el ni­vel del ISP.

Hat­zer y Ku­mar tra­ba­ja­ron con la fir­ma de se­gu­ri­dad Ra­pid7 pa­ra coor­di­nar la re­ve­la­ción de vul­ne­ra­bi­li­dad con Hyun­dai, el Equi­po de Res­pues­ta de Emer­gen­cia Ci­ber­né­ti­ca del Sis­te­ma de Con­trol In­dus­trial del De­par­ta­men­to de Se­gu­ri­dad Na­cio­nal de los EE. UU. (ICS-CERT) y el Cen­tro de Coor­di­na­ción CERT de la Universidad Car­ne­gie Me­llon.

ICS-CERT pu­bli­có un avi­so pa­ra el te­ma el mar­tes, ca­li­fi­can­do la fa­lla pa­ra ase­gu­rar co­mu­ni­ca­cio­nes con­tra ata­ques MitM co­mo gra­ve­dad me­dia y el uso de una cla­ve de en­crip­ta­ción co­di­fi­ca­da co­mo de al­ta se­ve­ri­dad.

Hyun­dai Mo­tor Amé­ri­ca so­lu­cio­nó el pro­ble­ma en la ver­sión 3.9.6 de su apli­ca­ción mó­vil Blue Link pa­ra An­droid e iOS. La com­pa­ñía le di­jo a Ra­pid7 que des­pués de su in­ves­ti­ga­ción no tie­ne co­no­ci­mien­to de nin­gún clien­te afec­ta­do por es­te pro­ble­ma.

Hyun­dai es miem­bro del Cen­tro de aná­li­sis y com­par­ti­ción de in­for­ma­ción au­to­mo­triz (Au­to-ISAC), un gru­po de la in­dus­tria pa­ra com­par­tir in­for­ma­ción so­bre las ame­na­zas a la se­gu­ri­dad ci­ber­né­ti­ca y las me­jo­res prác­ti­cas.

Newspapers in Spanish

Newspapers from Honduras

© PressReader. All rights reserved.