Ερευνητές κυβερνοασφάλειας χάκαραν φορτιστές αυτοκινήτων EV κατά τη διάρκεια του Pwn2Own Automotive 2024 στο Τόκιο, για να εκτελέσουν αυθαίρετο κώδικα.
Δείτε επίσης: Το AI chatbot της Chevrolet εξαπατήθηκε από χάκερ και πούλησε αυτοκίνητο 1 $
Τα ηλεκτρικά οχήματα (EV), αντιμετωπίζουν σημαντικούς κινδύνους στον κυβερνοχώρο λόγω της εξάρτησής τους από διασυνδεδεμένα συστήματα και του αυξανόμενου αριθμού δημόσιων φορτιστών, οι οποίοι συχνά δεν διαθέτουν ισχυρά μέτρα ασφαλείας.
Τα τρωτά σημεία στο λογισμικό EV και στην υποδομή φόρτισης μπορούν να εκθέσουν τα οχήματα σε κακόβουλο λογισμικό, μη εξουσιοδοτημένη πρόσβαση και πιθανή παραβίαση από χάκερ.
Κατά τη διάρκεια του Pwn2Own Automotive 2024 στο Τόκιο, ερευνητές κυβερνοασφάλειας χάκαραν φορτιστές αυτοκινήτων EV για να εκτελέσουν αυθαίρετο κώδικα.
Στην εκδήλωση Pwn2Own Automotive 2024, οι ερευνητές κατάφεραν να παραβιάσουν τρεις φορτιστές EV:
- Autel MaxiCharger (MAXI US AC W12-L-4G)
- ChargePoint Home Flex
- JuiceBox 40 Smart EV Charging Station
Εκτέλεσαν αυθαίρετο κώδικα μέσω Bluetooth, ενώ εστίασαν στον φορτιστή EV Autel MaxiCharger και αποκάλυψαν τα ελαττώματα “CVE-2024-23958”, “CVE-2024-23959” και “CVE-2024-23967”.
Τα χαρακτηριστικά του φορτιστή περιλαμβάνουν WiFi, Ethernet, Bluetooth, 4G LTE, RFID, οθόνη αφής LCD, RS485 και θύρα USB-C.
Δείτε ακόμα: Chevy Corvette ZR1 2025: Ποια τα χαρακτηριστικά του;
Το υλικό του περιείχε μια μονάδα ελέγχου φόρτισης GigaDevices GD32F407 (ECC), ESP32-WROOM-32D για WiFi & Bluetooth, STM32F407ZGT6 Power Control Module (ECP), Quectel EC25-AFX για 4G LTE και ένα μη αναγνωρισμένο ελεγκτή LCD.
Οι ασαφείς διευθύνσεις URL αποκρυπτογραφήθηκαν χρησιμοποιώντας κωδικοποίηση base64 και αντικατάσταση χαρακτήρων κατά την απόκτηση υλικολογισμικού. Η λήψη των στοιχείων υλικολογισμικού έγινε από τις διευθύνσεις URL του Amazon S3 και η διαδικασία ενημέρωσης περιλάμβανε επικοινωνία BLE μεταξύ της εφαρμογής και του φορτιστή.
Οι ερευνητές αναμόρφωσαν το υλικολογισμικό του Autel MaxiCharger, αποκρυπτογραφώντας ασαφή αρχεία χρησιμοποιώντας ένα κλειδί XOR 256 byte σε συνδυασμό με πρόσθεση ή αφαίρεση.
Οι πλήρεις επιπτώσεις περιλαμβάνουν πιθανή χειραγώγηση των παραμέτρων φόρτισης, εσφαλμένη αναφορά ενέργειας για δημόσια φόρτιση μέσω καρτών RFID και network pivoting.
Δείτε επίσης: Mercedes-Benz: Σταθμοί γρήγορης φόρτισης EV έρχονται στα Starbucks
Στον τομέα του προγραμματισμού, η αυθαίρετη εκτέλεση κώδικα (ACE) αποτελεί σημαντική ανησυχία, ιδιαίτερα όσον αφορά τα τρωτά σημεία ασφαλείας, όπως φαίνεται κι από τους φορτιστές EV. Αυτό συμβαίνει όταν ένας εισβολέας είναι σε θέση να εκτελέσει κακόβουλο κώδικα στο πλαίσιο της εφαρμογής ή του συστήματος. Αυτό μπορεί να οδηγήσει σε παραβιάσεις δεδομένων, μη εξουσιοδοτημένη πρόσβαση σε πόρους του συστήματος και διάφορους άλλους τύπους εκμετάλλευσης. Η προστασία από την αυθαίρετη εκτέλεση κώδικα συχνά περιλαμβάνει την εφαρμογή ασφαλών πρακτικών κωδικοποίησης, την εκτέλεση ενδελεχούς επικύρωσης εισόδου και την τακτική ενημέρωση λογισμικού για την επιδιόρθωση γνωστών τρωτών σημείων. Επομένως, η κατανόηση των αρχών του ACE είναι ζωτικής σημασίας για τους προγραμματιστές που στοχεύουν στη δημιουργία ανθεκτικών και ασφαλών εφαρμογών.
Πηγή: cybersecuritynews
