Entdeckung der Schwachstellen
Vier Sicherheitsforscher fanden heraus, dass sie für den Hack von Kia-Fahrzeugen nur das passende Nummernschild benötigten. Bereits im Juni dieses Jahres entdeckten sie ernsthafte Schwachstellen. Es war möglich – Angriffe bei modernen Fahrzeugen in etwa 30 Sekunden durchzuführen. Dies geschah unabhängig von einem aktiven Kia Connect-Abonnement.
Zugriff auf persönliche Daten
Ein Angreifer konnte mit diesen Schwachstellen unbemerkt persönliche Informationen wie Namen, Telefonnummer und E-Mail-Adresse abrufen. In der Folge hätte der Hacker die Kontrolle über das Fahrzeug übernehmen können. Es hätte dem Angreifer ermöglicht, sich als weiterer Benutzer im Fahrzeug des Opfers einzutragen – ohne. Dass Opfer etwas davon merkte.
Unternehmensreaktion
Kia hat die Schwachstellen mittlerweile behoben. Das Tool das von Neiko Rivera Sam Curry, Justin Rhinehart und Ian Carroll entwickelt wurde, war jedoch nie in Verwendung. Laut Kia gab es bisher keine Hinweise auf eine böswillige Nutzung dieser Sicherheitslücken.
Untersuchung von Sicherheitslücken
Vor etwa zwei Jahren begann eine Gruppe von Sicherheitsforschern, Sicherheitslücken bei verschiedenen Automobilherstellern zu identifizieren. Zuvor hatten sie kritische Probleme gefunden die potenziell 15⸴5 Millionen Fahrzeuge angreifbar gemacht hätten. Paul Roberts der Chefredakteur von The Security Ledger, äußerte sich sogar während einer Anhörung des US-Kongresses dazu.
Überprüfung der Kia-Website und App
Nach einiger Zeit der Untätigkeit entschieden sich die Forscher, größere Unternehmen erneut unter die Lupe zu nehmen. Kia war das erste Unternehmen – dessen Website und mobile App genauer untersucht wurden. Die Website owners.kia.com und die Kia Connect iOS-App erlaubten Internet-zu-Fahrzeug-Befehle.
Unterschiedlicher Umgang mit Fahrzeugbefehlen
Die Besitzer-Website und die mobile App wurden unterschiedlich behandelt. Für die Website wurde ein Backend-Reverse-Proxy verwendet um Benutzereingaben zu verarbeiten. Im Gegensatz dazu hatte die App direkten Zugriff auf die Backend-API.
Technische Details
Eine einfache HTTP-Anfrage von der Website owners.kia.com konnte das Auto entriegeln. Das Kia-Backend generierte eine Sid-Session-ID um den Zugriff zu authentifizieren. Diese Anfragen waren Teil der anfänglichen Schwachstellen im Jahr 2023.
Fahrzeugaktivierung durch Kies Händler
Die Sicherheitsforscher fanden heraus, ebenso wie die Fahrzeugaktivierung beim Kauf eines neuen Kia abläuft. Kia fragt nach einer E-Mail-Adresse des Händlers um Registrierungslinks zu versenden. Die Registrierung erfolgte über die Domain kiaconnect.kdealer.com.
Unbefugter Zugriff auf Händler-API
Die Forscher durchforsteten das JavaScript der Händler-Webseite. Sie entdeckten Insider-API-Aufrufe die vermutlich nur für autorisierte Händler gedacht waren. Ihre Tests zeigten – dass der Zugang zu diesen Endpunkten verhindert wurde. Dennoch war die Idee geboren, sich als Händler zu registrieren und ein Zugangs-Token zu generieren.
Funktionierende Fernsteuerung
Nach einigen Stunden intensiver Analyse des JavaScripts erlangten sie das nötige Wissen. Die Endpunkte für Anmeldungen und Fahrzeugänderungen waren nachvollziehbar. Allerdings waren die Bremsen nicht online zugänglich und der Zugriff auf die Kamera war ähnlich wie ausgeschlossen.
Kommentare
der Forscher
Die Entdecker kamen zu dem Schluss, dass Schwachstellen in smarten Fahrzeugen fortbestehen werden. Ein vollständig sicheres Auto wird es in Zukunft nicht geben. Wer herausfinden möchte, ob sein Kia-Fahrzeug (Baujahr 2014 bis 2025) betroffen ist, sollte die Informationen auf Sam Currys Webseite suchen.