Uruchomił chińskie auto w 20 sekund bez kluczyka. Problem jest znany

W aucie nastąpiło przejęcie komunikacji między systemem NFC a immobilizerem. Jak wynika z opisu opublikowanego na platformie X przez badacza, luka dotyczyła modelu BYD Leopard 3. Według niego atakujący mógł uzyskać dostęp do magistrali CAN-FD znajdującej się za czytnikiem NFC po stronie kierowcy. Następnie możliwe było odtworzenie komunikatu, który czytnik NFC wysyła do immobilizera przy prawidłowej autoryzacji.

Kluczowym problemem miało być to, że komunikat był statyczny – nie zawierał mechanizmu zabezpieczającego, takiego jak zmienny licznik, podpis cyfrowy czy kryptograficzne potwierdzenie autentyczności. W praktyce oznacza to, że po przechwyceniu prawidłowej sekwencji można było ją ponownie odtworzyć.

Według badacza cały proces miał pozwalać na otwarcie samochodu i jego uruchomienie w około 20 sekund. Nie chodziło więc o złamanie zabezpieczeń NFC, lecz o wykorzystanie zaufania, jakie poszczególne elementy samochodu pokładają w komunikacji wewnętrznej.

To nie pierwszy przypadek, gdy badacze wskazują na słabości architektury elektronicznej współczesnych samochodów. Podobny mechanizm wykorzystywano wcześniej w przypadku części modeli Toyoty RAV4. W 2022 roku eksperci opisywali kradzieże, w których przestępcy mieli uzyskiwać dostęp do magistrali CAN przez instalację znajdującą się przy przednich reflektorach i wysyłać do systemu pojazdu komunikat sugerujący, że klucz jest prawidłowy.

Źródłem problemu jest sama konstrukcja magistrali CAN (Controller Area Network), która powstała jeszcze w latach 80. XX wieku. Standard opracowany przez firmę Bosch w 1986 roku miał służyć do komunikacji między ograniczoną liczbą sterowników znajdujących się w zamkniętym środowisku pojazdu. Zakładano, że urządzenia wewnątrz samochodu są zaufane, dlatego pierwotnie nie przewidziano w nim mechanizmów uwierzytelniania każdej przesyłanej wiadomości.

Przez kolejne dekady do samochodów dodawano kolejne moduły – systemy multimedialne, łączność bezprzewodową, asystentów kierowcy czy rozwiązania umożliwiające diagnostykę. Sama zasada komunikacji pozostała jednak w dużej mierze taka sama.

Producenci samochodów coraz częściej muszą odpowiadać na problem cyberbezpieczeństwa także ze względu na nowe regulacje. W Unii Europejskiej obowiązuje norma UN R155 dotycząca zarządzania cyberbezpieczeństwem pojazdów. Od lipca 2024 roku wymagania te stały się obowiązkowe dla nowych samochodów homologowanych na rynku europejskim.

Podobne rozwiązania wprowadzają także inne państwa. Chiny wdrażają własne wymagania w ramach normy GB 44495, a Indie przygotowują regulacje AIS-189, których pełne wejście w życie ma następować etapami do 2028 roku.