App Archive - Der Wächter

Hacker übernehmen Tesla-Auto von der Tesla Mobile-App

Published on December 19, 2016December 19, 2016 in Kriminalität

Hacker haben den Besitzer eines Tesla-Wagens davon überzeugt, dass er eine bösartige App auf dem Gerät installiert werden muss. Nachdem dies geschehen war, konnten sie das Auto stehlen.

Eine kleine Gruppe von Hackern, die bei einer norwegischen Cybersicherheitsfirma angestellt sind, haben ganz genau gezeigt, wie Cyberkriminelle tatsächlich ganz einfach das Sicherheitssystem ausnutzen können, das in einem Tesla-Wagen installiert ist und über die Tesla Mobile-App gesteuert wird.

Die Forscher von Promon hatten einen Laptop genutzt, um aus der Ferne das Fahrzeug vom Typ Tesla Model S zu entsperren. Sie konnten das Auto nicht nur mit einem Laptop entsperren, sondern es gelang ihnen auch, das elektronische Fahrzeug zu starten und damit wegzufahren, ohne irgendeinen Schlüssel dafür zu benötigen. Die gesamte Operation wurde durchgeführt, indem das Smartphone des Besitzers gehackt wurde.

Promon hat daraufhin ein Video veröffentlicht, das die folgenreichen und extremen Schwachstellen deutlich bloßstellt, die sich in der Mobile-App von Tesla verbergen. Das ist eine ziemlich große Sache, da die Besitzer die mobile App dafür verwenden können, um die Batterielaufzeit und den Status der Aufladung anzuzeigen, ihr Auto lokalisieren können, die Temperatur vor dem Einsteigen in den Wagen regulieren können, die Lichter aufblitzen lassen können, um den eigenen Wagen inmitten eines vollen Parkplatzes zu finden – und noch viel, viel mehr. Und ja, die App gibt es sowohl für Geräte mit iOS als auch für Android.

Dieses Sicherheitsproblem (Exploit) konnte deshalb durchgeführt werden, weil auch Social Engineering (die Manipulation eines Menschen) angewandt wurde. Die Hacker hatten den Besitzer davon überzeugt, dass eine spezielle bösartige App heruntergeladen und auf dem Smartphone installiert werden müsste. Als sie dann heruntergeladen und installiert war, bestand der nächste Schritt darin, dass die Hacker einen frei zugänglichen und offenen WLAN-Hotspot in der Nähe der Tesla-Ladestation einrichteten.

Tom Lysemose Hansen, der Gründer und CTO (Technischer Direktor) von Promon, stellte fest: „Die aktuelle Forschung von Keen Security Labs nutzt Fehler im CAN-Bus-System (Controller Area Network-Bussystem) der Tesla-Fahrzeuge aus. Damit war es ihnen möglich, die Kontrolle über eine begrenzte Anzahl von Funktionen des Autos zu übernehmen. Unser Test verwendet als Erster die Tesla-App als Zugriffspunkt und geht noch einen Schritt weiter, indem er zeigt, dass eine kompromittierte App direkt zum Diebstahl eines Wagens führen kann.“

Und die innovierende Firma hat einen Patch für die Software nur ein paar Tage nach der Veröffentlichung und dem Bekanntwerden dieser Demonstration herausgebracht, um diesen Fehler zu beheben.

„Unser Test verwendet als Erster die Tesla-App als Zugriffspunkt.“

Sorry, aber das war kein Hack in die Tesla-App. Stattdessen hat diese Firma Folgendes getan: Sie hat einen Besitzer dazu gezwungen, eine spezielle App herunterzuladen, um dessen Smartphone hacken zu können. Von dort aus ist es ihnen gelungen, die App zu kompromittieren.

Wie stiehlt man einen Tesla?

Aus der einen Perspektive ist es der Diebstahl eines Autos, indem die mobile App verwendet wird. Aus einer anderen Perspektive ist es jedoch nichts anderes als das Hijacking (wörtlich: die Entführung) eines Smartphone, um die App per Fernzugriff ausführen zu können und das Auto damit verletzlich zu machen.

„Indem Tesla sich davon entfernt, einen physischen Schlüssel zu verwenden, um die Tür aufzusperren, unternimmt Tesla im Grunde denselben Schritt, den auch Banken und die Bezahlindustrie gegangen sind. Physische Tokens („Dinge“) werden von ‚mobilen Tokens‘ ersetzt“, erläuterte Hansen. Weiterhin sagte er: „Wir sind sehr stark davon überzeugt, dass Tesla und die Autoindustrie ein vergleichbares Level an Sicherheit bieten müssen – und das ist definitiv heute so noch nicht der Fall.“

Übersetzt aus dem Englischen von AnonHQ.com.

Quellen:

Das ist Signal, die sicherste App für eure Nachrichten – sogar Snowden verwendet sie

Published on October 22, 2016October 22, 2016 in Onlinewelt

Wie kann man noch guten Gewissens wirklich der Nachrichten-App trauen, die man standardmäßig verwendet – auch wenn die App über End-zu-End-Verschlüsselung verfügt? Edward Snowden hat vor mehreren Nachrichten-Apps gewarnt, die nicht ausreichend gesichert sind oder eure Informationen mit der Regierung und Geheimdiensten teilen – und manche sogar mit der Polizei. Stellt euch die Frage: Wem vertraut ihr mehr? Den Firmen, die ihre Apps vermarkten wollen; oder Snowden, ein Geheimdienstagent, der mehrere Jahre für die CIA und die NSA gearbeitet hat, also für die mächtigsten Nachrichtendienste der Welt?

Wie wir bereits in einem vorherigen Artikel erläutert haben, schützt die End-zu-End-Verschlüsselung eure Nachrichten nicht in vollem Umfang – die Verschlüsselung reicht nicht aus, um eure Spuren zu verdecken. Das liegt daran, dass ein gewisser Teil der Nachrichten-App immer noch on ist und eure Informationen aufzeichnet. Wenn sie einmal aufgezeichnet sind, speichert die App dann eure Informationen – etwa Telefonanrufe und Nachrichten – auf anderen Telefonen. Das kann in letzter Konsequenz dazu führen, dass persönliche Informationen geleakt werden.

Ein idealtypisches und perfektes Beispiel für einen solchen Fehler stammt aus den Reihen von Apple. Apples iMessage-App, über die ich neulich in meinem Artikel „Apple zeichnet eure Nachrichten aus iMessage auf und schickt die Daten an die Polizei“ (Artikel ist auf Englisch) geschrieben habe, erörtern wir, wie Apples Nachrichten-App unter anderem eure Kontakte, Orte und Nachrichten abspeichert. Apple kann eure privaten Informationen jederzeit auf Zuruf an die örtlichen (oder staatlichen) Strafverfolgungsbehörden übergeben.

Wenn ihr bereits zu denjenigen gehört, welche die Open Source- und End-zu-End-gesicherte App Signal verwenden, dann seid ihr damit viel sicherer als ohne.

Die Nachrichten-App Signal verfügt ohne Zweifel über den am meisten gesicherten End-zu-End-Verschlüsselungsservice, den es zurzeit gibt. Zu einem früheren Zeitpunkt 2016 verlangte das Federal Bureau of Investigation (FBI) eine enorme Menge an Informationen über 2 spezifische Ziele, die Signal verwendeten. Obwohl die Behörde in der Lage dazu war, die Informationsherausgabe über eine Vorladung von Signal zu erzwingen, waren die Informationen für die Untersuchung ohnehin fast komplett nutzlos. Der Vorgang war Teil einer Untersuchung von einer bundesstaatlichen Grand Jury in Virginia.

Die App Signal speichert sehr wenige Informationen über ihre Nutzer, wie auch in diesem aktuellen Gerichtsfall ersichtlich und bewiesen wurde. Signals „Open Whisper System“ (OWS) übermittelt nicht einfach nach Aufforderung alles an die Regierung.

Zum Glück für die Öffentlichkeit zeigt das, dass Signal eine der besseren Apps ist, die man verwenden sollte, wenn man auf der Suche nach Sicherheit und Privatschutz für die eigene Kommunikation ist. Signal ist sogar so gut, dass der Whistleblower Edward Snowden selbst sie verwendet.

Das FBI hatte verlangt, dass Signal die folgenden Informationen über die zwei Verdächtigen preisgibt:

E-Mail-Adresse des Abonnenten
Informationen zum Bezahlmittel
Mit dem Nutzer assoziierte IP-Adresse
E-Mail-Adressen
Chroniken
Cookie-Daten des Browsers

Die ACLU (American Civil Liberties Union; „Amerikanische Bürgerrechtsorganisation“) schrieb dazu in einem Abschnitt ihres entsprechenden Beitrags. „Wie die Dokumente zeigen, hat sich aus den Bemühungen der Regierung nicht viel ergeben – nicht deshalb, weil OWS sich weigerte, der Vorladung der Regierung Folge zu leisten (das haben sie nämlich getan), sondern weil die Firma ganz einfach diese Art von Informationen über ihre Kunden nicht speichert, welche von der Regierung verlangt wurden (und die viel zu viele Tech-Firmen nach wie vor ansammeln).“ Nachdem der fehlgeschlagene Versuch der Regierung aufgedeckt worden war, fügten sie hinzu: „Alles, was OWS ihnen zur Verfügung stellen konnte, waren die Tage und Zeitpunkte, zu dem ein Account erstellt wurde und wann er sich zum letzten Mal mit den Signal-Servern verbunden hat.“

Die Vorladung, die OWS auf ihrer Website veröffentlicht haben, ist eine Information für die Öffentlichkeit, dass die Firma keine privaten Informationen über ihre Kunden preisgeben wird – hauptsächlich aus dem Grund, weil sie dazu nicht in der Lage sind. Auf dem oben gezeigten Screenshot sind tatsächlich alle Informationen dargestellt, die sie über ihre Kunden haben.

Quellen: AnonHQ, Open Whisper Systems, Security Affairs, ACLU (American Civil Liberties Union), OWS (Subpoena).

Übersetzt aus dem Englischen von AnonHQ.com.