SICUREZZA

Volkswagen ancora nei guai, milioni di auto a rischio hacker

Un team di ricercatori mette a segno un attacco hacker e clona le chiavi digitali di 100 milioni di modelli. Colpa della master key crittografica comune a tanti modelli. Ma anche i sistemi di altre case automobilistiche sono in pericolo

12 Ago 2016

Patrizia Licata

Allarme sicurezza per le automobili Volkswagen: quasi 100 milioni di veicoli venduti dal gruppo tedesco dal 1995 potrebbero essere violati da remoto dagli hacker, come ha dimostrato una ricerca condotta da team della University of Birmingham e della società di security tedesca Kasper & Oswald. Sotto accusa il sistema di apertura keyless, non di per sé ma perché la crittografia usata da Volkswagen non è sufficientemente sicura e ha permesso ai ricercatori di clonare le chiavi digitali.

Il problema colpisce una serie di modelli realizzati tra 1995 e 2016, anche dei marchi Audi, Seat e Skoda che appartengono al gruppo tedesco. Volkswagen ha prontamente indicato che sta lavorando con i ricercatori e ha aggiunto che ci sono moltissimi dei veicoli di nuova produzione che non sono interessati dalla falla di sicurezza.

Il team in Gran Bretagna ha dimostrato che è possibile per un hacker catturare con un ricevitore di onde radio i segnali delle chiavi digitali per poi clonare le chiavi stesse e aprire le automobili. Basta una radio con un software apposito connessa a un computer portatile, oppure una scheda Arduino con un ricevitore radio, il tutto per un costo di 40 dollari. Costruire un telecomando clone sarebbe quasi un gioco da ragazzi.

Certo, prima i ricercatori hanno usato la tecnica del reverse-engineering per ottenere la chiave crittografica maestra che è comune a tutte le auto del gruppo Volkswagen – una volta noto il valore di quella chiave, con la radio si intercetta un altro valore specifico del singolo veicolo e poi si deducono le altre due chiavi e si clona il telecomando per aprire le portiere. Prima di pubblicare la ricerca, il team di esperti ha contattato la Volkswagen e ha acconsentito a tenere riservate parte delle informazioni sulle chiavi di cifratura, in particolare quelle sulla chiave comune a diversi modelli; inoltre le chiavi sono conservate in diverse componenti interne del sistema di sicurezza Volkswagen e i ricercatori non hanno svelato quali siano queste componenti.

DIGITAL EVENT 18 GIUGNO
Think Digital Summit: tecnologie e trend verso una nuova normalità
Cloud
Sicurezza

Ciononostante, Flavio Garcia, che ha guidato il team dell’università di Birmingham, sottolinea la relativita facilità dell’azione di hacking, mentre Timo Kasper di Kasper & Oswald ammette: “Siamo rimasti scioccati: milioni di chiavi che usano le stesse informazioni cifrate; dal punto di vista crittografico è una catastrofe”.

I ricercatori hanno confermato di essere in contatto con la Volkswagen e garantiscono che è in corso uno scambio positivo per approfondire le questioni di sicurezza; inoltre, poiché non sono stati svelati tutti gli elementi dell’hacking portato a termine con successo in sede accademica, ribadiscono che occorrono pirati informatici particolarmente esperti e capaci per sfruttare nel mondo reale le vulnerabilità del sistema keyless.

I recenti modelli, tra cui VW Golf7, con il sistema di apertura e chiusura keyless sono immuni a questa vulnerabilità perché hanno tutti chiavi uniche, non ci sono chiavi condivise.

Al tempo stesso, nessuna casa automobilistica può abbassare la guardia: in un secondo studio, frutto di una seconda dimostrazione, l’università di Birmingham e la Kasper & Oswald hanno scoperto “almeno dieci ulteriori sistemi di hacking molto diffusi” cui i veicoli di altre case automobilistiche sono vulnerabili. I ricercatori sono riusciti ad attaccare un meccanismo di crittografia chiamato HiTag2, usato da milioni di veicoli in tutto il mondo nonostante sia vecchio di molti anni. Qui bastano una radio e un computer per estrarre le chiavi crittografiche. Il produttore di chip che ha installato in passato il sistema HiTag2 ha replicato ricordando che a partire dal 2009 questo meccanismo è stato gradualmente sostituito con sistemi più sicuri e che oggi, teoricamente, nessun prodotto nuovo lo usa più.