Хакеры могут удаленно разблокировать и завести двигатели автомобилей Honda
Изображение: emrecan arık (unsplash)
Группа ИБ-специалистов выяснила, что несколько современных моделей автомобилей японского автопроизводителя Honda имеют уязвимый механизм скользящего года, за счет чего злоумышленники могут удалённо разблокировать машины и запустить двигатель, сообщает издание Bleeping Computer.
Выявленная уязвимость получила название Rolling-PWN. С её помощью хакеры могут проводить атаки при перехвате кодов от брелока к автомобилю. Перехваченные коды могут быть использованы для разблокировки и запуска двигателя машины.
По словам исследователей, успешные тесты атаки такого типа были проведены на множестве моделей автомобилей Honda в течение последнего года. Наличие уязвимости подтверждено на популярных моделях:
- Civic 2012.
- X-RV 2018.
- C-RV 2020.
- Accord 2020.
- Odyssey 2020.
- Inspire 2021.
- Fit 2022.
- Civic 2022.
- VE-1 2022.
- Breeze 2022.
Эксперты отмечают, что система бесключевого доступа в современных транспортных средствах базируется на скользящих кодах, формируемых алгоритмом генератора псевдослучайных чисел (PRNG), что позволяет гарантировать применение уникальных строк при каждом нажатии кнопки брелока автовладельцем.
В машинах есть счетчик, который проверяет хронологию сгенерированных кодов, увеличивая его при получении нового кода. Однако принимаются нехронологические коды для случаев случайного нажатия брелока или когда автомобиль находится вне зоны действия.
Исследователи обнаружили, что счетчик в автомобилях Honda ресинхронизируется, когда автомобиль получает команды блокировки/разблокировки в определенной последовательности. Это заставляет автомобиль принимать коды из предыдущего сеанса, которые должны были быть признаны недействительными.
Злоумышленник, имеющий программно-определяемое радиооборудование (SDR), способен перехватить предыдущую последовательность кодов и воспроизвести их позже, чтобы разблокировать автомобиль и запустить его двигатель.
Уязвимость отслеживается как CVE-2021-46145 (средний уровень серьёзности) и описывается в качестве проблемы, «связанной с недействующим скользящим кодом и повторной синхронизацией счетчика» в подсистеме брелков Honda.
