Hacktest: veiligheid en privacy van auto's

Ons onderzoek

Dat digitale veiligheid bij auto's extra aandacht nodig heeft, bleek al in 2015. Toen namen beveiligingsonderzoekers de besturing en remmen van een Jeep op afstand deels over. Voor botsveiligheid en het milieu zijn er allerlei wettelijke eisen, maar op digitaal vlak ontbreken die.

Om de huidige stand van zaken te peilen, lieten we samen met buitenlandse consumentenorganisaties een nieuwe Ford Focus en Volkswagen (VW) Polo hacken. De Ford en VW in onze hacktest hebben een stevige ‘buitenmuur’ die de hobby-hacker wel zal tegenhouden.

We huurden ook het beveiligingsbedrijf ContextIS in en dat vond meerdere problemen op het gebied van veiligheid en privacy.

Conclusies

Enkele van de meeste opvallende zaken die vonden op een rij:

Lek in beveiliging software-updates
Het centrale infotainmentsysteem van de VW Polo heeft een beveiliging die alleen officiële updates toestaat. Die beveiliging wisten we te hacken. Als kwaadwillenden dit doen, betekent dat mogelijk dat zij met aangepaste updates andere systemen in de auto kunnen beïnvloeden.

De belangrijkste aandrijfsystemen zoals remmen en versnellen zijn gelukkig goed afgeschermd. Een kwaadwillende hacker kan waarschijnlijk wel onder andere het tractiecontrolesysteem uitschakelen. Dat heeft negatieve gevolgen voor het weggedrag van de auto.

Ook kunnen criminelen met aangepaste updates mogelijk malware als gijzelsoftware installeren.

Lek in bandenspanningcontrole

De communicatie van het systeem voor bandenspanningcontrole van de Ford Focus konden we onderscheppen buiten de auto. Met de unieke identificatiecode die die bevat, zou je de auto kunnen tracken met sensoren langs de weg. Bovendien zijn de bandenspanningswaarden mogelijk beïnvloedbaar.

Een denkbaar misbruikscenario: overvallers volgen je en kunnen je laten stoppen door je auto te laten waarschuwen voor een lekke band.

Ontgrendelsignaal op te nemen

Digitale methodes om auto’s te openen zijn al jaren bekend. Teleurstellend dat een moderne Polo daar vatbaar voor is. Onze onderzoekers konden de ontgrendelsignalen van de afstandsbediening op een apparaatje opslaan, ondanks beveiliging daartegen. Daarmee is de auto later te openen.

Zo’n rolljam-aanval is wel enigszins lastig uitvoerbaar, omdat de crimineel op actie van de eigenaar moet wachten.

Wifi-inloggegevens Fords fabriek

In de Ford Focus troffen we inloggegevens voor het wifi-netwerk van de Amerikaanse productielocatie aan. Een kwaadwillende kan ter plekke mogelijk bij vertrouwelijke gegevens er is een kleine kans dat een buitenstaander bij de fabriek zo ook andere auto’s die van de band rollen digitaal kan binnenkomen.

Externe aansluiting Polo

Achter het VW logo in de grill van de Polo vonden we een digitale aansluiting. Gelukkig bleek de beveiliging voldoende om onze verkennende hackpogingen te weerstaan, maar het is wel vreemde plek voor een aansluiting die het risico op toegang door kwaadwillenden vergroot.

Tips: bescherm je privacy

Op veiligheidsgebied van je auto moet je op de fabrikant vertrouwen. Behalve eventuele updates installeren kun je zelf niet veel doen. Op privacygebied heb je ook een aantal zaken zelf in de hand, vooral bij koop en verkoop. Enkele tips:

• Digitaal schoonmaken
  Geef je auto bij verkoop niet alleen een poetsbeurt, maar schoon ook je gegevens voor zover mogelijk op. Anders kunnen zaken als je adres, contactgegevens en zelfs wifi-inloggegevens achter blijven. Deze troffen we namelijk aan op een tweedehands infotainmentsysteem van een VW Polo.
• Ontkoppel apps.
  Veel auto’s kun je koppelen aan een app. Bijvoorbeeld om te zien waar hij staat of om de laadstatus te zien. Soms werkt de telefoon zelfs als sleutel. Ontkoppel de app en trek de rechten in die je hebt bij verkoop. Gebruik de reset-optie als die er is.
• Resetten bij koop
  Koop je een moderne tweedehands auto, zorg er dan ook voor dat alle rechten en app-toegang van de vorige eigenaar zijn ingetrokken. Anders kan hij/zij je bijvoorbeeld ongemerkt volgen, je auto openen of zelfs ontvreemden.
• Smartphone in huurauto
  Huur je een auto, bedenk je dan of je je telefoon wel wilt verbinden. Doe je dat wel, dan is het verstandig je gegevens te wissen als je de auto inlevert.

Reactie autofabrikanten

We deelden de bevindingen van onze hacktest met Ford en Volkswagen.

Volkswagen

Volkswagen reageerde coöperatief, maar onderneemt geen actie op alle gevonden kwetsbaarheden. Die leiden volgens de fabrikant niet tot direct gevaar voor de inzittenden en het kost een hacker veel moeite om ze te misbruiken.

Op onze geslaagde poging om aangepaste software-updates te installeren, is de reactie van VW dat deze updates niet ongemerkt kritische controlesystemen kunnen beïnvloeden. Toch gaan ze onze bevindingen analyseren met de leverancier van het infotainmentsysteem en mogelijk aanpassingen doen.

Ford

Ook Ford gaf aan digitale veiligheid zeer serieus te nemen en er continu aan te werken om risico’s te verkleinen. Ford ging niet in detail in op alle kwetsbaarheden.

Zo wil het bedrijf geen commentaar geven op de door ons gevonden wifi-inloggegevens en wat het mogelijk voor gevolgen kan hebben als kwaadwillenden die vinden. Dit omdat we niet daadwerkelijk met het Amerikaanse fabrieksnetwerk verbonden hebben en daar ook geen toestemming voor hadden. Ford wil hierover niet verder in gesprek met ons.

Actie nodig

Sommige van de door ons gevonden kwetsbaarheden lijken misschien triviaal of vergezocht, maar uiteindelijk staat naast de privacy de fysieke veiligheid van inzittenden op het spel. Zeker nu auto’s steeds meer zelfrijdend worden, zijn concessies aan de digitale veiligheid uit den boze. Er moet door autofabrikanten dus nog een flinke slag gemaakt worden.

Wij vinden dat er regelgeving moet komen voor met internet verbonden apparaten, waaronder auto’s, zodat privacy en veiligheid gewaarborgd zijn. Die is nu gelukkig wel in de maak; wij houden in de gaten of het belang van de consument hiermee voldoende wordt beschermd.

Ook moet het updatebeleid bij veel fabrikanten op de schop. Producten moeten gedurende hun gebruiksduur ondersteuning krijgen via veiligheids- en functie-updates.

Veel autofabrikanten hebben sowieso nog geen goed proces ontwikkeld om software-updates snel bij de consument te krijgen. Zeker bij een kritiek probleem is dat geen goede zaak.  Ook hierbij houden wij dus de vinger aan de pols.

Lees ook:

• Veiligere apparaten door het updaten van software
• Private lease via de Consumentenbond met het Autolease-collectief

• Het volledige artikel in de Consumentengids (alleen voor leden)