Sicherheitsforscher berichten, sie hätten einen Konstruktionsfehler entdeckt, der es ihnen ermöglichte, einen Tesla mit einem Flipper Zero zu kapern umstrittenes 169-Dollar-Hacking-Tool. Partner Tommy Mysk und Talal Haj Bakry von Mysk Inc. sagte, der Angriff sei so einfach wie das Durchwischen der Anmeldeinformationen eines Tesla-Besitzers, das Öffnen der Tesla-App und das Wegfahren. Das Opfer hatte keine Ahnung, dass es sein 40.000-Dollar-Fahrzeug verloren hatte. Mysk sagte, der Exploit dauerte Minuten, und um zu beweisen, dass alles funktionierte, stahl er sein eigenes Auto.
Dabei handelt es sich nicht um „Hacking“ im Sinne eines Einbruchs in Software, sondern um einen Social-Engineering-Angriff, der einen Benutzer dazu verleitet, seine Daten preiszugeben. Mit einem Flipper richteten die Forscher ein WLAN-Netzwerk namens „Tesla Guest“ ein, den Namen, den Tesla für seine Gastnetzwerke in Servicezentren verwendet. Mysk Dann erstellte er eine Website, die wie die Anmeldeseite von Tesla aussieht.
Der Vorgang ist einfach. In diesem Szenario könnten Hacker das Netzwerk in der Nähe einer Ladestation ausstrahlen, wo ein gelangweilter Fahrer möglicherweise nach Unterhaltung sucht. Das Opfer stellt eine Verbindung zum WLAN-Netzwerk her und gibt seinen Benutzernamen und sein Passwort auf der gefälschten Tesla-Website ein. Mit den Zugangsdaten meldet sich der Hacker dann bei der echten Tesla-App an, wodurch ein Zwei-Faktor-Authentifizierungscode ausgelöst wird. Das Opfer gibt diesen Code auf der gefälschten Website ein und der Dieb erhält Zugriff auf sein Konto. Sobald Sie bei der Tesla-App angemeldet sind, können Sie einen „Telefonschlüssel“ einrichten, mit dem Sie das Auto über Bluetooth mit einem Smartphone entsperren und steuern können. Von da an gehört das Auto Ihnen.
Sie können Mysks Demonstration des Angriffs im Video unten sehen.
Entsprechend Mysk, Tesla benachrichtigt Benutzer nicht, wenn neue Schlüssel erstellt werden, sodass das Opfer nicht weiß, dass sie kompromittiert wurden. Mysk sagte, die Bösewichte müssten das Auto auch nicht sofort stehlen, da die App Ihnen den physischen Standort des Fahrzeugs anzeigt. Der Tesla-Besitzer könnte das Auto vollständig aufladen und losfahren, um einkaufen zu gehen oder vor seinem Haus parken. Der Dieb beobachtete einfach mithilfe der App den Standort des Autos und kam dann im passenden Moment vorbei und fuhr weg.
„Das bedeutet, dass ein Besitzer sein Tesla-Fahrzeug verlieren könnte, wenn seine E-Mail-Adresse und sein Passwort durchgesickert sind. Das ist verrückt“, sagte Tommy Mysk. „Phishing- und Social-Engineering-Angriffe sind heutzutage weit verbreitet, insbesondere mit dem Aufkommen von KI-Technologien, und verantwortungsbewusste Unternehmen müssen solche Risiken in ihren Bedrohungsmodellen berücksichtigen.“
Wenn Sie einen Tesla kaufen, stellt Ihnen das Unternehmen eine physische Schlüsselkarte für das Auto zur Verfügung. Der Bedienungsanleitung des Tesla Model 3 sagt: „Die Schlüsselkarte wird verwendet, um Telefonschlüssel für die Verwendung mit Model 3 zu ‚authentifizieren‘ und um andere Schlüssel hinzuzufügen oder zu entfernen.“ Als Mysk diesen Exploit jedoch ausprobierte, schien es, dass das nicht stimmte.
Laut Mysk hat er die Schwachstelle mehrfach mit seinem eigenen Tesla getestet. Mysk sagte, er habe ein frisch zurückgesetztes iPhone verwendet, das noch nie zuvor mit seinem Auto gekoppelt worden sei, und er habe sichergestellt, dass keine Verbindung zwischen diesem Telefon und seiner tatsächlichen Identität über die Apple-ID oder IP-Adresse bestehe. Mysk sagte, er sei in der Lage gewesen, mehrmals einen Telefonschlüssel zu erstellen, ohne Zugriff auf die physische Schlüsselkarte des Tesla zu haben.
Mysk sagte, er habe Tesla über sein Schwachstellen-Meldeprogramm kontaktiert, aber das Unternehmen antwortete, dass dies kein wirkliches Problem sei. Er teilte eine Kopie des Austauschs mit Gizmodo. „Wir haben dies untersucht und festgestellt, dass dies das beabsichtigte Verhalten ist“, sagte Tesla in der E-Mail. „Im Abschnitt „Telefonschlüssel“ der Seite des Benutzerhandbuchs, auf die Sie verlinkt haben, wird nicht erwähnt, dass zum Hinzufügen eines Telefonschlüssels eine Schlüsselkarte erforderlich ist.“
Tesla, das Fragen der Medien normalerweise ignoriert, reagierte nicht sofort auf eine Bitte um Stellungnahme.
„Die Bestätigung des Tesla-Produktsicherheitsteams, dass dies das ‚beabsichtigte Verhalten‘ ist, ist absurd“, sagte Mysk. „Das Design zum Koppeln einer Telefontaste ist eindeutig auf Kosten der Sicherheit sehr einfach.“
Laut Mysk scheint die physische Schlüsselkarte nur zur „Authentifizierung“ des Telefonschlüssels als ausfallsicherer Mechanismus erforderlich zu sein. In Mysks Tests konnte er die Telefontaste einrichten, wenn er in der Nähe des Autos stand oder im Auto saß. Wenn das Auto zu weit entfernt war, schlug der Einrichtungsvorgang fehl und die App fragte nach der physischen Schlüsselkarte. Aber solange er in der Nähe war, sagte Mysk, könne er ohne die Schlüsselkarte einen neuen Telefonschlüssel hinzufügen.
„Bei Teslas aktuellem Design kann ein Angreifer, wenn er den Benutzernamen und das Passwort des Opfers hat, mit dem Fahrzeug des Opfers davonfahren“, sagte Mysk. „Wenn ein Opfer dazu verleitet wird, seine Identität preiszugeben, sollte es nicht alles verlieren. Sie sollten ihr Auto nicht verlieren.“
Der Flipper Null ist ein umstrittenes Gerät, das für Bastler, Hacker und Leute entwickelt wurde, die sie stoppen wollen. Es ist wie ein digitales Schweizer Taschenmesser, mit einem Vielzahl von drahtlosen Konnektivitätsfunktionen mit denen Sie mit anderen Geräten spielen (und in diese eindringen) können. Kürzlich erklärte der Mitbegründer von Flipper gegenüber Gizmodo, dass der Sinn des Geräts darin besteht, zu funktionieren Enthüllen Sie die schlechten Sicherheitspraktiken großer Technologieunternehmen. Es ist jedoch erwähnenswert, dass es eine Vielzahl anderer kostengünstiger Geräte gibt, mit denen Sie diese Tesla-Sicherheitslücke auf genau die gleiche Weise ausnutzen können.
Für Tesla wäre es nicht schwer, dieses Problem zu lösen. Musk sagte, das Unternehmen sollte die Authentifizierung von Schlüsselkarten vor dem Hinzufügen von Telefonschlüsseln verpflichtend machen und Tesla sollte Benutzer benachrichtigen, wenn neue Schlüssel erstellt werden. Aber ohne Maßnahmen seitens des Unternehmens könnten Tesla-Besitzer auf der Strecke bleiben.
Manchmal vermittelt eine elegante, schicke Computerschnittstelle eine Illusion von Sicherheit, aber in den meisten Fällen machen uns die zusätzlichen Komplexitätsebenen anfälliger. Vor 20 Jahren hatten Autodiebe grundsätzlich zwei Möglichkeiten: den Schlüsselbund des Fahrers zu ergattern oder das Fahrzeug kurzzuschließen. Aber wenn Ihr Autoschlüssel aus einer Ansammlung von Einsen und Nullen besteht, kann es chaotisch werden.