Sicherheitsforscher berichten, sie hätten einen Konstruktionsfehler entdeckt, der es ihnen ermöglichte, einen Tesla mithilfe eines Flipper Zero zu kapern umstrittenes Hacking-Tool für 169 US-Dollar. Partner Tommy Mysk und Talal Haj Bakry von Mysk Inc. sagte, der Angriff ist so einfach wie die Anmeldeinformationen eines Tesla-Besitzers durchzulesen, die Tesla-App zuöffnen und wegzufahren. Das Opfer hatte keine Ahnung, dass es sein 40.000 US-Dollar teures Fahrzeug verloren hatte. Mysk sagte, dass die Exploit-Aktion nur Minuten dauerte, und um zu beweisen, dass alles funktioniert er hat sein eigenes Auto gestohlen
Dabei handelt es sich nicht um „Hacking“ im Sinne eines „Einbruchs“ in die Software, sondern um einen Social-Engineering-Angriff, der einen Benutzer dazu verleitet, die Software zu übergeben ihre Informationen. Mit einem Flipper richten die Forscher ein WLAN-Netzwerk mit dem „Tesla Guest “ ein, der Name, den Tesla für seinen Gast verwendet Netzwerke in Servicezentren Mysk Anschließend erstellte ich eine Website, die wie die Anmeldeseite von Tesla aussieht.
Der Prozess ist einfach. In diesem Szenario könnten Hacker das Netzwerk in der Nähe einer Ladestation ausstrahlen, nach der ein gelangweilter Fahrer suchen könnte Unterhaltung. Das Opfer verbindet sich mit dem WiFi-Netzwerk und gibt seinen Benutzernamen und Passwort auf der gefälschten Tesla-Website ein. Der Hacker verwendet dann die Anmeldeinformationen, um sich bei der echten Tesla-App anzumelden, was einen Zwei-Faktor-Authentifizierungscode auslöst. Das Opfer gibt diesen Code in die Fälschung ein Website, und der Dieb erhält Zugriff auf seinenKonto „Schlüssel“, mit dem Sie das Auto über Bluetooth mit einem Smartphone entriegeln und steuern können. Von da an gehört das Auto Ihnen.
Sie können Mysks Demonstration des Angriffs im Video unten sehen
Laut Mysk„Tesla benachrichtigt Benutzer nicht, wenn neue Schlüssel erstellt werden, damit das Opfer nicht weiß, dass sie kompromittiert wurden“, sagte Mysk Bösewichte müssten das Auto auch nicht sofort stehlen, denn die App zeigt Ihnen den physischen Standort des Fahrzeugs an Der Tesla-Besitzer könnte das Auto vollständig aufladen und losfahren, um einzukaufen, oder vor seinem Haus parken. Der Dieb würde einfach dabei zusehen Mit der App den Standort des Autos ermitteln und dann im passenden Moment anfahren und losfahren
„Das bedeutet, dass ein Besitzer mit einer geleakten E-Mail-Adresse und einem Passwort sein Tesla-Fahrzeug verlieren könnte. Das ist verrückt“, sagte Tommy Mysk. „Phishing.“ und Social-Engineering-Angriffe sind heutzutage, besonders mit dem Aufkommen der KI-Technologien an der Tagesordnung, und verantwortungsbewusste Unternehmen müssen solche Risiken einkalkulieren ihre Bedrohungsmodelle.“
Wenn Sie einen Tesla kaufen, stellt Ihnen das Unternehmen eine physische Schlüsselkarte für das Auto zur Verfügung Tesla Model 3 Bedienungsanleitung sagt „Die Schlüsselkarte wird zur„Authentifizierung“vonTelefonschlüsselnverwendet,um mit Modell Als Mysk diesen Exploit jedoch versuchte, schien es, dass das nicht der Wahrheit entsprach.
🎬 With the rise of social engineering and phishing attacks thanks to #AI, Tesla fails to recognize them as a threat. We created a short demo showing the limits of what an attacker can do with the stolen credentials of a Tesla account.
SPOILER ALERT: No limits
Tesla says it's… pic.twitter.com/CTzOjvpjke
— Mysk 🇨🇦🇩🇪 (@mysk_co) March 7, 2024
Laut Mysk testete er die Sicherheitslücke mehrmals mit seinem eigenen Tesla. Mysk sagte, er habe ein frisch zurückgesetztes iPhone verwendet, das nie zuvor zurückgesetzt worden sei war bereits zuvor mit seinem Auto gekoppelt und stellte sicher, dass keine Verbindung zwischen diesem Telefon und seiner echten Identität über die Apple-ID bestand oder IP-Adresse.Mysk sagte, er könne mehrmals einen Telefonschlüssel erstellen, ohne Zugriff auf die physische Schlüsselkarte von Tesla zu haben.
Mysk sagte, er habe Tesla über sein Schwachstellen-Meldeprogramm kontaktiert, aber das Unternehmen antwortete, dass dies kein echtes Problem sei. Er teilte ein Problem mit Kopie des Austauschs mit Gizmodo. „Wir haben untersucht und festgestellt, dass dies das beabsichtigte Verhalten ist“, sagte Tesla in der E-Mail. Im Abschnitt „Telefonschlüssel“ der von Ihnen verlinkten Seite des Benutzerhandbuchs wird nicht erwähnt, dass zum Hinzufügen eines Telefonschlüssels eine Schlüsselkarte erforderlich ist Telefontaste“.
Tesla, das normalerweise Fragen der Medien ignoriert, reagierte nicht sofort auf eine Bitte um Stellungnahme.
„Die Bestätigung des Tesla-Produktsicherheitsteams, dass dies das ‚beabsichtigte‘ Verhalten ist, ist absurd“, sagte Mysk. „Das Design, mit dem eine Telefontaste gekoppelt werden soll wird eindeutig auf Kosten der Sicherheit sehr einfach gemacht.“
Laut Mysk scheint es, dass die physische Schlüsselkarte nur zur „Authentifizierung“ des Telefonschlüssels als ausfallsicherer Mechanismus erforderlich ist Mysks Tests zeigten, dass er die Telefontaste einrichten konnte, wenn er in der Nähe des Autos stand oder darin saß War er zu weit entfernt, scheiterte der Einrichtungsvorgang und die App forderte die physische Schlüsselkarte an. Aber so lange er war Ganz in der Nähe sagte Mysk, er könne ohne Schlüsselkarte einen neuen Telefonschlüssel hinzufügen.
„Mit Teslas aktuellem Design kann ein Angreifer, wenn er den Benutzernamen und das Passwort des Opfers hat, mit dem Fahrzeug des Opfers davonfahren“, sagte Mysk . „Wenn ein Opfer ausgetrickst wird, seine Ausweise preiszugeben, sollen sie nicht alles verlieren. Sie sollten nicht ihr Auto verlieren.“
Die Flipper Null ist ein umstrittenes Gerät,das für Hobbyisten, Hacker und Menschen, die sie aufhalten entworfen wurden. Es ist wie ein digitales Schweizer Taschenmesser, mit a Vielzahl von drahtlosen Konnektivitätsfunktionen Damit können Sie mit anderen Geräten spielen (und in diese einbrechen). Kürzlich erklärte der Mitbegründer von Flipper Gizmodo den ganzen Sinn und Zweck des Geräts ist zu die schlechten Sicherheitspraktiken großer Technologiekonzerne aufdecken. Es ist jedoch erwähnenswert, dass es eine Vielzahl anderer kostengünstiger Geräte gibt, mit denen Sie diese Tesla-Schwachstelle im Internet ausnutzen können genauso .
Für Tesla wäre es nicht schwer, dieses Problem zu lösen. Musk sagte, das Unternehmen sollte die Authentifizierung per Schlüsselkarte zur Pflicht machen, bevor ein Telefon hinzugefügt wird Schlüssel, und Tesla sollte Benutzer benachrichtigen, wenn neue Schlüssel erstellt werden. Aber ohne Maßnahmen seitens des Unternehmens könnten Tesla-Besitzer auf der Strecke bleiben.
Manchmal vermittelt eine elegante, schicke Computerschnittstelle eine Illusion von Sicherheit, aber in den meisten Fällen machen uns die zusätzlichen Komplexitätsebenen zu mehr verletzlich. Vor 20 Jahren hatten Autodiebe grundsätzlich zwei Möglichkeiten: sich den Schlüsselbund des Fahrers zu schnappen oder das Fahrzeug kurzzuschließen . Aber wenn Ihre Autoschlüssel aus einer Reihe von Einsen und Nullen besteht, kann es chaotisch werden.
