Onderzoekers van Argus Cyber Security vonden de beveiligingslekken in de Bosch Drivelog Connector OBD-II-dongel. Het apparaat monitort de auto en geeft een waarschuwing als er iets mis mee is. De dongel wordt aangesloten op de OBDII-poort van de auto.
De dongel werkt via een smartphone-app. De onderzoekers vonden een informatielek in het authenticatieproces tussen het apparaat en de applicatie.
Als er een verbinding wordt opgezet tussen de twee, moet de gebruiker een pincode invoeren. Kloppen de pincode en het certificaat, dan wordt de verbinding opgezet. Een aanvaller kan echter een verbinding opzetten met de dongel, zodat deze een certificaat doorstuurt. Vervolgens kan de pincode worden gekraakt door oneindig combinaties te blijven proberen. Daarna is het alsnog mogelijk om verbinding te maken met de dongel.
Uiteindelijk was het mogelijk om de motor van een rijdende auto uit te schakelen. De onderzoekers hebben Bosch gewaarschuwd, waarop de fabrikant de problemen verhielp. Er zijn extra beveiligingsmaatregelen doorgevoerd en in de toekomst wordt het authenticatieproces via een firmware-update verbeterd.
Dongel
De Bosch Drivelog Connector OBD-II-dongel wordt normaal gesproken gebruikt om de “gezondheid” van de auto in de gaten te houden. In een applicatie geeft het apparaat aan wat er precies mis is met de auto, in begrijpelijke taal.
Aan de hand daarvan kan besloten worden om wel of niet naar de garage te gaan. Bij pech is het mogelijk om via de applicatie de sleepdienst te bereiken, waarbij automatisch de locatie en het probleem worden doorgestuurd.
Daarnaast geeft de dongel informatie over een reis, bijvoorbeeld de duur van de reis, de maximale en gemiddelde snelheid, en hoeveel brandstof er gemiddeld verbruikt is. Is de auto geparkeerd, dan is via de applicatie te zien waar deze precies staat.