Nicht nur Telefonhersteller vernageln ihre Geräte. Der Hacker Sick Codes zeigt, wie Root-Zugriff auf die Systeme der Traktoren zu erlangen ist.
Wenn man an Hacks denkt, bei denen es darum geht, dem Käufer und Besitzer eines Gerätes mehr Kontrolle oder Zugriffsberechtigungen darüber zu verschaffen, denkt man normalerweise nicht an Traktoren oder Mähdrescher, sondern an Smartphones und vielleicht auch Autos. Doch auch kommerziell genutzte Maschinen sind von der Computerisierung betroffen und deren Besitzer sind es satt, nur teilweise eine Kontrolle über die teuer bezahlten und für sie enorm wichtigen Geräte zu haben. Der Hacker Slick Codes hat daher auf der DefCon Security Conference einen Jailbreak für bestimmte Traktoren gezeigt.
Elegant ist der Hack aber nicht wirklich. Slick Codes musste dazu an den Boards der Computer aus den Traktoren herumlöten und zusätzliche Controller einbauen, um die Authentifizierung als John-Deere-Filiale zu umgehen und so Zugriff zu erhalten. Gefunden hat er unter anderem 1,5GB an Logs, die den Autorisierten Händlern wohl eine schnellere oder einfachere Diagnose ermöglichen sollen - aber auch einen weiteren möglichen Angriffsweg für den Zugriff, der timingbasiert ist.
Das Problem John Deere
Landwirte haben ein Problem mit ihren modernen Maschinen: Die Hersteller nutzen die Computerisierung von Traktoren, Mähdreschern und Co. auch dazu, die Geräte durch digitale Schlösser vor Manipulation zu sichern. Und mit Manipulationen meinen die Hersteller nicht einfach nur, dass Unberechtigte keinen Zugriff auf System und Gerät haben, sondern auch ganz gezielt die Besitzer, die vielleicht eine ihrer gekauften Maschinen warten, reparieren oder auch einfach nur ein Softwareupdate installieren oder verzögern wollen. Die Maßnahmen des Herstellers John Deere, einem der führenden Hersteller weltweit, sind so hart, dass das Unternehmen immer wieder im Right-to-Repair-Movement in den USA noch vor Apple als Negativbeispiel genannt wird und sich bereits vor Gericht gegen Sammelklagen verteidigen muss.
Viele Landwirte sind verärgert, wenn sie selbst Kleinigkeiten nicht selbst reparieren können, sondern auf einen autorisierten Techniker warten müssen. Das ist bei kurzen Erntefenstern schlecht, denn da können bereits wenige Tage Wartezeit bedeuten, dass die Ernte verdorben ist. Doch auch ohne ein Reparaturbedürfnis kann es ein Problem geben: John Deere liefert auch schon mal OTA-Updates aus, die automatisch ohne Nachfrage installiert werden. Ein Fehler im Update kann bedeuten, dass die Maschine am nächsten Morgen nicht mehr zu benutzen ist.
Die eigentliche Motivation von Slick Codes
Letztes Jahr hatte Slick Codes bereits von erfolgreichen Angriffen auf die Systeme landwirtschaftlicher Maschinen berichtet - allerdings vor dem Hintergrund von Sicherheitsproblemen durch veraltete Betriebssysteme und sonstiger Software. Slick Codes wollte damit erreichen, dass die Landwirtschaftsinfrastruktur nicht angegriffen werden konnte, zum Beispiel durch Ransomware auf Traktoren. Doch das hatte einen Nebeneffekt: Die Hersteller gaben Updates heraus, die die Zugriffe noch mehr erschwerten - Slick Codes sah sich deshalb der Kritik ausgesetzt, Herstellern wie John Deere dabei zu helfen, nur noch autorisierte Händler an den Geräten arbeiten zu lassen.
Quelle; golem
Wenn man an Hacks denkt, bei denen es darum geht, dem Käufer und Besitzer eines Gerätes mehr Kontrolle oder Zugriffsberechtigungen darüber zu verschaffen, denkt man normalerweise nicht an Traktoren oder Mähdrescher, sondern an Smartphones und vielleicht auch Autos. Doch auch kommerziell genutzte Maschinen sind von der Computerisierung betroffen und deren Besitzer sind es satt, nur teilweise eine Kontrolle über die teuer bezahlten und für sie enorm wichtigen Geräte zu haben. Der Hacker Slick Codes hat daher auf der DefCon Security Conference einen Jailbreak für bestimmte Traktoren gezeigt.
Elegant ist der Hack aber nicht wirklich. Slick Codes musste dazu an den Boards der Computer aus den Traktoren herumlöten und zusätzliche Controller einbauen, um die Authentifizierung als John-Deere-Filiale zu umgehen und so Zugriff zu erhalten. Gefunden hat er unter anderem 1,5GB an Logs, die den Autorisierten Händlern wohl eine schnellere oder einfachere Diagnose ermöglichen sollen - aber auch einen weiteren möglichen Angriffsweg für den Zugriff, der timingbasiert ist.
Das Problem John Deere
Landwirte haben ein Problem mit ihren modernen Maschinen: Die Hersteller nutzen die Computerisierung von Traktoren, Mähdreschern und Co. auch dazu, die Geräte durch digitale Schlösser vor Manipulation zu sichern. Und mit Manipulationen meinen die Hersteller nicht einfach nur, dass Unberechtigte keinen Zugriff auf System und Gerät haben, sondern auch ganz gezielt die Besitzer, die vielleicht eine ihrer gekauften Maschinen warten, reparieren oder auch einfach nur ein Softwareupdate installieren oder verzögern wollen. Die Maßnahmen des Herstellers John Deere, einem der führenden Hersteller weltweit, sind so hart, dass das Unternehmen immer wieder im Right-to-Repair-Movement in den USA noch vor Apple als Negativbeispiel genannt wird und sich bereits vor Gericht gegen Sammelklagen verteidigen muss.
Viele Landwirte sind verärgert, wenn sie selbst Kleinigkeiten nicht selbst reparieren können, sondern auf einen autorisierten Techniker warten müssen. Das ist bei kurzen Erntefenstern schlecht, denn da können bereits wenige Tage Wartezeit bedeuten, dass die Ernte verdorben ist. Doch auch ohne ein Reparaturbedürfnis kann es ein Problem geben: John Deere liefert auch schon mal OTA-Updates aus, die automatisch ohne Nachfrage installiert werden. Ein Fehler im Update kann bedeuten, dass die Maschine am nächsten Morgen nicht mehr zu benutzen ist.
Die eigentliche Motivation von Slick Codes
Letztes Jahr hatte Slick Codes bereits von erfolgreichen Angriffen auf die Systeme landwirtschaftlicher Maschinen berichtet - allerdings vor dem Hintergrund von Sicherheitsproblemen durch veraltete Betriebssysteme und sonstiger Software. Slick Codes wollte damit erreichen, dass die Landwirtschaftsinfrastruktur nicht angegriffen werden konnte, zum Beispiel durch Ransomware auf Traktoren. Doch das hatte einen Nebeneffekt: Die Hersteller gaben Updates heraus, die die Zugriffe noch mehr erschwerten - Slick Codes sah sich deshalb der Kritik ausgesetzt, Herstellern wie John Deere dabei zu helfen, nur noch autorisierte Händler an den Geräten arbeiten zu lassen.
Quelle; golem
