Hacking del vehículo conectado

Introducción: hacia el vehículo autónomo

Desde finales del siglo XIX y principios del XX y con la creación de los primeros automóviles "modernos" que conocemos, el sector de la automoción se va a convertir en una fuente constante de investigación e innovación: mejora de las prestaciones de velocidad y consumo, desarrollo de nuevos sistemas de seguridad a bordo (cinturones de seguridad, ABS, etc.), nuevos motores (diésel, gasolina, GLP, bioetanol, flex fuel, híbridos, 100% eléctricos), etc.

A finales del siglo XX apareció una tendencia (¿una moda?) llamada "tuning", con el objetivo de personalizar (con más o menos éxito) y/o hacer más eficiente el coche modificándolo mecánicamente (eliminando la "restricción" del fabricante). Volveremos sobre este punto más adelante en este capítulo porque es una de las dos motivaciones para hackear el automóvil.

A principios del siglo XXI comenzó la era de los vehículos conectados y la de los vehículos autónomos se hizo posible gracias al desarrollo de numerosas tecnologías:

Vehículo conectado y autónomo

Un vehículo conectado es un vehículo que tiene sistemas de comunicación inalámbricos a bordo que intercambian información con su entorno, pero no exclusivamente.

De esta manera, la siguiente figura presenta el concepto básico del vehículo conectado que comprende, entre otros, los siguientes elementos:

Presentación del vehículo conectado (fuente: Broadcom 2013)

El vehículo autónomo, por su parte, es un vehículo diseñado para poder circular total o parcialmente sin la intervención de un conductor.

Actualmente existen cinco niveles de autonomía:

El vehículo conectado, una enorme superficie de ataque

Cuando un atacante estudia un vehículo conectado (o autónomo de nivel 1 y 2) al nivel de su superficie de ataque, primero observará qué intercambios de datos realiza el vehículo objetivo con su entorno y se documentará tanto como sea posible sobre estos sistemas (de una manera similar a la information gathering):

Seguidamente, el atacante examinará su interior:

Principales vectores de ataque de un vehículo conectado

La figura de arriba muestra los principales vectores de ataque. Desde el punto de vista "externo" del vehículo, podemos destacar el sistema Wi-Fi, el Bluetooth, el sistema GSM, el sistema de apertura y cierre centralizado activo (RKE - Remote Keyless Entry) o pasivo (PKES - Passive Keyless Entry and Start) o incluso el sistema de control de la presión de los neumáticos (TPMS - Tire Pressure Monitoring System, obligatorio en todos los vehículos nuevos en Europa desde 2014).

Desde un punto de vista interno, podemos citar principalmente el USB y la toma...

Motivaciones del hacking del vehículo conectado

Los ataques tienen dos motivaciones principales:

Ejemplo del hacking del infoentretenimiento procedente de la compañía israelí Argus Cyber Security

Los sistemas internos del vehículo conectado

Desde el punto de vista informático, un vehículo conectado (o autónomo) es un conjunto de ordenadores/ECU conectados entre sí y que se comunican a través de varias redes integradas.

Ejemplo de las funciones y del ECU en un vehículo conectado

Aquí los ordenadores/computadoras se llamarán ECU, acrónimo de Electronic Control Unit (también encontramos el término ECM - Electronic Control Module). Sirven para controlar todo el equipamiento del vehículo, desde el motor hasta las luces. Las ECU se implementan en vehículos desde finales de la década de 1970 y principios de la de 1980.

Un vehículo conectado se compone de un gran número de funciones y por lo tanto de ECU, como se muestra en la figura anterior. Su número depende directamente del número de funciones incorporadas por el fabricante y, por lo tanto, de la gama del vehículo (gama alta o baja). En 2016 hablábamos de un mínimo de 70-80 ECU en un vehículo de gama baja y más de 150 ECU para un vehículo de gama alta o híbrido.

Cada fabricante tiene sus propias arquitecturas de vehículos, y dentro de una misma gama de un fabricante, dependiendo por ejemplo de la motorización (gasolina, diésel o híbrida) y para un mismo nivel de acabado y año de fabricación...

Ataque físico de la ECU: chiptuning o remapping

El "chiptuning" o "remapping" es la versión informatizada del tuning de finales del siglo XX y tiene como objetivo modificar los parámetros del vehículo. Esta modificación se refiere principalmente al cambio del mapeo original del ECM, a través de un puerto específico, para mejorar el rendimiento y la eficiencia del motor, pero también se puede utilizar para restablecer las llaves de encendido cuyos datos se almacenan en la memoria de la ECU

Este hackeo se lleva a cabo en varias etapas:

Ataque backdoor: la inyección en la red CAN

A diferencia del ataque físico que necesita extraer y abrir la ECU y extraer la EEPROM, el ataque backdoor utiliza la red de a bordo del vehículo y su conector de diagnóstico sin tener que desmontar partes importantes (excepto posiblemente algunas cubiertas de plástico).

Los objetivos del ataque backdoor incluyen los objetivos del chiptuning (es decir, optimización del motor y remapeado) pero son más globales, ya que este ataque teóricamente permite el acceso a todos los sistemas del vehículo: encender varias luces de advertencia, desbloquear las puertas mientras se conduce, falsificar el tacómetro, arrancar el motor, recuperar datos GPS, desarrollar nuevas funcionalidades, etc.

Este hackeo se lleva a cabo en varias etapas:

1. Presentación del OBD

El OBD es el acrónimo inglés de On-Board Diagnostics, o Diagnóstico de a bordo en castellano. OBD es un sistema obligatorio para el autodiagnóstico del vehículo y para informar de averías a fabricantes y mecánicos. El estándar OBD1 (SAE J1969) se implementó en 1969. El primer fabricante en utilizarlo fue Volkswagen con un ordenador de a bordo para el control y mantenimiento de los sistemas de reducción de emisiones contaminantes. OBD evolucionó en la década de 1990 (OBD1.5) hasta llegar al estándar actual (ODB2) que describe el conector utilizado, los protocolos integrados y los códigos de error.

Como se muestra en la siguiente figura, el OBD2 se ha vuelto gradualmente obligatorio en todo el mundo, para las principales motorizaciones.

Fechas de implantación del OBD2

Tenga en cuenta que existe el E-OBD, acrónimo de European OBD, que es una ligera modificación del estándar OBD2 con la adición...

Otros ataques del vehículo conectado

1. Aplicación mal securizada: el caso Nissan Leaf de 2016

El modelo Leaf es un sedán compacto 100 % eléctrico lanzado en 2010 por Nissan. Entre 2010 y 2014 se vendieron alrededor de 150.000 vehículos en todo el mundo y el Leaf fue el vehículo eléctrico más vendido en Europa en 2014. El precio del modelo básico (con baterías de 24 kWh) fue de 23.390 Euros en 2016. El Leaf también tiene una dimensión "conectada", ya que viene con una aplicación "compañera" para smartphones Android e iOS. La primera versión de esta aplicación, llamada Nissan Connect EV, se comunicaba con el vehículo y permitía, en particular, ver el nivel de carga de su bloque de baterías, analizar el rendimiento de conducción (nivel de aceleración y frenado), así como encender la calefacción/sistema de aire acondicionado de forma remota, cuando el vehículo está parado.

Nissan Leaf, modelo 2010, con su aplicación Nissan Connect EV

En enero de 2016, Troy Hunt (https://www.troyhunt.com), experto en seguridad informática, prueba la aplicación y el Leaf de un amigo noruego. Utiliza la aplicación Fiddler en su smartphone, que es un proxy que permite interceptar, analizar e incluso modificar sobre la marcha todas las solicitudes e intercambios entre un teléfono inteligente y un servidor web (funciona como WebScarab), para analizar el tráfico de Nissan Connect EV. Todas sus pruebas y resultados están disponibles en su sitio web, en la siguiente dirección: https://www.troyhunt.com/controlling-vehicle-features-of-nissan/?m=1

Por lo tanto, cuando el usuario solicita el estado de carga de la batería de su Leaf, la aplicación envía una petición (consulte la siguiente figura) al servidor web de Nissan que, a su vez, se comunica con el Nissan Leaf cuyo VIN está referenciado (el nombre del servidor y el VIN han sido ofuscados por Troy Hunt por razones de privacidad).

Consulta con el método GET sobre el estado de la batería (fuente: Troy Hunt)

Y la respuesta del estado de la batería de este Leaf se obtiene en formato JSON. Esta respuesta es fácilmente comprensible:

Formato JSON de la respuesta a la consulta con el método GET (fuente: Troy...