ADAC: Studie Fernsteuer-Apps fürs Auto 2018
2018 hat der ADAC mal einen Blick auf die Smartphone-Apps für die Fernsteuerung von Autos geworfen:
Immer mehr Autos lassen sich per Smartphone fernsteuern und überwachen. Der Besitzer kann abfragen, ob Türen und Fenster geschlossen sind, teilweise auch Tankfüllstand, Kilometerstand, nächsten Service, außerdem wo das Auto steht oder ob es ein bestimmtes Gebiet verlassen hat. […]
Interessant sind die Ergebnisse im Detail:
Anmeldeinformationen in der URL
Die BMW Connected App kommuniziert mit mehreren Endpunkten in der Cloud. Damit sich der Benutzer nur einmal in der App anmelden muss, werden die Anmeldeinformationen zuerst umgewandelt. Leider wurde eine unsichere Methode für die Übermittlung dieser Anmeldedaten gewählt, sodass ein Account von einem Angreifer unter Umständen übernommen werden kann oder auch sensible Informationen in den Protokolldateien des Anbieters gespeichert werden, die dort eingesehen werden können.
Übertragung der Anmeldeinformationen in der URL, also als GET-Parameter. Wie oft wird dieser Anfängerfehler eigentlich noch wiederholt?
Schwerwiegende Lücken wurden allerdings keine gefunden oder eventuell übersehen. Abgesehen vom Ergebnis macht mir eher eine andere Entwicklung sorgen: Die Schnittstelle des Fahrzeugs, mit der ich via App auf diverse Funktionen und Informationen zugreifen kann. Anstatt die Angriffsfläche gering zu halten, eröffnen diese unnötigen Komfortfunktionen einem Angreifer ganz neue Möglichkeiten. Vermutlich lässt sich dieser »Service« auch gar nicht komplett deaktivieren – geradeso, also ob man auf einem E-Mail-Server zusätzlich noch einen Webserver laufen hat, den man nicht abstellen kann.
KeePassXC: Auto-Type und Browser-Add-on im Alltag nutzen – Passwörter Teil1
XPrivacy – Android ohne Google?! Teil6
NetGuard Firewall – Android unter Kontrolle Teil4
F-Droid und AFWall+ – Android ohne Google?! Teil4
