Já falamos por aqui de um mundo distópico bem diferente do de Mad Max, com carros parecidos com eletrodomésticos. Ou com computadores. Isso os tornaria sujeitos a ataques hackers, mas era coisa vista como possível apenas em livros de ficção científica. Não é mais: uma reportagem da Wired mostra que já é possível invadir os sistemas de carros comuns. E controlá-los à distância.
O jornalista Andy Greenberg topou ser cobaia do experimento dos hackers Charlie Miller e Chris Valasek e foi para a estrada sentir como seria um ataque destes. O carro escolhido foi o Jeep Cherokee, apontado pelos hackers como o mais vulnerável, hoje, a esse tipo de ataque. E a descrição é de filme de horror.
A 16 km de distância, eles ligaram o ar-condicionado no máximo, mudaram a estação de rádio e tiraram de Andy o controle do sistema de som (não sem antes colocar na tela uma foto deles dois), ligaram os limpadores de para-brisa e o borrifador de água.
Em seguida, e depois de terem recomendado ao jornalista que não entrasse em pânico, eles desligaram o acelerador e a transmissão. Isso na estrada. Depois o jornalista entrou em um estacionamento vazio e a brincadeira ficou muito pior. E dá para ver em vídeo:
Ainda à distância, sem qualquer conexão física com o Cherokee, Miller e Valasek desligaram o motor, acionaram os freios ou deixaram o carro sem resposta ao pedal, o que levou o jornalista a enfiar o Jeep em uma valeta. A falha de segurança que eles encontraram no sistema Uconnect permite até que eles rastreiem o automóvel, marcando o caminho que ele percorreu.
Longe de querer estragar o sono dos executivos da FCA, a dupla quer alertar para os riscos de segurança a que automóveis altamente conectados podem estar sujeitos. Como o sistema Uconnect, nos EUA, é ligado à internet, eles conseguiram invadir toda a rede de controle do automóvel por ali.
Em outras palavras, eles entram no sistema de som, reescrevem o firmware do chip do sistema e, a partir dali, entram em toda a rede CAN do veículo, ganhando acesso a todos os dispositivos eletrônicos do Jeep. Até a direção estaria sujeita à interferência, mas eles dizem que ainda não conseguiram controlá-la completamente. Apenas quando a ré é acionada.
Como tudo começou
Os resultados do estudo que os dois hackers estão conduzindo serão apresentados na conferência de segurança digital Black Hat, que acontece em Las Vegas entre os dias 1º e 6 de agosto deste ano. Para eles, é a chance de mostrar aos fabricantes que seu alerta anterior não era conversa de nerd.
Em 2013, eles mostraram como um ataque hacker funcionaria em um Ford Escape e em um Toyota Prius, mas tanto a americana quanto a japonesa minimizaram os resultados. Isso porque o ataque foi feito por meio de uma conexão física. Era preciso mostrar que essa conexão não era necessária. E foi o que eles conseguiram agora.
O calibre do perigo
Miller e Valasek dizem que a vulnerabilidade que eles encontraram está presente em veículos equipados com o sistema Uconnect fabricados do final de 2013 até o começo de 2015. Como eles trabalharam em colaboração com a FCA, a empresa já informou a necessidade de uma atualização de sistema, no último dia 16 de julho, e a liberou para download nos casos em que ela é necessária. Aparentemente, o bug só acontece nos veículos com Uconnect de tela de 8,4 polegadas. A atualização só pode ser feita por meio de um pendrive.
Todos os modelos Uconnect dos EUA acessam a internet por meio de uma conexão da operadora Sprint. Basta ter um celular da empresa para invadir os carros. Com um deles, Miller descobriu que, nos EUA, mais de 471.000 veículos equipados com o sistema estão sujeitos a uma invasão.
Ainda que tenham feito seus testes apenas com o Jeep Cherokee, eles acreditam conseguir fazer o mesmo com qualquer um destes 471.000 carros. Mas, como o objetivo dos caras não é matar ninguém, e sim alertar para o perigo, o trabalho está concluído.
Na reportagem da Wired, Andy descreve o processo anterior à invasão. Com um celular Android da Kyocera e sua rede 3G, ele começa a ver em seu notebook coordenadas de GPS, número de chassi, modelo e IP do primeiro carro suscetível ao ataque, um Dodge RAM de Texarkana, no Texas. Depois, outro Jeep Cherokee, em San Diego, na Califórnia. Em seguida, um Dodge Durango em Upper Peninsula, Michigan. O próprio Miller fica perturbado. É muita gente vulnerável.
A princípio, eles acharam que os ataques só pudessem ser feitos por conexão direta por wi-fi, ou apenas na mesma antena de celular, mas a coisa era muito pior. “Quando eu vi que poderíamos fazer isso em qualquer lugar, usando a internet, eu pirei. Fiquei assustado. A gente via um carro em uma estrada no meio do país. Foi quando a invasão de automóveis se tornou real”, disse Valasek à Wired.
O risco da internet
Além do Cherokee, eles analisaram outros 24 modelos e o Cadillac Escalade e o Infiniti Q50, nenhum deles vendido por aqui oficialmente, também apresentam altíssimo risco de invasão.
Sinais de adição indicam os modelos mais sujeitos a ataques. A reportagem completa pode ser lida aqui.
O grupo FCA preocupado com a repercussão negativa, tem feito todos os esforços para avisar que criou o update que mencionamos antes e que não soube de nenhum caso de ataque hacker a veículos no mundo real. Certamente ainda não. Valasek e Miller foram os primeiros a conseguir e levaram anos na empreitada, mas o fato de terem conseguido fará outros hackers se sentirem desafiados.
Como eles já alertaram, o problema não se restringe a apenas uma marca. E o senador Edward Markey, de Massachussetts, tomou o problema para si e mandou um questionário para 19 fabricantes: BMW, Chrysler, Ford, General Motors, Honda, Hyundai, Jaguar Land Rover, Mazda, Mercedes-Benz, Mitsubishi, Nissan, Porsche, Subaru, Toyota, Volkswagen, Volvo, Aston Martin, Lamborghini e Tesla. As três últimas não responderam.
O vídeo abaixo fala em 20 empresas, provavelmente por considerar Jaguar e Land Rover como entidades separadas.
As conclusões do senador, resumidamente, foram as seguintes:
- quase 100% dos carros vendidos nos EUA têm conexão sem fio, por wi-fi ou rádio;
- só 7 das 19 empresas contratam empresas para verificar a segurança digital de seus veículos;
- questionadas sobre se monitoram a segurança de suas redes CAN atrás de atividades maliciosas, 8 empresas responderam que isso era confidencial, 2 disseram que não fazem nada, mas que planejam fazer isso, e apenas 2 disseram ser capazes de tomar medidas para parar com segurança um veículo que tivesse sido vítima de um ataque hacker;
- a maioria das empresas coleta e armazena informações sobre seus clientes e hábitos de direção, transmitindo esses dados a servidores terceirizados, mas apenas 6 das 19 deram respostas ambíguas sobre encriptação e práticas de proteção dos dados pessoais de seus clientes, enquanto o resto nem respondeu.
Segundo Josh Corman, co-fundador da empresa de cibersegurança I Am the Cavalry, existe hoje uma preocupação da indústria automotiva em conectar os veículos. Por demanda dos consumidores. Quem faz isso melhor ganha mais pontos com os clientes. Só que a coisa tem sido feita sem a preocupação que já existe nos computadores. “Está ficando pior em vez de ficar melhor. Se leva um ano para um fabricante desenvolver um novo sistema passível de invasão hacker, leva quatro ou cinco para que ele seja protegido”, disse Corman à Wired.
E por aqui?
O problema, em teoria, não afeta veículos brasileiros porque eles não estão conectados à internet, ainda que muitos modelos da Fiat já tenham começado a vir equipados também com centrais Uconnect, como o Fiat Bravo, Punto e Linea. O novo 500 também usa a central de origem Chrysler.
Ainda assim, muitos são conectados por Bluetooth aos sistemas de som dos veículos. Os que são de fábrica, nativos, oferecem um grau de risco mais alto, já que são mais bem integrados à rede CAN dos automóveis.
De todo modo, a GM já anunciou que trará para o Brasil o sistema OnStar ainda em 2015, para equipar o Chevrolet Cruze. O sistema faz diagnóstico remoto do veículo, rastreia o automóvel em caso de roubo e permite que o motorista entre em contato com um atendente apenas clicando um botão sob o retrovisor.
Não sabemos se a GM é uma das empresas preocupadas com a cibersegurança de seus veículos, mas o fato de o Escalade estar na lista de veículos mais sujeitos a ataques nos leva a crer que não há tanto cuidado como se esperaria.
Imagine quando os sistemas de comunicação V2V (veículo a veículo, em português), V2R (veículo para a estrada) e V2I (veículo para a infraestrutura) estiverem estabelecidos, quando a maior parte dos sistemas de controle dos veículos for eletrônica e quando veículos autônomos ocuparem as estradas. Tomara que o alerta emitido por Charlie Miller e Chris Valasek seja finalmente ouvido com a devida atenção.