Súlyos hiányosságokat találtak, már töltés közben sem vagy biztonságban

Az autóipari kiberbiztonság állt a középpontban a Pwn2Own Automotive 2026 hackerversenyen, ahol etikus hackerek elektromos autókat és töltőberendezéseket teszteltek valós támadási módszerekkel. A rendezvényen összesen 76 új, korábban ismeretlen (zero-day) sérülékenységet tártak fel, amiért a szervező Trend Micro Zero Day Initiative összesen több mint 1 millió dollár díjazást osztott ki a sikeres kutatóknak.

A verseny célja természetesen nem a károkozás, hanem a hibák felismerése és a védelem megerősítése. A résztvevők valós támadásokat modelleznek, a feltárt hibákról készült feljegyzéseket pedig a gyártók megkapják, hogy még a valódi bűnözők megjelenése előtt kijavíthassák azokat. Az idei mezőnyben töltőállomások, fedélzeti rendszerek és autóipari szoftverplatformok is célkeresztbe kerültek.

Az egyik legérdekesebb projekt az Alpitronic Hypercharger HYC50 villámtöltő feltörése volt. A finn Juurin Oy kutatói egy úgynevezett TOCTOU (Time-of-Check to Time-of-Use) sérülékenységet kihasználva rendszerszintű hozzáférést szereztek a töltőhöz, majd demonstrációként a népszerű Doom játékot is lefuttatták a kijelzőjén.

Forrás: www.zerodayinitiative.com

A hackerkultúrában a legendás, 1993-as játék elindítása nem puszta tréfa: azt jelzi, hogy a támadó képes saját kódot futtatni az eszközön, vagyis gyakorlatilag teljes irányítást szerzett felette. A csapat ezért 20 ezer dolláros díjat kapott. Ugyanezt a töltőt egyébként egy másik csapat is sikeresen kompromittálta, méghozzá egy súlyos memóriakezelési hibát (out-of-bounds write) kihasználva.

Volt, aki egy ChargePoint otthoni töltőt tört fel, más az Automotive Grade Linux platformot célozta meg, a Synacktiv kutatói pedig két külön sérülékenységet összekapcsolva teljes hozzáférést szereztek egy Tesla infotainment rendszerhez.

Forrás: www.zerodayinitiative.com

A szakértők szerint a biztonsági hiányosságok gyors felismerése kulcsfontosságú, mert egy sebezhető töltő nemcsak önmagában jelent kockázatot. Elméletben a támadó manipulálhatja a töltési folyamatot, rosszindulatú szoftvert juttathat a rendszerbe, vagy belépési pontként használhatja a töltőt más hálózatok ellen. Mivel a modern elektromos autók és a töltőoszlopok között kommunikációs kapcsolat jön létre töltés során, egy kompromittált töltőn keresztül akár a jármű fedélzeti rendszereinek elérésére, adatok kinyerésére, vagy további támadások előkészítésére is lehetőség nyílhat – ezért kiemelten fontos a töltőinfrastruktúra szoftveres védelme és rendszeres frissítése.

Megint sikerült feltörni a Teslákat

Simon Zsolt

Nem az autózás, hanem a környezetvédelem iránti elkötelezettség sodorta a Villanyautósok közé, hogy geográfus és közgazdász tanulmányai befejezése után tudásával segíthesse egy fenntarthatóbb világ kialakulását.