Car-tech

Pesquisador: Hackers podem causar engarrafamentos manipulando dados de tráfego em tempo real

8 JOGOS QUE NÃO PERDOAM QUEM USA HACK

8 JOGOS QUE NÃO PERDOAM QUEM USA HACK
Anonim

Hackers podem influenciar o fluxo de tráfego em tempo real sistemas de análise para fazer as pessoas entrarem em engarrafamentos ou para manter as estradas livres em áreas onde muitas pessoas usam sistemas de navegação do Google ou do Waze, um pesquisador alemão demonstrou na BlackHat Europe.

Google e Waze oferecem navegação turn-by-turn em aplicativos de smartphone e use informações derivadas desses telefones para análise de tráfego em tempo real. No entanto, por causa da troca entre privacidade e coleta de dados, os hackers podem influenciar anonimamente o software de navegação para enganar o sistema de tráfego em tempo real e registrar algo que não existe, disse Tobias Jeske, um estudante de doutorado do Institute for Security in Distributed. Aplicações da Universidade de Tecnologia de Hamburgo, durante a conferência de segurança em Amsterdã

"Você não precisa de equipamentos especiais para isso e pode manipular dados de tráfego em todo o mundo", disse Jeske.

[Outras leituras: Como remover malwares do seu PC Windows]

Tanto o Google quanto o Waze usam GPS e Wi-Fi nos telefones para rastrear os locais. Se apenas o Wi-Fi estiver habilitado, somente informações sobre pontos de acesso sem fio e células de rádio serão transferidas, o que permite que os sistemas de navegação se aproximem da localização do usuário, disse Jeske.

Exemplo de um congestionamento simulado em Hamburgo, Alemanha

A navegação do Google usa informações de trânsito em tempo real no Google Maps para celular. O protocolo usado para enviar informações de localização é protegido por um túnel TLS (Transport Layer Security) que garante a integridade dos dados para que seja impossível para um invasor monitorar um telefone estrangeiro ou modificar informações sem ser detectado pelo Google, disse Jeske. No entanto, o TLS é inútil se o atacante controla o início do túnel TLS, acrescentou ele.

Para poder controlar o início do túnel, Jeske realizou um ataque man-in-the-middle em um Android 4.0.4 telefone para inserir-se na comunicação entre o smartphone e o Google. Quando o invasor controla o início do túnel, informações falsas podem ser enviadas sem serem detectadas e, dessa forma, os invasores podem influenciar a análise do fluxo de tráfego, de acordo com Jeske.

Se, por exemplo, um invasor direcionar uma rota e coleta os pacotes de dados enviados ao Google, o hacker pode reproduzi-los mais tarde com um cookie modificado, chave de plataforma e carimbos de tempo, explicou Jeske em seu trabalho de pesquisa. O ataque pode ser intensificado enviando várias transmissões atrasadas com diferentes cookies e chaves de plataforma, simulando vários carros, acrescentou Jeske.

Um invasor não precisa dirigir uma rota para manipular dados, porque o Google também aceita dados de telefones sem informações de pontos de acesso próximos, permitindo que um atacante influencie os dados de tráfego em todo o mundo, acrescentou ele.

Um cenário de ataque similar pode ser aplicado ao Waze, mas é mais difícil afetar a navegação de outros motoristas, disse Jeske. O Waze associa dados de posição a contas de usuários, então um atacante que quer simular mais veículos precisa de contas diferentes com endereços de e-mail diferentes, acrescentou.

Jeske também encontrou uma maneira de transferir dados de posição para o Waze sem autenticação do usuário, tornando o atacante anônimo, disse ele, sem elaborar sobre esse método.

Para um invasor ao tráfego de influência real, um número substancial de usuários de navegação do Waze ou do Google deve estar na mesma área. Quando se trata do Waze, isso provavelmente não vai acontecer, por exemplo, perto de Hamburgo, ele disse. O Waze, no entanto, tinha 20 milhões de usuários em todo o mundo em julho do ano passado, então deve haver áreas onde é possível, disse ele.Embora a Jeske não tenha testado a vulnerabilidade de outros serviços que oferecem dados de tráfego em tempo real, eles funcionam mais ou menos da mesma forma que o Google e o Waze, então ele espera que ataques similares a esses sistemas sejam possíveis, disse ele. Os aplicativos de navegação que oferecem aplicativos de navegação podem evitar esse tipo de ataque, vinculando informações de localização a uma autenticação única que é marcada com o tempo e limitada a um período fixo de tempo, disse Jeske. Isso restringiria o número máximo de pacotes de dados válidos por tempo e dispositivo, ajudando a proteger o sistema, acrescentou ele.