Öppen dörr för hackare i MG: ”Oroväckande tecken”

Tillsammans med forskarstudenter på Kungliga Tekniska Högskolan, KTH, i Stockholm har Vi Bilägare gjort en unik granskning som bland annat avslöjat vart nya bilar skickar data.

I genomgången upptäcktes också en allvarlig säkerhetsmiss hos elbilen MG Marvel R. Luckan kan i värsta fall innebära en säkerhetsrisk för bilägaren.

Alla nya bilar som är uppkopplade mot nätet pratar med olika centraldatorer, eller servrar, runt om i världen. Bilarna har också ett IP-nummer, som fungerar ungefär som ett telefonnummer på internet, och ett antal så kallade portar där all data passerar.

– Portarna används för att kommunicera med andra enheter, säger Afruz Bakhshiyeva, som gjort granskningen tillsammans med Gabriel Berefelt.

De portar som finns i bilen ska antingen vara stängda eller ”filtrerade”. Det innebär att bilen bara kan skicka data till de servrar som tillverkaren tillåter och att de övriga portarna är stängda eller helt osynliga för hackare.

Men hos MG står sex av portarna helt vidöppna.

MG är i särklass sämst i granskningen. Vi har också granskat Tesla Model 3, där samtliga portar är stängda eller filtrerade. Detsamma gäller för Volvo V90.

– Vi har gjort granskningen flera gånger under en längre tid för att verifiera resultatet. Vid samtliga tillfällen var flera av MG:s portar öppna. Volvon är från 2017 och det kanske är bra i det här fallet, eftersom den är nedkopplad. Allt är superstängt, säger Afruz Bakhshiyeva.

En öppen port behöver inte vara något stort säkerhetsproblem men en hackare kan använda sig av en sådan för att komma åt viktig information eller manipulera bilen. Då kan det handla om annat än relativt ”oskyldiga” data som förbrukningssiffror och körvanor. Om systemet är illa uppsatt går det även att komma åt exempelvis motorstyrningen. 

Läs tidigare delen i granskningen: Hit skickas dina hemligheter – MG kommunicerar med Kina

För några år sedan lyckades amerikanska hackare styra både ratt, gas- och bromspedal i en Jeep. Det var möjligt genom att använda en öppen port. Hackarna kunde sitta med sina datorer i baksätet och ta kontroll över bilen.

– Det är inte nödvändigtvis så att en öppen port gör bilen osäker. Men det är ett väldigt oroväckande tecken. Det finns ingen anledning att göra så, säger Pontus Johnson, professor i nätverk och säkerhetsteknik och ansvarig för KTH:s forskningscenter.

Enligt honom antyder avslöjandet att MG inte har tagit säkerheten på allvar.

– Om bilen dessutom har en gammal programvara med kända sårbarheter är det ännu mer graverande. Då har man som bilägare all anledning att vara bekymrad. De flesta tillverkare har sett över det här de senaste åren och att det fortfarande finns bilar med öppna portar är inte alls bra. Det kan handla om liv och död i en bil.

En öppen port är också ett exempel på slarvig utveckling – en onödig miss som biltillverkaren helt enkelt inte borde göra. En öppen port väcker frågan om det finns fler, och ännu allvarligare, missar som hackare kan utnyttja. Forskarstudenterna beskriver det som en olåst dörr: det innebär inte automatiskt att någon kommer in, men det ökar risken.

– Den här typen av brist är ofta ett tecken på hård prispress eller tidspress. Biltillverkaren har inte resurser eller kompetens att lösa detta och är redo att ta risken det medför. Det tyder också på en dålig företagskultur där man prioriterar annat än säkerheten, säger Pontus Johnson.

MG bekräftar för Vi Bilägare att portarna är öppna och att de är kopplade till bilens interna, trådlösa nätverk som passagerarna kan koppla upp sig mot. Efter vårt avslöjande ska portarna stängas.

– Våra kinesiska ingenjörer säger att dessa portar inte behöver vara öppna och att de därför ska stängas i en ny mjukvaru-uppdatering, säger Asmus Eggert, dataskyddsansvarig på MG i Europa.

Öppna portar kan vara ett allvarligt problem för it-säkerheten. Hur kunde detta ske?

– Det kan vara så att vissa komponenter som använts tidigare tagits bort och att de portar som då var öppna inte har stängts. Det vi behöver göra är att se över vår kvalitetskontroll. Vi lägger till detta i vår interna checklista som ser till att de portar som är öppna faktiskt används.

Enligt Asmus Eggert betyder öppna portar inte automatiskt att det går att göra en attack mot systemet. 

– Man måste fråga sig vad man kan göra med de öppna portarna. Det finns en generell regel om att så få portar ska vara öppna som möjligt. Om porten inte används ska den stängas. Man får alltid väga risken med att lämna porten öppen.

Men hur kunde det uppstå – och hur kan bilägarna vara säkra på att något liknande inte sker igen?

– Ett flygplan kan ha över 100 000 buggar, men skulle du överväga att inte flyga på grund av dessa buggar? Min poäng är att det finns buggar men många av dem har väldigt liten risk. Det går inte att göra mjukvara som är 100 procent säker.

MG:s talesperson Marc Hecht påpekar att företaget vill vara öppet och transparent med säkerhetsmissen som nu alltså ska åtgärdas.

– Jag vill understryka att inte bara den fysiska säkerheten är viktig för våra kunder utan också den digitala säkerheten. Det är därför vi tittar närmare på detta och om det finns något vi kan göra bättre som kan göra att kunderna känner sig säkrare kommer vi reagera och göra vårt yttersta för att lösa det.

Asmus Eggert säger också att MG måste fokusera på problem med hög risk först och sedan på problemen med lägre risk. Men eftersom öppna portar alltså kan vara en allvarlig säkerhetsrisk väcks förstås frågan vilka problem som måste åtgärdas med ännu högre prioritet än så.

Enligt MG är det inte möjligt att komma åt exempelvis styrning, gas eller broms via dessa portar. Bilens system är uppbyggt som en motorväg med fyra filer. I den första filen finns system som styr bilens infotainmentsystem och trådlösa nätverk för passagerarna. Det är där de öppna portarna har hittats. Utöver det finns ytterligare tre filer som styr bland annat acceleration, styrning, krockkuddar och bromsar. Enligt MG finns en kraftig ”barriär” mellan de olika delarna som inte är enkel att ta sig över.

”Systemet är utvecklat så att det bara kan skötas och styras via respektive systemlinje över privata nätverk som är krypterade. Hela systemarkitekturen hade behövts skrivas om och krypteringen måste knäckas för att få tillgång till en annan linje”, uppger MG i en kommentar.

Enligt Pontus Johnson på KTH är det allvarligt att den här typen av missar kan upptäckas även av studenter.

– Jag är inte förvånad att bilar har sårbarheter. Vissa sårbarheter är dessutom svåra att hitta. Men öppna portar är lätta att hitta och att upptäcka den typen av sårbarhet är överraskande.

Efter avslöjandet: Nu ska bilarna uppdateras

Den allvarliga säkerhetsmissen ska lösas med en uppdatering av bilens mjukvara. Men den blir inte obligatorisk.

De öppna portarna som hittats i MG Marvel R kan göra det enklare för programmerare eller hackare att göra intrång i bilens it-system. Efter vår granskning beslutar MG att lösa problemet med hjälp av en mjukvaruuppdatering. Även om bilen rent tekniskt har stöd för att ta emot dessa på distans över nätet kommer just den här uppdateringen göras på plats på verkstad.

”Det är det mest pålitliga sättet, och en MG-tekniker kan sköta nödvändig support för att säkerställa att uppdateringen lyckas”, skriver MG i en kommentar.

Mjukvaran ska kontrolleras och sedan skickas ut till verkstäderna. I nuläget beräknar MG att den ska finnas på plats innan årsskiftet – men den blir inte obligatorisk. Det kommer alltså fortsätta att rulla Marvel R-bilar på vägarna där portarna står vidöppna.

”Uppdateringen görs för att ytterligare stärka datasäkerheten och den är inte obligatorisk. Men vi rekommenderar föraren att uppdatera mjukvaran till senaste version när de besöker en auktoriserad återförsäljare”, uppger MG.

När Vi Bilägare tidigare servat den Marvel R som ingår i långteststallet har teknikerna hittills uppgett att mjukvaran inte uppdateras så länge ägarna inte särskilt efterfrågar det, för att lösa specifika buggar. Frågan är hur många MG-ägare som kommer efterfråga just den här uppdateringen eller om teknikerna faktiskt kommer påminna ägarna.

Bilägarna får heller ingen information om de öppna portarna förrän efter att uppdateringen är gjord. Något allmänt brev-utskick som rekommenderar en uppdatering av mjukvaran är alltså inte aktuell.

Marc Hecht som är MG:s europeiska pr- och kommunikationschef vill betona att företaget uppskattar att säkerhetsbristen hittats.

– Vi tar säkerheten för våra kunder på allvar, det är viktigt för oss. Vi är också ett nytt företag i Europa och vi vet att det finns utrymme för förbättring i våra produkter men det tror jag gäller för alla märken. Vi vill vara transparenta och om det finns något vi kan förbättra ska vi göra det, säger han.

Hittills har ungefär 1 200 exemplar av MG Marvel R registrerats i Sverige.