Ein Sicherheitsforscher hat eigenen Angaben zufolge eine Schwachstelle in der Steuerung einer Ampel entdeckt, die es böswilligen Hackern ermöglichen könnte, die Ampeln zu ändern und so Staus zu verursachen.
Andrew Lemon, ein Forscher bei der Cybersicherheitsfirma Red Threat, veröffentlichte zwei Blog Beiträge am Donnerstag legte er im Detail seine Ergebnisse eines umfangreicheren Forschungsprojekts zur Sicherheit von Verkehrskontrolleuren vor.
Eines der Geräte, die Lemon untersuchte, ist das Intelight X-1, bei dem er sagte, er habe einen Fehler gefunden Damit kann jeder die volle Kontrolle über die Ampel übernehmen. Laut Lemon ist der Fehler sehr einfach und grundlegend: Es gibt keine Authentifizierung auf der internetfähigen Weboberfläche des Geräts.
„Ich konnte es einfach nicht glauben“, sagte Lemon gegenüber Tech. „Ich war einfach schockiert, dass so etwas Auffälliges übersehen werden konnte.“
Lemon sagte, er habe versucht herauszufinden, ob es möglich sei, ein Szenario wie in Filmen wie Der italienische Jobbei dem Hacker alle Ampeln an einer Kreuzung auf Grün schalten. Lemon sagte jedoch, er habe ein anderes Gerät namens Malfunction Management Unit gefunden, das dieses Szenario verhindert.
„Sie können immer noch Änderungen an den Ampeln und der Zeitsteuerung vornehmen. Sie können die Zeitsteuerung beispielsweise auf drei Minuten in die eine und drei Sekunden in die andere Richtung einstellen. Im Grunde handelt es sich dabei um eine Dienstverweigerung in der physischen Welt, sodass Sie den Verkehr verstopfen könnten“, sagte Lemon.
Es ist unklar, wie viele anfällige Intelight-Geräte über das Internet zugänglich sind. Lemon sagte, er und sein Team hätten etwa 30 gefährdete Geräte gefunden.
Lemon sagte, er habe sich an Q-Free gewandt, das Unternehmen, dem Intelight gehört, um den Fehler zu melden. Anstatt zu antworten und mit ihm zusammenzuarbeiten, um den Fehler zu beheben, habe Q-Free ihm ein juristisches Schreiben geschickt, so Lemon, der eine Kopie davon in seinem Blogbeitrag veröffentlichte.
„Wir akzeptieren nur Berichte über Schwachstellen, die sich auf Q-Free-Produkte beziehen, die derzeit zum Verkauf angeboten werden. Wir verfügen nicht über die erforderlichen Ressourcen, um Analysen veralteter Artikel in Betracht zu ziehen“, heißt es in der Kopie des Briefes, der offenbar von Steven D. Tibbets, dem General Counsel von Q-Free, unterzeichnet wurde.
In der Kopie des Briefes hieß es, das von Lemon analysierte Gerät sei nicht zum Verkauf, und die Art und Weise, wie er und Red Threat es untersucht hätten, könne einen Verstoß gegen das Anti-Hacking-Gesetz, den Computer Fraud and Abuse Act, darstellen. Das Unternehmen gab jedoch nicht an, inwiefern Lemons Untersuchungen gegen das Gesetz verstoßen haben könnten. In dem Brief wurden Lemon und Red Threat dann gebeten, sich zu verpflichten, keine Details zu der Sicherheitslücke zu veröffentlichen, da dies die nationale Sicherheit gefährden könnte.
„Wir fordern Red Threat außerdem auf, die Auswirkungen der Veröffentlichung auf die Sicherheit kritischer Infrastrukturen zu berücksichtigen, in denen Q-Free-Geräte verwendet werden. Im Gegensatz zu Ihren erklärten Zielen, die Cybersicherheit zu verbessern, kann die Veröffentlichung von Schwachstellen Angriffe auf die Infrastruktur fördern und eine entsprechende Haftung für Red Threat nach sich ziehen“, heißt es in dem Brief.
Lemon sagte, er sei von dem Brief überrascht gewesen und habe „sich wirklich so gefühlt, als ob sie versucht hätten, mich mit rechtlichen Drohungen und allem zum Schweigen zu bringen.“
Q-Free antwortete nicht auf mehrere Anfragen um einen Kommentar.
Lemon sagte, er habe bei seinen Recherchen auch festgestellt, dass einige von Econolite hergestellte Verkehrssteuerungsgeräte dem Internet ausgesetzt seien und ein potenziell anfälliges Protokoll ausführen.
Das Protokoll heißt NTCIP und es ist ein Industriestandard für Ampelsteuerungen. Lemon sagte, dass es bei den im Internet verfügbaren Geräten möglich sei, die Werte im System zu ändern, ohne angemeldet zu sein. Diese Werte, sagte er, könnten steuern, wie lange die Ampeln blinken, oder alle Ampeln an einer Kreuzung so einstellen, dass sie gleichzeitig blinken.
Lemon sagte, er habe sich nicht an Econolite gewandt, da die NTCIP-Probleme bereits bekannt seien.
Sunny Chakravarty, der Vizepräsident für Technik bei Econolite, bestätigte dies, als er um einen Kommentar gebeten wurde. Chakravarty sagte gegenüber Tech, dass die von Lemon getesteten Econolite-Geräte „seit vielen Jahren am Ende ihrer Lebensdauer sind und alle Benutzer diese älteren Controller durch geeignete neuere Produktmodelle ersetzen sollten.“
„Econolite empfiehlt seinen Kunden dringend, bei allen sicherheitskritischen Geräten die bewährten Verfahren für Netzwerksicherheit und Zugriffskontrolle zu befolgen und den Zugriff auf diese Geräte im offenen öffentlichen Internet einzuschränken“, sagte Chakravarty. „Die vom Autor auf dem Controller ausgeführten Aktionen wären nicht möglich gewesen, wenn das Gerät nicht dem offenen Internet ausgesetzt gewesen wäre.“