{"id":2860,"date":"2018-05-10T10:52:02","date_gmt":"2018-05-10T08:52:02","guid":{"rendered":"https:\/\/news.save.ch\/?p=2860"},"modified":"2023-03-14T09:04:14","modified_gmt":"2023-03-14T08:04:14","slug":"remote-apps-fuer-fahrzeuge-wie-sicher-sind-sie","status":null,"type":"post","link":"https:\/\/news.save.ch\/it\/remote-apps-fuer-fahrzeuge-wie-sicher-sind-sie\/","title":{"rendered":"Applicazioni remote per i veicoli: quanto sono sicure?"},"content":{"rendered":"
\"\"
Le \"app remote\" per i veicoli sono in voga. Grazie ad esse, \u00e8 possibile leggere su smartphone e tablet dati completi e cosiddetti informativi sul veicolo. Tuttavia, tali app possono essere utilizzate anche per controllare il veicolo. \u00a9 Depositphotos\/prykhodov<\/figcaption><\/figure>\n

Se da un lato queste funzioni sono comode, dall'altro possono attirare i criminali. La sicurezza informatica \u00e8 quindi fondamentale. Il TCS e i suoi club partner hanno quindi sottoposto tre applicazioni remote (BMW, VW, Renault) a un cosiddetto test di penetrazione. Fondamentalmente, le tre app esaminate di BMW, Renault e VW sono sicure e possono essere utilizzate senza grandi problemi. I rischi<\/a> utilizzabile. Tuttavia, il via libera non pu\u00f2 essere dato completamente e di per s\u00e9: Tutte e tre le app presentano diverse vulnerabilit\u00e0 che sono da classificare come a medio rischio e, in casi estremi, possono portare all'accesso di terzi all'account utente e al controllo di tutte le funzioni remote. Durante l'indagine sono state riscontrate le seguenti vulnerabilit\u00e0:<\/p>\n

Database non criptato <\/strong><\/p>\n

Renault My Z.E. memorizza dati sensibili in un database non criptato sullo smartphone. In determinate condizioni, ci\u00f2 consente agli aggressori di leggere dati come il numero di identificazione del veicolo (VIN) e un codice di attivazione, che l'aggressore pu\u00f2 utilizzare per registrare il veicolo a se stesso.<\/p>\n

Mancanza di certificati di filatura <\/strong><\/p>\n

Inoltre, la connessione tra Renault My Z.E. e VW Car-Net e il relativo cloud pu\u00f2 essere intercettata e modificata in determinate circostanze. Ci\u00f2 \u00e8 particolarmente facile per un aggressore se alcune funzioni di sicurezza sono disattivate sul dispositivo dell'utente.<\/p>\n

Credenziali nell'URL <\/strong><\/p>\n

La BMW Connected App comunica con pi\u00f9 endpoint nel cloud. Per garantire che l'utente debba accedere all'app una sola volta, le credenziali vengono prima convertite. Purtroppo, per la trasmissione di queste credenziali convertite \u00e8 stato scelto un metodo insicuro, per cui un account pu\u00f2 essere rilevato da un malintenzionato oppure le informazioni sensibili vengono memorizzate anche nei file di log del provider, che possono essere visualizzati dagli utenti amministrativi.<\/p>\n

Politica delle password debole <\/strong><\/p>\n

Inoltre, nell'app BMW Connected \u00e8 stata implementata una politica di password deboli. La lunghezza della password \u00e8 limitata a un minimo di otto caratteri e limita anche il numero di caratteri speciali. Questo riduce al minimo la possibile forza della password, rendendo pi\u00f9 facile per un aggressore indovinare le password provandole (il cosiddetto bruteforcing). Sono consentite anche password semplici come \"abcd1234\". Tuttavia, BMW blocca l'account utente dopo alcuni tentativi di accesso non riusciti, fino a quando non viene nuovamente sbloccato tramite un link di posta elettronica.<\/p>\n

Mancata conclusione della sessione <\/strong><\/p>\n

Tutti e tre Applicazioni<\/a> hanno in comune il fatto che la sessione non viene terminata correttamente dopo il logout. Pertanto, un utente non pu\u00f2 semplicemente bloccare un attaccante riuscito.<\/p>\n

Conclusione <\/strong><\/p>\n

Nel complesso, le tre app sono risultate sicure da usare, ma si sono manifestate alcune vulnerabilit\u00e0. Ci\u00f2 dimostra chiaramente che i produttori devono continuare a lavorare sul tema della sicurezza informatica. Con l'aumento della gamma di funzioni dei servizi digitali, aumentano anche i requisiti delle strutture di sicurezza, il che significa che il tema della sicurezza informatica diventer\u00e0 probabilmente ancora pi\u00f9 importante in futuro.<\/p>\n

Raccomandazioni <\/strong><\/p>\n