Фахівці з кібербезпеки з компанії Star-V Lab виявили в автомобілях Honda вразливість, яка дозволяє зловмисникам розкривати машини, захищені радіочастотними кодами, що «плавають». Автовиробник віднісся до відкриття з недовірою.
Нещодавно в машинах марок Honda і Acura було виявлено вразливість, що стала результатом використання статичних радіочастотних кодів у системі блокування з комплектних брелків. Як захист тоді пропонувалося використовувати в автомобілях «плаваючі» коди (rolling codes) - різні набори сигналів при кожній автентифікації. Цей спосіб покликаний не дозволити зловмиснику виконувати повторні атаки, одного разу «підслухавши» правильний код.
Як з'ясувалося, і цей спосіб захисту не дає гарантій: фахівці з кібербезпеки, що працюють у компанії Star-V Lab, виявили в машинах Honda вразливість, яку назвали Rolling-PWN. Перевірка «плаваючих» кодів здійснюється через лічильник - приймаються лише сигнали, відповідні його показанням. Автори відкриття відновили програмну логіку, з якою відбувається повторна синхронізація лічильника, і він починає приймати старі коди після надсилання в систему сигналів на закриття та відкриття машини.
Автори проєкту опублікували кілька відео, на яких як доказ відтворили процес відкриття машини, а вразливість зареєстрували з порядковим номером CVE-2021-46145 та рейтингом у 5,3 бала (середній). Проблема стосується всіх машин Honda з оновленою системою блокування, яку автовиробник почав впроваджувати ще 2012 року.
Дослідники спробували зв'язатися з автовиробником, але не отримали відповіді. Представник Honda відреагував лише після публікації відомостей про вразливість:
«Ми вивчили подібні звинувачення в минулому і дійшли висновку, що вони не мають підстав. Хоча у нас ще недостатньо інформації, щоб визначити, чи заслуговує повідомлення на довіру, брелки для згаданих транспортних засобів оснащені технологією плаваючого коду, яка не допускає представленої в повідомленні вразливості. Крім того, відео, які пропонуються як підтвердження вразливості плаваючого коду, не містять достатніх доказів на користь повідомлень».