“Hackerato” lo Uconnect delle Fiat Chrysler

VEDIAMOCI CHIARO - In informatica, la pratica si chiama “security through obscurity”: sicurezza attraverso il silenzio. È la politica adottata, nel correggere i bug di sistemi operativi e applicazioni, dai principali produttori di software commerciale ed è opposta a chi sviluppa software libero. Stavolta, il security through obscurity è stato messo in pratica dalla FCA, che ha rilasciato un aggiornamento per il proprio sistema multimediale Uconnect per “offrire ai clienti una migliorata sicurezza elettronica del veicolo, e miglioramenti sul fronte comunicazione”. Questo, dichiaratamente; in realtà, stando a un report dell’autorevole rivista americana Wired, i problemi risolti erano di portata ben maggiori.

 

COMANDATA A DISTANZA - Con il supporto di due ricercatori nel campo della sicurezza informatica, Charlie Miller e Chris Valasek che già in passato avevano "hackerato" altre auto, è stato possibile dimostrare il problema. Un giornalista della rivista Wired è stato filmato mentre, alla guida di una Jeep Cherokee del 2014, percorreva un’autostrada: con un computer, i due ricercatori sono stati in grado di spegnere da remoto la radio, azionare i tergicristalli e, infine, spegnere il motore dell’auto. Negli Stati Uniti, il sistema Uconnect equipaggia vari veicoli Chrysler, Dodge, Jeep e Ram, utilizzando l’operatore Sprint per la connessione dei dati.

 

IN MOSTRA A LAS VEGAS - In seguito, i ricercatori sono stati in grado di prendere il controllo della Jeep condotta dal giornalista in un parcheggio, influenzando il comportamento dello sterzo (ma solo in retromarcia), fino a disabilitare il funzionamento dell’impianto frenante. I ricercatori hanno dichiarato a Wired che presenteranno porzioni del codice utilizzato per realizzare l’exploit (vale a dire l’eseguibile incaricato di sfruttare la vulnerabilità) a una conferenza sulla sicurezza informatica in programma il prossimo mese a Las Vegas: non servirà per prendere il controllo dell’auto, ma semplicemente “per convincere i produttori di auto che i loro prodotti sono vulnerabili”.

 

AGGIORNAMENTO OFFLINE - I ricercatori hanno contattato FCA notificando la scoperta e collaborando per la soluzione. In cinque giorni è stata realizzata una nuova versione del firmware per Uconnect non attaccabile dall’exploit. Dal proprio canto, il produttore ha stigmatizzato il rilascio del codice (pur se parziale) malevolo da parte dei ricercatori; la FCA prevede l’aggiornamento dei sistemi Uconnect solo via computer o in concessionaria, ma non “over the air”, ovvero direttamente dalla linea dati del veicolo.