Brecha em carros da Honda permite que qualquer um abra portas ou ligue o motor

Um grupo de pesquisadores em segurança revelou uma vulnerabilidade no sistema de chave remota dos carros da Honda que permitiria a abertura de portas e o acionamento do motor por terceiros. A brecha está em um sistema de geração de códigos de verificação criado, justamente, para impedir outros tipos de ataques, mas que possui uma falha lógica que acabou permitindo a exploração.

• Mais de metade dos apps não oficiais para carros usam dados sem permissão
• Indústrias de carros viram alvo de ataques cibernéticos e roubo de dados

A prova de conceito apresentada pelos especialistas Wesley Li e Kevin2600 teria sido testada em dezenas de modelos, com a maioria deles lançados entre 2021 e 2022. Entretanto, carros da Honda lançados até em 2012 estariam suscetíveis à vulnerabilidade, de acordo com a lista divulgada pelos responsáveis:

• Honda Civic 2012
• Honda X-RV 2018
• Honda C-RV 2020
• Honda Accord 2020
• Honda Odyssey 2020
• Honda Inspire 2021
• Honda Fit 2022
• Honda Civic 2022
• Honda VE-1 2022
• Honda Breeze 2022

O segredo da exploração está em um sistema de geração de números de verificação, os chamados rolling codes, que são usados a cada vez que o botão da chave é pressionado. Originalmente, ele foi implementado para impedir que ataques de man in the middle interceptassem códigos fixos de autenticação, adicionando um caráter de aleatoriedade ao uso dos dispositivos remotos.

O sistema possui um aspecto cronológico, com uma contagem de códigos que aumenta ao longo do tempo e serve para invalidar os antigos. O que a dupla de pesquisadores descobriu, entretanto, é que comandos consecutivos de travar e abrir as portas dos veículos faz com que esse contador seja ressincronizado, em caso de pressionamentos acidentais ou quando o carro está fora do alcance, permitindo que valores de sessões antigas voltem a ser aceitos — se capturados por terceiros, então, eles poderiam ser usados para manipular o veículo.

A vulnerabilidade foi cadastrada como CVE-2021-46145 e considerada de média severidade, mas ainda assim, merece atenção por estar presente até mesmo em modelos mais recentes. A prova de conceito foi validada por jornalistas automotivos e outros pares da indústria de segurança digital, apesar de a montadora, em comunicado oficial, ter negado a brecha.

O que diz a Honda

Em pronunciamento enviado à Vice, a montadora afirmou que o relatório dos pesquisadores traz alegações infundadas e sem credibilidade, com a tecnologia de rolling codes não permitindo esse tipo de exploração. A empresa disse ainda que os vídeos apresentados não trazem provas suficientes do problema.

A dupla de pesquisadores disse ter tentado notificar a Honda sobre o problema antes da divulgação da preova de conceito, mas não ter recebido resposta nem localizado um espaço dedicado à comunicação de problemas de segurança. Eles apontam, ainda, que a falha seria de difícil correção, já que exigiria uma atualização física do firmware vulnerável, pois alguns dos modelos mais antigos citados não permitem que o update seja feito remotamente.

Fonte: Rolling Pwn, Vice