NHTSA lehnt das Reparaturgesetz ab und befürwortet Sicherheit durch Unklarheit

„Sicherheit durch Unklarheit“ – die Vorstellung, dass die Geheimhaltung der Funktionsweise der Technologie eine Möglichkeit ist, sie vor Angriffen zu schützen – wurde von Cybersicherheitsexperten und der breiteren Informationssicherheitsbranche schon vor langer Zeit aufgegeben. Die Geschichte hat uns gezeigt: Geheimhaltung ist nicht dasselbe wie Sicherheit und kann Gegnern, die klug, einfallsreich und entschlossen sind, nicht standhalten.

Sagen Sie es bloß nicht der National Highway Traffic Safety Administration (NHTSA), die sich letzte Woche in einem Brief an 22 Autohersteller entschieden für das Konzept aussprach. Der Brief vom 13. Juni zielte auf ein Gesetz in Massachusetts ab, das Fahrzeugbesitzern die Kontrolle und den Zugriff auf die Telematikdaten ihres Autos ermöglicht. NHTSA sagte, dass das Gesetz Cyberangriffe erleichtern könnte und „die Manipulation von Systemen an einem Fahrzeug ermöglicht, einschließlich sicherheitskritischer Funktionen wie Lenkung, Beschleunigung oder Bremsen“. Weiter wurde den Automobilherstellern mitgeteilt, dass Telematik-Cyber-Risiken ein Risiko für die Fahrzeugsicherheit darstellen und im Widerspruch zum National Traffic and Motor Vehicle Safety Act (Safety Act) stehen, einem Gesetz aus der Mitte der 1960er Jahre, und sie nahezu anweisen, ihre Fahrzeugtelematik beizubehalten Systeme geschlossen.

„Angesichts der schwerwiegenden Sicherheitsrisiken, die das Datenzugriffsgesetz mit sich bringt, würden Maßnahmen zur Öffnung des Fernzugriffs auf die Telematikeinheiten von Fahrzeugen gemäß diesem Gesetz, das Kommunikationswege zu Fahrzeugsteuerungssystemen erfordert, im Widerspruch zu Ihren Verpflichtungen aus dem Sicherheitsgesetz stehen.“ NHTSA schrieb.

Doch als die NHTSA die Sicherheit der Autohersteller durch Verschleierung befürwortete, übersah sie sowohl ihre eigenen Cyber-Best Practices als auch aktuelle Berichte, die darauf hindeuten, dass die Telematiksysteme der Autohersteller voller ausnutzbarer Sicherheitsmängel und Schwachstellen sind.

Das Gesetz zum Recht auf Reparatur von Fahrzeugtelematik in Massachusetts soll es Fahrzeugbesitzern einfacher und kostengünstiger machen, ihre Autos zu reparieren, indem der Wettbewerb auf dem Kfz-Reparaturmarkt gefördert wird. Vor drei Jahren lösten die Abstimmungsmaßnahmen eine erbitterte, monatelange Kampagne aus, bei der Autohersteller millionenschwere Fernsehwerbung schalteten, um die Einwohner von Massachusetts ohne Beweise zu warnen, dass der Zugang zu Fahrzeugreparaturinformationen Kriminellen und Stalkern Zugang zu ihren Häusern und Fahrzeugen verschaffen würde. Die Panikmache der Industrie hat nicht funktioniert: Die Abstimmungsmaßnahme wurde im November 2020 von mehr als drei Vierteln der Wähler angenommen.

Aber das war noch nicht das Ende. Seine Verabschiedung löste im selben Monat eine Klage einer Lobbygruppe der Automobilindustrie aus. Diese Klage, Alliance for Automotive Innovation vs. Campbell, liegt seit mehr als zwei Jahren im Gerichtssaal des Bundesrichters Douglas Woodlock, ohne dass eine Entscheidung in Sicht ist. Am 1. Juni begann die neu gewählte Generalstaatsanwältin von Massachusetts, Andrea Joy Campbell, mit der Durchsetzung des Gesetzes, da kein Gerichtsurteil dafür oder dagegen vorliegt. Der NHTSA-Brief zwei Wochen später warf der staatlichen Durchsetzung einen Strich durch die Rechnung.

Es gibt nur ein Problem: Das Gesetz über das Recht auf Reparatur von Kraftfahrzeugen in Massachusetts erfüllt nichts von dem, was im Schreiben der NHTSA steht. Das von den Wählern in Massachusetts verfasste und verabschiedete Gesetz besagt lediglich, dass in Massachusetts verkaufte Fahrzeuge, die ein Telematiksystem verwenden, diese Fahrzeuge mit „einer interoperablen, standardisierten und offenen Zugangsplattform für alle Marken und Modelle des Herstellers“ ausstatten müssen. Sicherheit ist kein nachträglicher Gedanke. Tatsächlich legt das Gesetz fest, dass „eine solche Plattform in der Lage sein muss, alle mechanischen Daten, die direkt vom Kraftfahrzeug ausgehen, über eine direkte Datenverbindung sicher an die Plattform zu übertragen.“

Das ist es. Das Wort „offen“ kommt in der Aktualisierung des Datenzugriffsgesetzes von 2020 nur einmal vor und wird im Zusammenhang mit „nicht proprietär“ und nicht mit „ungesichert“ verwendet. Das Gesetz entbindet die Automobilhersteller aus der Rolle von Gatekeepern, die entscheiden können, wer Zugriff auf Fahrzeugtelematikdaten erhält. Stattdessen wird behauptet, dass Einzelpersonen nach eigenem Ermessen auf die von ihrem Fahrzeug erzeugten Telematikdaten zugreifen und diese weitergeben können, auch an unabhängige, unabhängige Reparaturfachleute.

Das alles steht im Einklang mit einem Gesetz über das Recht auf Reparatur von Kraftfahrzeugen aus dem Jahr 2013 in Massachusetts, das ein auf Standards basierendes System für den Zugriff auf die für die Reparatur benötigten Telematikdaten vorschreibt. Mit der Verabschiedung dieses Gesetzes haben die Automobilhersteller die Anforderungen erfüllt und den Standard-OBD-Anschluss (On Board Diagnostic) in Fahrzeugen verwendet, um Fahrzeugleistung und Diagnosedaten über Kabelverbindungen zu übertragen. Mit der Aktualisierung des Kfz-Reparaturgesetzes aus dem Jahr 2020 wurde auch das frühere Kfz-Reparaturgesetz korrigiert und vorgeschrieben, dass Firewalls, die über den OBD-Anschluss angebracht werden, um das Gesetz von 2013 zu umgehen, von einer mit den Herstellern unabhängigen Stelle verwaltet werden müssen.

Der Brief der NHTSA löste bei den beiden Senatoren von Massachusetts, Elizabeth Warren und Ed Markey, eine verärgerte Reaktion aus. In einem Brief vom 16. Juni 2023 warfen die beiden Senatoren der NHTSA vor, „das Gerichtsverfahren zu umgehen, einer gerichtlichen Anordnung zu widersprechen, die Wähler in Massachusetts zu untergraben, den Wettbewerb zu schädigen und den Verbrauchern zu schaden“. Die Briefe, die zwei Wochen, nachdem der Generalstaatsanwalt von Massachusetts mit der Durchsetzung des Gesetzes begonnen hatte, verschickt wurden, „sorgten für unnötige Verwirrung, indem sie diese neuartige Sichtweise“ des Gesetzes zum Ausdruck brachten.

Die Konflikte in der Position der NHTSA sind leicht zu erkennen. Der Brief der Behörde an die Autohersteller zitiert ihr eigenes Dokument „Cybersecurity Best Practices“ (PDF), das warnt, dass „der unbefugte drahtlose Zugriff auf Computerressourcen von Fahrzeugen ohne entsprechende Kontrollen schnell auf mehrere Fahrzeuge ausgeweitet werden könnte.“ Diese Standards fordern die Automobilhersteller jedoch auch dazu auf, „die Wartbarkeit von Fahrzeugkomponenten und -systemen durch Einzelpersonen und Dritte zu berücksichtigen“ und „starke Cybersicherheitsmaßnahmen für Fahrzeuge bereitzustellen, die den Zugriff alternativer, vom Fahrzeugbesitzer autorisierter Drittreparaturdienste nicht übermäßig einschränken“.

„Cybersicherheit sollte kein Grund sein, die Einschränkung der Funktionsfähigkeit zu rechtfertigen. Ebenso sollte die Wartungsfreundlichkeit strenge Cybersicherheitskontrollen nicht einschränken“, heißt es im Best-Practice-Dokument.

Dem Schreiben der NHTSA zufolge hat die Agentur jedoch noch einmal darüber nachgedacht. Dem neuesten Schreiben zufolge können Autohersteller Cyber-Bedrohungen für Fahrzeuge nur dadurch bewältigen, dass sie den Zugang zur Fahrzeugtelematik beschränken und den Autoherstellern die Kontrolle darüber überlassen, wer wie auf diese Systeme zugreifen kann. Indem sie Telematiksysteme proprietär und geschlossen halten, schlägt NHTSA vor, können Autohersteller Angriffe auf sie begrenzen.

Es gibt mehrere Gründe, warum diese Denkweise (zutiefst) fehlerhaft ist. Zum einen wird großes Vertrauen in OEM-Telematiksoftware und -systeme gesetzt, die nachweislich mit Sicherheitslücken behaftet sind. In den letzten Jahren haben Sicherheitsforscher zahlreiche Methoden aufgezeigt, mit denen auf Telematiksoftware zugegriffen und diese manipuliert werden können, um physische Kontrolle über Fahrzeuge zu erlangen.

Beispielsweise demonstrierten die Forscher Mohammed Shine und Ayyappan Rajesh im Car Hacking Village auf der jährlichen DEF CON-Hacking-Konferenz im vergangenen August getrennt voneinander Schwachstellen in mobilen Telematikanwendungen von Honda, darunter eine aus der Ferne ausnutzbare Schwachstelle, die es Angreifern ermöglichen könnte, das Auto aus der Ferne zu starten oder auszuschalten eines Fahrzeugs, Öffnen des Kofferraums, Ver- und Entriegeln der Autotüren und mehr. Die Umgehung der in Honda Connect integrierten Sicherheitsfunktionen sei „einfach“ gewesen, sagte Shine.

Dann, im Januar, veröffentlichten der Sicherheitsforscher Sam Curry und ein Team von Mitarbeitern einen Bericht mit dem Titel „Web Hackers Vs. The Auto Industry“, das eine lange Liste zusätzlicher Sicherheitslücken in Telematiksoftware dokumentierte, die von mehreren Autoherstellern verwendet wird. Curry und seine Forscherkollegen erhielten Zugang zu „Hunderten unternehmenskritischen internen Anwendungen“ und „internen Fahrzeug-APIs“ (Application Programming Interfaces), die von Mercedes Benz verwendet werden. Bei Spireon, einem GPS-Anbieter für Fahrzeuge, behaupteten die Forscher, „vollen Administratorzugriff auf ein unternehmensweites Administrationspanel mit der Möglichkeit erhalten zu haben, beliebige Befehle an schätzungsweise 15,5 Millionen Fahrzeuge zu senden (einschließlich Flash/Update der Gerätefirmware in Fahrzeugen“). Sie behaupteten auch, in der Lage zu sein, einen Remote-Code-Execution-Angriff (RCE) auf „Kernsysteme zur Verwaltung von Benutzerkonten, Geräten und Flotten“ durchzuführen und die Fähigkeit zu haben, „jede Flotte vollständig zu übernehmen“, einschließlich Flotten von Polizeibehörden und Ersthelfern Verlassen Sie sich auf die Dienste von Spireon.

Toyota sagte kürzlich, eine Prüfung seiner mit der Cloud verbundenen Fahrzeugtelematiksysteme habe ergeben, dass das Unternehmen aufgrund einer „Fehlkonfiguration seines verbundenen Cloud-Dienstes“ die Daten von mehr als zwei Millionen Kunden dem Internet zugänglich gemacht habe. Zu den Daten gehörten registrierte E-Mail-Adressen des Fahrzeugbesitzers; fahrzeugspezifische Fahrgestell- und Navigationsterminalnummern; der Standort der Fahrzeuge und die Uhrzeit, zu der sie dort waren; und Videos vom „Fahrrekorder“ des Fahrzeugs, der Aufnahmen aus dem Auto aufzeichnet.

Die Autohersteller veröffentlichten schließlich Korrekturen und Software-Patches für die entdeckten Mängel. Allerdings fühlten sich viele Sicherheitsmaßnahmen der Autohersteller und Zulieferer „ein paar Jahre im Rückstand“ an, sagte mir Curry damals in einem Interview. „Sie verfügen über sehr komplizierte Bedrohungsmodelle und riesige Angriffsflächen, daher war es für uns nicht überraschend, (die Fehler) gefunden zu haben.“ Mit anderen Worten: Es warten mit ziemlicher Sicherheit weitere Schwachstellen darauf, entdeckt zu werden.

Bedenken Sie: Die von Curry und anderen Forschern aufgedeckten Mängel sind tatsächliche Beispiele für die Art von Sicherheitsrisiken, von denen NHTSA behauptet, dass sie hypothetisch als Folge der Durchsetzung des Gesetzes von Massachusetts möglich sein könnten.

Legt man den Standard zugrunde, den die NHTSA in ihrem Brief an die Autohersteller veröffentlicht hat, scheint es, dass moderne Telematiksysteme, die bereits in Fahrzeugen eingesetzt werden, wahrscheinlich gegen die Bestimmungen des Safety Act verstoßen und von den Autoherstellern zurückgerufen werden sollten, um die kürzlich aufgedeckten Cybersicherheitsmängel zu beheben.

Die NHTSA ist also dabei, oder? Scheinbar nicht. In dem Brief der Agentur von letzter Woche wurden weder Currys Forschung noch die jüngsten, eklatanten Versäumnisse der Autohersteller im Bereich der Cybersicherheit erwähnt. Ebenso zeigt eine Überprüfung der laufenden NHTSA-Sicherheitsuntersuchungen, dass keine aktiven Untersuchungen zu den von Curry, Shine, Rajesh und anderen offengelegten Telematikmängeln vorliegen. (NHTSA antwortete nicht auf eine Bitte um einen Kommentar oder ein Interview.)

Obwohl die NHTSA eine umfangreiche Dokumentation zur Fahrzeug-Cybersicherheit veröffentlicht hat, bleibt die Durchsetzung bewährter Cybersicherheitspraktiken ein nachträglicher Gedanke.

Was ist hier die Lösung (Wortspiel beabsichtigt)? Erstens sollte die NHTSA ihre Warnung an die Autohersteller bezüglich des Gesetzes über das Recht auf Reparatur in Massachusetts zurücknehmen. Die quälende Auslegung der Gesetzessprache durch die Behörde ist ein klares Zugeständnis an die Automobilindustrie, die dagegen ankämpft, und wirft ernsthafte und wichtige Fragen zur Unabhängigkeit der NHTSA von genau den Unternehmen auf, mit deren Regulierung sie beauftragt ist.

Zweitens sollte die NHTSA ihre achtjährige Pause bei der Überwachung von Softwarerisiken in Fahrzeugsystemen beenden und eine gründliche und umfassende Bewertung sowohl der eingesetzten als auch der geplanten Telematiksoftware von großen Automobilherstellern und Zulieferern wie Sirrius XM, Spireon und anderen durchführen und dabei die Hilfe und den Experten einbeziehen Ratschläge von unabhängigen Sicherheitsforschern wie Curry und anderen, die laxe Sicherheits- und Entwicklungspraktiken im Zusammenhang mit Telematiksystemen beleuchtet haben.

Anstatt einfach nur auf Meldungen über Mängel zu reagieren, sollte sich die NHTSA damit befassen, noch nicht offengelegte Telematikschwächen und -risiken zu identifizieren und an deren Lösung zu arbeiten, die Cyberkriminellen oder nationalstaatlichen Akteuren die Möglichkeit geben könnten, Angriffe auf US-amerikanische Autos, Lastwagen und andere Transportmittel zu starten Infrastruktur.

Abschließend: Die Agentur sollte konstruktiv mit Parteien auf beiden Seiten zusammenarbeiten, um einen Weg nach vorne zu finden, der sowohl moderne, vernetzte Funktionen als auch die Reparatur und Wartung von Fahrzeugen durch unabhängige Eigentümer und Eigentümer unterstützt. Das „Recht auf Reparatur“ anzuerkennen und gleichzeitig die Vorstellung zu unterstützen, dass intelligente, vernetzte Funktionen OEM-Monopole beim Zugang zu Telematiksoftware rechtfertigen, ist eine Position, die einer genauen Prüfung und den Forderungen der Fahrzeugbesitzer nicht standhalten wird. NHTSA sollte die Zeichen an der Wand sehen und ihre Position entsprechend anpassen.

Klärung : In einer früheren Version dieses Artikels wurde ein Aspekt des erweiterten Kfz-Reparaturgesetzes, das die Wähler im Jahr 2020 verabschiedet haben, falsch dargestellt. Der Artikel wurde aktualisiert, um darauf hinzuweisen, dass das Gesetz Einzelpersonen Zugriff auf die von ihnen erzeugten Telematikdaten und die Möglichkeit gibt, diese zu teilen Fahrzeug. Außerdem wird klargestellt, dass der Verweis auf den Zugriff durch ein Unternehmen, das nicht mit Automobilherstellern verbunden ist, für den Zugriff auf Daten gilt, die über den physischen OBD-Anschluss des Fahrzeugs übertragen werden.