- Kanada’daki siber güvenlik ve teknoloji uzmanları, araç hırsızlığına karşı önlem alınması gerektiğini kabul etmekle birlikte, güvenlik araştırma araçlarının yasaklanmasına kapsamı geniş ve ters etki yaratabilecek bir adım olduğu için karşı çıkıyor
- Federal hükümetin planı, uzaktan anahtarsız giriş radyo sinyallerini kopyalayıp hırsızlıkta kullanılan cihazları piyasadan kaldırmaya yönelik bir yaklaşım; Innovation, Science and Economic Development Canada’nın bunu kolluk kuvvetleriyle iş birliği içinde yürütmeyi hedeflediği belirtiliyor
- Flipper Zero gibi araçlar özünde yazılım tanımlı radyo (SDR) teknolojisine yakın; açık kaynak ya da piyasada bulunan bileşenlerle de uygulanabilir ve benzer kablosuz işlevler hâlihazırda birçok endüstriyel cihazda kullanılıyor
- Yasaklamanın hedefi zafiyetli araçlar değil de araçların kendisi olursa, zafiyet açıklama ödülleri, güvenlik araştırmaları, onarım hakkı ve birlikte çalışabilirlik kapsamındaki meşru analiz ve onarımlar da baskılanabilir
- Yargı kaynaklarını araç yasağını uygulamaya ve davalara harcamak yerine, otomobillerdeki anahtarsız giriş ve push-to-start sistemlerinin asgari güvenlik seviyesini yükseltmeye yönelik iş birliğine odaklanılmalı
Araç hırsızlığıyla mücadele ve güvenlik araçlarını yasaklamanın çatışması
- Araç hırsızlığı tüm Kanadalıları etkileyen bir sorun ve zararı azaltmak için hızlı adımlar atılması gerekiyor
- Ancak federal hükümetin önerisi, özellikle güvenlik araştırma araçlarının yasaklanmasını içerdiği için hatalı; kapsamı aşırı geniş ve ters etki yaratabilir
- Önerinin özü, uzaktan anahtarsız girişin kablosuz sinyallerini kopyalayarak araç hırsızlığında kullanılan cihazları yasaklamak ve Flipper Zero gibi cihazların Kanada pazarından kaldırılmasını mümkün kılmak
Yasaklanması zor genel amaçlı kablosuz teknoloji
- Bu politika, temel teknolojiye dair eski ve yanlış varsayımlara dayandığı için uygulanmasının ve yürütülmesinin zor olduğu eleştirisiyle karşılaşıyor
- Flipper Zero gibi güvenlik araçları özünde programlanabilir radyolar, yani yazılım tanımlı radyo (SDR) cihazlarıdır
- SDR yıllardır var olan bir teknoloji
- Bazı durumlarda açık kaynakla veya basit, piyasada satılan bileşenlerle yapılabilir
- Aynı tür kablosuz işlevler birçok alandaki cihazlarda yaygın biçimde kullanılıyor
- Akıllı ev aletleri
- Dronlar ve havacılık-uzay teknolojileri
- Cep telefonları ve ağlar
- Endüstriyel kontrol sistemleri
- Bu tür işlevlerin kendisini yasaklamaya çalışan bir yaklaşımın uygulanması fiilen zordur ve Kanada ekonomisini ciddi biçimde daraltabilir
Güvenlik araştırması ve onarım hakkı üzerinde oluşacak caydırıcı etki
- Sorunun kaynağı güvenlik araçları değil, güvensiz ürünlerdir
- Geçmişte sektörün güvenlik stratejisi olarak gizliliğe dayandığı dönemlerden farklı olarak, güvenlik araştırma araçlarının demokratikleşmesi, üreticilerin ürün güvenliğini iyileştirmesi için baskı oluşturan bir denge mekanizması işlevi görüyor
- Bugün birçok sektör aktörü bu tür araştırmalara dayanıyor; Kanada’da zafiyet açıklamalarını destekleyen ve ödüllendiren hükümet programları da bulunuyor
- Federal hükümet programı
- Quebec bug bounty programı, Alberta Vulnerability Reporting Program ve British Columbia Vulnerability Disclosure Program gibi eyalet örnekleri
- Aşırı geniş bir yasak, güvenlik araştırmaları ve zafiyet açıklama çabaları üzerinde caydırıcı etki (chilling effect) yaratabilir
- C-244, onarım hakkıyla ilgili bir yasa tasarısı olarak kısa süre önce oybirliğiyle kabul edildi; C-294 ise birlikte çalışabilirlikle ilgili bir yasa tasarısı olarak birden fazla partiden destek görüyor
- Güvenlik araçlarının yasaklanması, Kanadalıların yeni yeni kullanabildiği meşru analiz ve onarım imkânlarını da cezalandırabilir
Yaptırımdan çok sektörler arası iş birliği gerekli
- Politikanın keyfî uygulanma ihtimali bulunduğundan, yargı sistemi güvenlik araçlarının farklı kullanım senaryoları etrafında davalaşmaya açık olaylarla karşı karşıya kalabilir
- Aynı kaynaklar, siber güvenlik uzmanları, otomobil üreticileri, sigortacılar ve yargı sistemi arasında yapıcı iletişim kanalları kurmak için kullanılabilir
- İş birliğinin odağı, otomobillerdeki anahtarsız giriş ve push-to-start sistemlerinin güvenliğini iyileştirmek ve diğer sektörlerde olduğu gibi gelecekteki ürünler için asgari güvenlik seviyelerini zorunlu kılmak olmalı
İmzaya katılma yöntemi
- Katılanlar imza formuna imza atıp paylaşabilir
- İmzalar siteye yaklaşık günde bir kez manuel olarak eklenir
1 yorum
Hacker News yorumları
Flipper Zero bir yazılım tanımlı radyo (SDR) değil; ondan daha sınırlı işlevlere sahip.
İronik biçimde Flipper Zero, oldukça zayıf bir hack aracına daha yakın. Araba kapısını açabilir ama pratikliği parti numarası seviyesinde. Anahtarın düğmesine, arabanın menzili dışında ama Flipper’ın menzili içindeyken basıp kodu kaydetmeniz gerekiyor; ardından araba kapısını yalnızca bir kez açabilirsiniz ve sahibi önce açarsa fırsat ortadan kalkar. Daha gelişmiş ve belki de pratik bir rolljam saldırısı var, ancak Flipper’ın bunu yapmaya yeterli olup olmadığını bilmiyorum.
Flipper Zero eğlenceli, görece ucuz ve ünlü; gerçek hırsızların zaten daha iyi araçları var.
Bu çip, belirli bir pin üzerinden gerçek OOK/FSK durumunu lojik high/low olarak bildirecek şekilde ayarlanabiliyor; aynı şey iletim sırasında da mümkün. Bu yüzden Flipper, normal çalışmada CC1101’in desteklediği protokoller/formatlarla sınırlı kalmıyor; frekans aralığı içinde OOK veya FSK modülasyonu kullanan bir protokolse işleyebiliyor.
Son zamanlarda bölgemde Infiniti’ler görece kolay çalınıyor; söylentiye göre yöntem, bir Bluetooth OBD2 okuyucuyu Android tablete bağlayıp korsan Nissan servis yazılımı çalıştırmak.
Infiniti gruplarında da kimse %100 emin değil ama en olası tahmin bu. Birkaç gece önce de bir grup bizim mahalleden üç Q50’yi kolayca çaldı.
Komşunun paylaştığı Ring kamera videosu: https://video.nest.com/clip/8ef4d060588d4c7289f87cccb00cb55a...
İnsanların bahsettiği far sorunu, marş için kullanılan CAN’i immobilizer ile ECU arasındaki ayrı bir CAN bus’a taşıyarak kolayca çözülebilir. Bu, farı fiziksel olarak yalıtmak anlamına gelir; toplam maliyet yaklaşık 5 dolar olur ve hırsız arabayı neredeyse ikiye bölmeyi düşünmüyorsa şifreleme de gerekmez.
Şifrelemenin sorunu, otomobilin pek çok yerinde kullanılan 10 dolarlık safety MCU’ların yaklaşık 20 MHz olması ve mevcut işlerinin üstüne saniyede 2000’den fazla kriptografik işlemi kaldırmakta zorlanması. Ayrıca güvenlikle ilgili yazılımlarda kullanılan model tabanlı tasarım araçlarında şifreleme desteği şu anda çok yetersiz.
Yine de kişisel olarak, aracı keserek içeri girilmesini üreticinin kusuru saymam. Kaputu açıp kendi ECU’nuzu getirerek aracı hareket ettirebileceğiniz bir şeyden söz ediyoruz; kesip biçmeye başladığınız anda istediğiniz hale getirebilirsiniz. Bunu bir otomotiv sistem mühendisi olarak söylüyorum.
Ön tekerlek davlumbazı yakınında oldukça uzun süre çömeliyorlar; bu da hırsızların çamurluk kemeri üzerinden far CAN bus kablolarına bağlandığı Toyota hack’ini hatırlatıyor: https://kentindell.github.io/2023/04/03/can-injection/
Dolayısıyla soru, OBD-2 portunu veya kabloları nasıl korumamız gerektiği.
Aynı bölgede uzman bir atölye vardı ve uprev ile Security+ devre dışı bırakılabiliyordu. Nissan motorunu söküp başka bir yere takarak ateşleme sistemi olmadan çalıştırmak için de kullanmıştık. Marş sinyalinin anlık basmalı düğmeden gelmesini de sağlayabiliyordunuz.
Aptallığın üstüne aptallık eklenen bir durum
Flipper Zero yasağı, aslında sorunun parçası bile olmayan bir aracı yasaklamak anlamına geldiği için son derece aptalca. Aynı zamanda “güvenliği zayıf araçları yasaklamak” da aptalca. Kia zayıf kilitleri olan ucuz bir araba yapıyorsa, satın almazsınız, sigortayı hesaba katarsınız ya da sonradan takılan bir immobilizer veya direksiyon kilidi taktırırsınız. Kia birkaç dolar tasarruf etmek için bunu yaptıysa ve bu ihmal ise, alıcının birkaç doları harcamamış olması da ihmaldir
Başkasının suçunu engelleyemedi diye birine ihmal demek de rahatsız edici. Mevcut hırsızlık yasaklarını uygulamadaki yetersizlikten kaynaklanan araba hırsızlığı sorununu, çözüm olarak daha fazla şeyi yasa dışı kılmayı tartışmak aptallık zinciridir
Piyasa düzeltmesi fikri burada işlemez. Kimse “güvenliği berbat” diye reklam yapmaz; ortalama tüketici bir yana, oldukça bilgili tüketiciler bile bu sorunu ancak arabayı aldıktan sonra öğrenir
Üretici kendi aracının güvenli olmadığını ilan etmiş olsaydı alıcı sorumlu denebilirdi, ama bunu yapmadılar
Dürüst olmak istiyorsanız kilitsiz araba satın ve insanların kaç tanesini aldığını görün. “Kia ucuz arabaya zayıf kilit takıyorsa almayın” mantığı, Boeing ucuz ve güvensiz uçak yaparsa binmeyin demekle aynı şeydir
Ürünün güvenliği veya özellikleri hakkında yalan söylemenin bedeli idam olsaydı bu deneyi yapmak iyi olabilirdi; ama şu anda şirketler ürünleri hakkında yalan söyleyerek tüketicileri aldatsa da pek bir bedel ödemiyor
Güvenliği zayıf arabaların da güvenlik araçlarının da yasaklanmasına gerek olmadığını düşünüyorum. Ama açıklama mutlaka yapılmalı
Güvenlik açıklarının hepsi aynı değildir. Teknolojinin kendisine içkin kusurlarla ihmalden doğan kusurlar açıkça ayrılmalı
İnsan ancak bildiği kadarını yapabilir; bu yüzden kimseden kimsenin kıramayacağı dijital bir kale inşa etmesini isteyemeyiz. Böyle bir şey yok ve tüketiciye zarar da verebilir. Ama bu, sektörün düşük standartları kabul edebileceği anlamına gelmez
Ayrıca Flipper Zero elde de yapılabildiği için bu yasa daha baştan ölü doğmuş olacak ve bence bu tür açıkların demokratikleşmesini ve kamuoyu farkındalığını engelleyecek
Güvenlik riskleri de aynı değildir. Güvenliği ciddiye alan insanlar olasılık, etki, azaltma maliyeti gibi ölçütlere göre değerlendirme yapar
Arabalar tehlikeli silahlardır; özellikle heyecanlı çocuklar ya da alkol/uyuşturucu etkisindeki kişiler kullandığında daha da öyledir. İzinsiz sürüş yüzünden birinin ciddi biçimde yaralanması veya ölmesi olasılığı çok yüksektir. Ölen bir çocuk için azaltıcı önlem yoktur. Buna rağmen ceza “bir daha yapmayın” seviyesindedir
Öte yandan Aaron Swartz gibi bir çocuk birkaç dosya indirdiğinde 9 ağır suç isnadı, toplam 50 yıl hapis ve 1 milyon dolar para cezasıyla karşılaştı. Böyle değerlere sahip bir adalet sisteminde risk ve orantılılık kavramı yoktur; küçümsenmeyi hak eder
Ben 20 yıllık bir araba kullanıyorum; immobilizer çipi var ve cam kırılıp kapı açılırsa alarm çalan temel bir mantığı var. Bana göre bu kadarı oldukça güvenli. Dolayısıyla otomobil üreticilerinin en azından bu basit sistem kadar güvenli araçlar üretme sorumluluğu var gibi görünüyor
Birisi “Zipper Flero” gibi bir klon satabilir mi?
Bu yazının yazarlarından biriyim. Hacker News’ün ilk sayfasına çıktığını duyunca, siteyi GitHub Pages üzerinde statik bir web sitesi olarak yapmış olmama sevindim
Daha sonra yorumlara bakacağım; şu anda Kanadalıysanız milletvekillerinizle iletişime geçmenizi isterim
Gelecek hafta ek haberler için basınla da çalışıyoruz. İlgilenebilecek Kanadalı bir gazeteci tanıyorsanız doğrudan ona iletin ya da beni bağlayın. LinkedIn imzada; kalın yazılmış ilk iki isim yazarlar
Bu hikâyenin daha fazla kişiye ulaşmasına yardım ettiğiniz için teşekkürler
Ortamda tek bir kurt bile olabileceğini varsayabiliyorsak, saman ve dal parçalarından ev yapmak ihmaldir ve tembel domuzların yenmesi kabul edilebilir demek olur
Güvenlik için kârının bir kısmından vazgeçip tuğladan ev yapan sorumlu domuz, iyi muhakemesi ve öngörüsüyle övülür. Masal bunu en az 200 yıldır, belki de çok daha öncesinden beri söylüyor
Bu başlığın ihmalci tembel domuzların tarafını tuttuğunu görmek şaşırtıcı. “Binlerce bağımlılıktan oluşan framework’ümün çoğu samandan”, “patronum dal parçaları kullanmaya bile zaman vermiyor”, “elden bir şey gelmez” gibi
İnsanlar müteahhidin tuğla ev dediği evleri satın alıyor; böyle ürünler olmadan, kurt üfleyip yıkana ve samanın üstündeki ince sıva tabakası ortaya çıkana kadar onu tuğla ev sanarak yaşayabilirler
Ev satıcıları “hem kurtlar hem de yapı denetçileri bu araçla evi uçurabilir” diyor. Ama ev samandan değil de tuğladan yapılmış olsaydı bunun önemi olmazdı
Bu kötü bir güvenlik modelidir ve Flipper Zero olsun ya da olmasın başarısız olacaktır
Bu noktada güvenlik araçlarını yasaklamak, Anayasa’nın 2. Değişikliği’ni ihlal etmek gibi görünüyor
Microsoft ihlal üstüne ihlal yaşıyor, satın almalara da devam ediyor. Eşime bunu hatırlamasını söyleyip “bu normal değil” diyordum; o da “sayılar neden sürekli daha kötüye gidiyor?” diye soruyordu. Ben de “çocukluğumdan beri Firefox’a doğrudan boot etmem engellendiği için sadece bileğime hafifçe vurulup geçildiğinden, veritabanı giderek büyüyor” diye cevap verdim
Etrafımızdaki dünyanın neden çöktüğünü anlama yeteneğimiz bile elimizden alınırsa, zaten bozuk olandan daha da bozuk hâle geliriz. Zaten şu anda bir şeyleri tamir etme hakkımız da pek yok, değil mi?
1., 4. ve 9. değişikliklerin ihlali dense anlarım. 5. değişiklik ihlaline dönüşme eğilimi de var gibi görünüyor. Ama 2. değişiklikle güçlü bir bağ göremiyorum
Birisi eskiden dedemin arabasını tornavidayla çalmıştı
Kontak anahtarı muhtemelen çekiçle kırılmıştı ve marş tornavidayla çalıştırılabiliyordu. Dedemin o hâlde ne kadar süre kullandığını hatırlamıyorum
Teknolojiyi yasaklamak, daha derin bir soruna yara bandı yapıştırmaktan ibaret; ayrıca bu tür araçların etkili olduğuna dair harika bir reklam
Burada çoğu kişi Flipper’ın araba hırsızlığı için etkili bir araç bile olmadığını görmezden geliyor gibi. Yetenekleri kurgulanmış videolarla abartıldı
Orijinal anahtara erişiminiz olması, anahtarı da arabanın menzili dışındayken ama Flipper’ın yakınındayken çalıştırmanız gerekiyor. Bu size asıl arabayı bir kez açma fırsatı verir; ama orijinal anahtar önce kullanılırsa o fırsat da kaybolur. Sonra da arabayı çalıştırmanız gerekir
Gerçek araç hırsızları muhtemelen daha iyi araçlar kullanır
Cevap belli. Üreticilerin arabaları geri çağırıp bu kolay zafiyeti düzeltmesini sağlamak yeterli
Ama siyasetçiler büyük şirketlerin tarafında; Flipper Zero’yu yasaklamak, neredeyse hiç siyasi maliyeti olmadan iyi görünen hızlı bir zafer sağlayacağı için gerçekte böyle olmayacak