Wäre ich TÜV Abnehmer , gebe es da klar NO GO !
Mit welcher sachlichen Begründung?
Beiträge von Wannabe
-
-
@Noxoreos Der Unterschied ist, dass man eine unsmarte Haustür kaum spurlos aufbekommt, wenn sie abgeschlossen ist.
Um einen Einbruch in ein smartes System nachzuweisen, muss man schon ziemlich smart sein
-
ein komisches Gefühl werde ich einfach nicht mehr los:
Alles was mit smart ( nicht das Auto ) - home - phone, digital,cloud,internet, PC,Funkübertragung u.s.w zu tun hat ist irgend wann einmal knackbar. Unser Wissen entwickelt sich immer weiter und leider auch die kriminelle Energie mancher Zeitgenossen. 
Noch zwei schöne Sprüche aus der Welt der IT-Sicherheit:Du warst entweder zu blauäugig oder bis jetzt paranoid genug.
Sicherheit ist kein Zustand, sondern ein Prozess.
-
jaein... Virenscanner kann man updaten, und das sehr einfach und im Laufenden Betrieb. Mit einem Schlüsselsystem ist das schon schwerer...
Auch wenn man's aktualisiert: Schlangenöl bleibt Schlangenöl. -
Alles anzeigen
Das Beispiel mit FB/Google/OAuth hinkt an mehreren Stellen.
- wenn das Token abgehört und frei wiedergegeben werden kann ist nichts gewonnen
- der „Client“ ist eine batteriebetriebene Plastikbox im Streichholzschachtel Format, kein Smartphone mit leistungsfähigen Prozessorkern
- von der erwartet wird dass die Batterie länger als ein paar Tage durchhält
- und nicht permanent am Internet hängt um eine Sperrliste ungültiger Zertifikate zu managenDer Angriff ist eine klassische „Man-in-the-Middle“ Attacke, welche in der IT seit sehr langem bekannt und das Problem hinreichend gut gelöst ist, dieses viel länger als es Keyless an Auto gibt.
Das Problem mit Keyless lässt sich nicht durch andere Token-Verfahren, sondern nur mit einer starken Authentisierung der Kommunikationspartner lösen. In der Internet-Welt erfolgt dieser Schutz durch den Austausch und Überprüfung von Zertifikaten beim SSL/TLS Verbindungsaufbau.
Dieses wäre für die Automobilindustrie möglich ohne Komfort-Verlust auch beim Keyless-System zu implementieren, wäre aber eine recht teure Lösung im Entwurf und Betrieb. Dieses weil die Rahmenbedingungen leicht andere sind als bei einem Smartphone. Zum Beispiel müsste der Schlüsselspeicher gesondert geschützt sein (tamper-proof device) und dieses für eine lange Zeit (>10 Jahre). Auch ist die Verteilung und Wartung der Schlüssel aufwändig. Dies alles gibt es in der Industrie zwar bereits, kostet aber.
Offenbar hat man sich trotz besseren Wissen in der Automobilindustrie dazu entschieden einen billigen Weg einzuschlagen. Über die Gründe dazu kann man nur spekulieren. Neben den vernachlässigbaren Umsetzungskosten ist ein Nebeneffekt des Systems ja ganz offensichtlich ein erhöhter Absatz an Neuwagen, dessen Beschaffungskosten von den Versicherungen (und damit indirekt von den Kunden) getragen werden. Solange dieser Effekt nicht behoben wird hat weder die Autoindustrie noch das Versicherungswesen ein Interesse an einer sicheren Lösung.
Die Jaguar-Lösung wird hier nicht lange helfen. Sie arbeitet weiter mit dem schwachen Schutz der Authentisierung mittels einfacher Device-ID und einem Lauflängen Protokoll. Auch dieses wird sehr schnell von den Geräten geknackt sein (es braucht dann einfach zweimal ein Öffnen-Signal, beim zweiten Versuch gibt die Transmitter-Box direkt die Antwort). Der Diebstahl wird dann ca. eine Zehntelsekunde länger gehen.
Was du schreibst gilt nur für Replay-Attacken.
Gegen die hilft ein Challenge-Response-Verfahren.Der Trick beim Keyless-Go ist eine Relais-Attacke.
Die funktioniert auch bei Challenge-Response-Verfahren.
Gegen die Relais-Attacke hilft die Auswertung der Signallaufzeit, wie bei Jaguar. -
Sicherheit ist nunmal immer unbequem.
Die maximale Bequemlichkeit ist immer unsicher.
Und dies ist immer noch nicht widerlegt.Auch mit OAuth muss der Nutzer noch ein Passwort eingeben, also ist die maximale Bequemlichkeit noch nicht erreicht.
Stichwort: Haus-/Wohnungstür abschließen vs. nicht abschließen
-
Sicherheit ist nunmal immer unbequem.
Die maximale Bequemlichkeit ist immer unsicher.
-
Kann's nicht wirklich sein, dass sie jede Variante erstmal nur mit der Serienbereifung homologiert haben, weil das erstmal genug Aufwand und Zeit kostet?
Es gibt ja nicht nur Deutschland oder Europa als Markt.
Und überall gibt es (mindestens leicht) unterschiedliche Zulassungsbedingungen.Als der ND eingeführt wurde, waren da sofort alle Kombinationen möglich?
-
Davon würde ich ausgehen, weil man diese auch mit dem online Konfigurator auswählen kann (etweder R16 oder R17, aber nur die in schwarz).
Hast du sie nur in der Auswahl gesehen oder auch erfolgreich ausgewählt, ohne das Modell wechseln zu müssen? -
Ich mag mein abgeflachtes Lenkrad, aber... es ist nun einmal nicht echt abgeflacht, sondern nur entsprechend aufgepolstert. Dadurch wird es ab den "Kanten" der Abflachung etwas breiter, was das Einsteigen eigentlich eher behindert, insbesondere wenn es nicht ganz gerade steht und die Ecke der Abflachung zum Einstieg zeigt. Aber das ist nur mein Empfinden. Wenn es nur nach innen aufgepolstert wird, dürfte zwar der Durchmesser kleiner werden, aber eine Abflachung kaum oder nur schwer möglich sein.
Und warum hast du das gemacht?Welchen Vorteil hast du dir davon versprochen?
Und welchen Vorteil bringt es wirklich?
Gibt es noch mehr Nachteile?
