Akademisyenler lüks arabaların kablosuz kilit kodunu kırdı, Volkswagen dava açtı (ve davayı kazandı)

Benim yazmaya vakit bulamadığım geçtiğimiz haftalarda çok şey oldu, ama maalesef onlara hemen geri dönemeyeceğim. Şimdi anlatacağım şey hem otomotiv, hem de teknoloji dünyasını ilgilendiriyor. İngiltere'nin Birmingham üniversitesinden Flavio Garcia ve Hollanda'nın Radboud üniversitesinden Roel Verdult ve Barış Ege (hemşerimiz olur) isimli bilim insanları Volkswagen grubunun lüks arabalarında kullanılan kilit sistemini, daha doğrusu arabanın kapı kilitlerinin uzaktan açılmasını sağlayan şifreli kablosuz sistemi devre dışı bırakmayı başardı. Bu yöntemle Audi, Porsche, Lamborghini ve Bentley markalı arabaların kapıları kolayca açılıyor. Hatta, bu arabaların çoğu anahtarsız çalıştırma özelliğine sahip olduğu için kapıları açan kod arabayı da çalıştırıyor. Bu yöntemi bilen birisi istediği Bentley veya Lamborghini'yi sanki sahibiymiş, anahtarı cebindeymiş gibi alıp götürebilir, alarm filan işe yaramaz.

Aslında kırılan sistem sadece VW grubu arabalarında kullanılmıyor. Megamos Crypto isimli sistemi tercih eden diğer markalar da var, ama en yaygın kullanan (ve birazdan anlatacağım üzere meseleyi sahiplenen) firma Volkswagen olduğu için sadece VW grubu markalarından bahsedilmiş. Neyse, bu bilimadamları önümüzdeki günlerde Washington'da düzenlenecek olan Usenix güvenlik sempozyumuna katılıp sistemi nasıl kırdıklarını anlatacaklardı. Tabi bu bilgilere erişebilen herhangi bir otomobil hırsızı hiç uğraşmadan Megamos sistemini kullanan arabaları çalabilir, bu da hem mevcut Audi, Porsche, Lamborghini ve Bentley kullanıcıları için sıkıntı verici olur, hem de ileride bu arabaları almak isteyenleri tedirgin eder. Volkswagen duruma hemen müdahale edip Hollanda'da Barış Ege ve Roel Veldurt'un sempozyuma katılmaması için dava açmış. Davayı kazanan Volkswagen üniversiteden ve bilimadamlarından bu bilgilerin dışarıya sızmayacağı konusunda güvence almış. İngiltere'deki bilimadamı da durumun ciddiyetini görüp sempozyuma gitmekten vazgeçmiş (veya birileri tarafından vazgeçirilmiş).

Herneyse, neticede kriz şimdilik çözülmüş durumda, lüks araba sahiplerinin endişelenmesine gerek yok. Yine de böyle birşeyin kolayca yapılabileceğini bilmek insanı daha dikkatli olmaya itiyor. Sonuçta cebimizde taşıdığımız araba anahtarları aslında kablosuz birer verici. Fabrika tarafından ayarlanmış şifreli bir sinyali arabaya gönderiyorlar, araba da kapılarını açıyor. Bu şifreyi çözebilen birisi arabaya kendi arabasıymış gibi kolayca girebilir. Dikkatli olmakta yarar var, gelecekte araba hırsızlığı camı kırarak veya kapıyı kanırtarak yapılmayacak.

Termal kamerayla şifre hırsızlığı.

Teknoloji her zaman güvenliğimiz için kullanılır sanıyorsanız, yanılıyorsunuz. Güvenlik amacıyla geliştirilen teknolojiler, çoğu zaman aksi yönde amaçlar için kullanılıyor.

San Diego California Üniversitesinden bir grup araştırmacı, USENIX Güvenlik Sempozyumunda sundukları çalışmalarıyla, termal kameraların şifre hırsızlığında nasıl kullanıldığını gösterdiler.

Araştırmacılar Keaton Mowery, Sarah Meiklejohn ve Stefan Savage; termal kameraların, video kameralardan farklı olarak, görsel engellemeleri aşarak şifreleri ele geçirmede ne kadar başarılı olduğunu, yaptıkları deneyin sonuçlarını paylaşarak gösterdiler.

21 gönüllünün katıldığı deneyde katılımcılar, fırçalanmış metal ve plastikten oluşan tuşlar üzerinde rastgele seçilmiş 27 şifreyi girdiler. Deney sonucu gösterdi ki, plastik tuşlar ısıyı metal tuşlardan, hangi sırayla girildiklerini gösterecek kadar daha uzun süre tutuyor. Metal tuşlar ise, ısıyı herhangi bir tespite yer bırakmayacak kadar kısa süre tutuyor. Araştırmacılar, tuşlara basan kişinin vücut sıcaklığı ve tuşlara ne kadar sert bastığının da, şifreyi bulmada etkili rol oynadığını belirttiler.

Deney sonuçları, plastik tuşlara basıldıktan sonra 10 saniye içerisindeki başarı oranının %80; 45 saniye içerisindeki başarı oranının ise %60 olduğunu gösteriyor.

Dünyanın en güvenli flash belleği: Cryptex

Flash belleğe kaydettiğiniz verilerinizin güvenliğinden şüphe ediyorsanız verilerinizi şifrelersiniz. Eğer bu güvenlik de size yetmiyorsa daha "sert" bir güvenlik çözümüne ihtiyacınız var demektir. İşte bu durumda devreye Cryptex flash bellek giriyor. Üstteki resimde de gördüğünüz üzere Cryptex'in güvenliği yazılımsal değil, tamamen donanımsal. Beş haneli bir şifre sistemine sahip olan bu flash bellek doğru şifre girilmedikçe kapağından çıkmıyor, böylece kullanılamıyor. Benim görebildiğim tek kusuru şifresinin değişmiyor olması. Belki değişiyordur, ama böyle bir bilgi verilmemiş. Cryptex şimdilik sadece bir konsept, ama eğer yeterli ilgiyi görürse üretilebilir. Tabi fiyatı diğer USB flash belleklere göre biraz daha pahalı olur, ama böyle özel bir veri korumasına ihtiyacı olanlar zaten maliyetten kaçmazlar.

Ekstra güvenlikli klavye - fare seti: Microsoft Wireless Desktop 2000

Klavyenin, farenin güvenliklisi nasıl oluyor demeyin, oluyormuş. Kablosuz sinyaller üzerinden klavyede tıklanan tuşlar veya farenin hareketleri takip edilebiliyormuş. Eden var mı bilmiyorum, ama bazıları için edilebiliyor olması bile korkutucu. Microsoft'un piyasaya sürdüğü Wireless Desktop 2000 isimli kablosuz klavye - fare seti işte bu tip güvenliğine fazlaca düşkün (paranoyak demek istemiyorum) kişiler için ideal gibi görünüyor. 40$ fiyatla ABD'de satılmaya başlanan bu setin diğer kablosuz masaüstü setlerinden farkı 128bit AES şifreleme özelliğine sahip olması. Böylece çevredeki hain casuslar sinyalleri takip ederek özel bilgilere erişemeyecekler (en azından erişmekte biraz zorlanacaklar). Güvenliği bir yana, set oldukça güzel görünüyor. Eğer bir gün sevgili Apple klavyemden vazgeçecek olursam böyle birşey düşünebilirim. Zor bir ihtimal, ama tıpkı kablosuz klavye sinyallerinin çözülmesi gibi, bu da bir ihtimal.