Bluetooth in de auto: de verborgen gevaren en hoe je jezelf kunt beschermen
In het begin van de 20e eeuw hielden auto’s op iets exotisch te zijn. Ja, ze waren nog steeds behoorlijk duur — niet dat ze dat vandaag de dag niet zijn — maar al met al zorgde de introductie van de lopende band, die massaproductie van voertuigen mogelijk maakte, ervoor dat de kosten daalden en de markt werd verzadigd.
Tegenwoordig zijn auto’s werkelijk alomtegenwoordig. Sommige samenlevingen, zoals die van de VS, zijn ondenkbaar zonder auto’s. Vrij snel nadat ze min of meer betaalbaar waren geworden, kregen auto’s entertainmentsystemen. De eerste, een autoradio, werd in 1922 in een Chevrolet-model ingebouwd, en in 1930 begon Motorola met de productie van de 5T71, de eerste audioset van derden die specifiek voor auto’s was ontworpen.
Tegenwoordig doen infotainmentsystemen in auto’s tevens dienst als navigatieapparaten, afleiding voor kinderen (tekenfilms!), communicatiesets en beveiligingssystemen. In de meeste gevallen wordt hun connectiviteit mogelijk gemaakt door Bluetooth, een technologie met talloze toepassingen. Dat is een pluspunt: geen technologische spaghetti van draden die aan de poorten van het systeem hangen, het gaat allemaal door de lucht. Maar er is ook een keerzijde van de medaille.
Kwetsbaarheden in de Bluetooth-verbinding van auto-infotainmentsystemen
Dit jaar zijn tot nu toe twee grote studies gepubliceerd die onderzoeken hoe (on)veilig de Bluetooth-verbinding van een auto is. De resultaten van beide waren behoorlijk alarmerend, al wezen ze niet op een onmiddellijke kritieke dreiging. Voorlopig althans.
Het PerfektBlue-onderzoek naar Bluetooth-veiligheid in auto’s
Dit onderzoek stond onder leiding van PCA Cyber Security. Het team richtte zich op de OpenSynergy BlueSDK-stack, een van de meest gebruikte Bluetooth-implementaties in autosystemen vandaag de dag, toegepast door grote automerken zoals Ford, Mercedes-Benz en de hele Volkswagen-groep.
Onderzoekers ontdekten grote kwetsbaarheden (CVE-2024-45431 tot en met CVE-2024-45434), die elk kwaadwillenden de toegang geven die nodig is om met de auto en de gegevens die deze opslaat te knoeien, tot en met uitvoering van code op afstand. Een citaat uit het rapport:
“Het PCA Security Assessment Team identificeerde meerdere kwetsbaarheden met een ernst van laag tot kritiek, waarmee een aanvaller 1-klik Remote Code Execution (RCE) kan verkrijgen in het besturingssysteem van een apparaat dat de BlueSDK Bluetooth-stack gebruikt. Met dit niveau van toegang kan een aanvaller het systeem manipuleren, rechten escaleren en zich lateraal verplaatsen naar andere componenten van het doelproduct.”
In lekentaal stellen de kwetsbaarheden aanvallers onder meer in staat om het volgende te doen:
- contactlijsten en belgeschiedenis stelen;
- de locatie van de auto volgen;
- microfoons overnemen om af te luisteren;
- andere delen van het interne netwerk van de auto bereiken (zeldzame gevallen, maar ze komen voor).
Gelukkig konden via de genoemde gaten het stuur en de pedalen niet worden gemanipuleerd. Fabrikanten zijn eind 2024 en begin 2025 begonnen patches uit te brengen; als je in een Mercedes, een Ford of iets van de Volkswagen Aktiengesellschaft rijdt, controleer dan op updates.
Het BlueToolkit-onderzoek
BlueToolkit is een open-source testframework voor Bluetooth-kwetsbaarheden, gemaakt door de System Security Group van de ETH Zürich in samenwerking met het Cyber Defence Campus. Onlangs gebruikte het team achter het framework hun creatie om te testen hoe veilig Bluetooth is in 22 verschillende automodellen, waaronder Renault, BMW, Honda, Tesla en meer. Alles bij elkaar ontdekten ze 64 kwetsbaarheden.
De tests waren gericht op het blootleggen van zwakheden die uitvoering van code op afstand, denial of service en data-extractie mogelijk maken. Daarbij lieten de onderzoekers ook zien hoe aanvallers contacten konden stelen, afluisteren, voertuigen volgen en, in enkele zeldzame gevallen, zelfs de werking van de kernfuncties van de auto verstoren.
De Bluetooth-verbinding van de auto beschermen tegen aanvallen
Hier zijn enkele maatregelen die je kunt nemen om je in je auto te beschermen tegen onaangename verrassingen:
- Vergeet niet Bluetooth uit te schakelen wanneer je het niet gebruikt. Simpel maar doeltreffend: geen verbinding — geen kaping. Vooral bij parkeren op een openbare parkeerplaats.
- Ruim de lijst met gekoppelde apparaten op. Alles wat verdacht oogt moet worden verwijderd. Nog beter: verwijder alles en koppel alleen wat je nodig hebt opnieuw.
- Zorg dat de verbinding met een wachtwoord is beveiligd. In de meeste gevallen is dat standaard zo, maar dubbelchecken kan geen kwaad. En maak dat wachtwoord iets ingewikkelders dan een simpele reeks van 1 tot en met 8.
- Blijf bij met updates. Zoals hierboven genoemd hebben autofabrikanten patches uitgebracht naar aanleiding van het onderzoek. Zorg dat de firmware van het infotainmentsysteem van je auto up-to-date is.
