Abo
  • Services:
Anzeige
Mit der Begleit-App des Leaf lassen sich einige Funktionen des Autos fernsteuern.
Mit der Begleit-App des Leaf lassen sich einige Funktionen des Autos fernsteuern. (Bild: Nissan)

Sicherheitslücke in Begleit-App: Nissans Leaf kann aus der Ferne manipuliert werden

Nissans Elektroauto Leaf kann aus der Ferne manipuliert werden, weil eine Begleitapp nur eine Fahrzeugnummer als Authentifizierung nutzt. Sicherheitsrelevante Funktionen sind von der Lücke nicht betroffen, doch der Hersteller hat bislang noch kein Update bereitgestellt.

Das Auto im Winter schon mal vorwärmen, wenn man von einem längeren Spaziergang zurückkommt? Eigentlich eine praktische Sache. Bei Nissans Elektroauto Leaf kann das über eine Begleitapp erledigt werden - aber leider nicht nur vom Besitzer selbst. Denn die App nutzt zur Authentifizierung gegenüber dem Auto lediglich eine Fahrzeugnummer. Über diese Sicherheitslücke berichtet der Hacker Troy Hunt jetzt in seinem Blog. Nissan sei vor mehr als einem Monat auf das Problem aufmerksam gemacht worden, habe aber bislang nicht mit einem Patch reagiert, schreibt Hunt.

Anzeige

Bei der Companion-App muss man sich mit der Vehicle Identification Nummer (VIN) registrieren. Diese VIN ist bei jedem Leaf in der Windschutzscheibe ablesbar. Weil nur die letzten fünf oder sechs Stellen der Nummer variabel seien, könnte man durch bloßes Ausprobieren verwundbare Autos finden, heißt es in dem Posting. Betroffen sind nur die Autos, bei denen der Fahrer die Companion-App selbst aktiviert hat. Wer einen Leaf hat, sollte also seinen Nissan-Carwings-Account bis auf weiteres deaktivieren, um Probleme zu vermeiden. Mit der Companion-App kann der Batteriestatus der Autos angezeigt werden, außerdem können einige Funktionen des Wagens gesteuert werden - zum Beispiel die Klimaanlage oder die Heizung. Sicherheitsrelevante Funktionen wie die Türverriegelung oder die Motorsteuerung können damit nicht manipuliert werden - doch die laxe Authentifizierung verwundert trotzdem. Die Funktionen der Companion-API lassen sich offenbar nicht nur über die App bedienen, sondern auch über einen Webbrowser.

Auch das Fahrtenbuch kann ausgelesen werden

Darüber hinaus lassen sich aus der App verschiedene Datensätze auslesen. Denn alle Fahrten mit dem Auto werden protokolliert - Datum, Uhrzeit, gefahrene Strecke und auch, wie effizient der Batteriestrom eingesetzt wurde. Bislang ist es zwar nicht möglich, den genauen Standort unmittelbar auszulesen, doch wenn eine Zuordnung des Leaf-Inhabers zu den Daten erfolgen kann, lässt sich ein durchaus detailliertes Bewegungsbild zeichnen.

Auf dem Mobile World Congress in Barcelona hat Nissan ein Update für die Companion-App vorgestellt: Künftig sollen auch der Standort des Autos aus der Ferne abrufbar und eine Analyse des Fahrverhaltens möglich sein.

Nissan-Foren diskutierten schon über den Fehler

Hunt war nicht der erste, dem die Lücke aufgefallen war. In Nutzerforen in Kanada wurde bereits über das Problem diskutiert, bislang gab es aber kaum öffentliche Aufmerksamkeit - vermutlich ein Grund dafür, dass Nissan die Lücke noch nicht gepatcht hat.

Nach Angaben von Hunt wurde das Problem am 23. Januar 2016 erstmals an Nissan gemeldet, der Autobauer habe das Problem auch anerkannt. Eine Lösung gibt es bislang nicht. Die deutsche Pressestelle des Unternehmens war heute telefonisch nicht für eine Anfrage von Golem.de erreichbar.

Nachtrag vom 25. Februar 2016, 14:23 Uhr

Nissan hat die Schnittstellen vorübergehend deaktiviert, wie die BBC schreibt. Das Unternehmen bestreite, dass es zu Sicherheitsproblemen gekommen sei, heißt es in dem Bericht.


eye home zur Startseite
jones1024 25. Feb 2016

Jaaa. Du hast absolut recht. Nichts ist sicher.

joit 24. Feb 2016

Ich finde den Leaf eh nicht so interessant von den Fahrwerten her. Hier kann man leicht...



Anzeige

Stellenmarkt
  1. Vertec GmbH, Hamburg, Zürich (Schweiz)
  2. Daimler AG, Esslingen-Mettingen
  3. Alfred Kärcher GmbH & Co. KG, Winnenden bei Stuttgart
  4. Robert Bosch GmbH, Leonberg


Anzeige
Hardware-Angebote
  1. 229,99€
  2. bei Alternate

Folgen Sie uns
       

Anzeige
Whitepaper
  1. Globale SAP-Anwendungsunterstützung durch Outsourcing
  2. Mit digitalen Workflows Geschäftsprozesse agiler machen
  3. Sicherheitsrisiken bei der Dateifreigabe & -Synchronisation


  1. taz

    Strafbefehl in der Keylogger-Affäre

  2. Respawn Entertainment

    Live Fire soll in Titanfall 2 zünden

  3. Bootcode

    Freie Firmware für Raspberry Pi startet Linux-Kernel

  4. Brandgefahr

    Akku mit eingebautem Feuerlöscher

  5. Javascript und Node.js

    NPM ist weltweit größtes Paketarchiv

  6. Verdacht der Bestechung

    Staatsanwalt beantragt Haftbefehl gegen Samsung-Chef

  7. Nintendo Switch im Hands on

    Die Rückkehr der Fuchtel-Ritter

  8. Raspberry Pi

    Compute Module 3 ist verfügbar

  9. Microsoft

    Hyper-V bekommt Schnellassistenten und Speicherfragmente

  10. Airbus-Chef

    Fliegen ohne Piloten rückt näher



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
Glasfaser: Nun hängt die Kabel doch endlich auf!
Glasfaser
Nun hängt die Kabel doch endlich auf!
  1. Fake News Für Facebook wird es hässlich
  2. Nach Angriff auf Telekom Mit dem Strafrecht Router ins Terrorcamp schicken oder so
  3. Soziales Netzwerk Facebook wird auch Instagram kaputt machen

Western Digital Pidrive im Test: Festplatte am Raspberry Pi leicht gemacht
Western Digital Pidrive im Test
Festplatte am Raspberry Pi leicht gemacht
  1. Audio Injector Octo Raspberry Pi spielt Surround-Sound
  2. Raspberry Pi Pixel-Desktop erscheint auch für große Rechner
  3. Raspberry Pi Schutz gegen Übernahme durch Hacker und Botnetze verbessert

Autonomes Fahren: Wenn die Strecke dem Zug ein Telegramm schickt
Autonomes Fahren
Wenn die Strecke dem Zug ein Telegramm schickt
  1. Fahrgastverband "WLAN im Zug funktioniert ordentlich"
  2. Deutsche Bahn WLAN im ICE wird kostenlos
  3. Mobilfunk Telekom baut LTE an Regionalbahnstrecken aus

  1. Re: Warum will das jemand?

    Gwels | 20:07

  2. Re: Nichts neues...

    BilboNeuling | 20:04

  3. $150 für die 256GB Festplatte.

    quineloe | 20:03

  4. Re: Was wollte er denn damit?

    Apfelbrot | 20:03

  5. Re: Was genau klaut die Ressourcen?

    NaruHina | 20:00


  1. 18:02

  2. 17:38

  3. 17:13

  4. 14:17

  5. 13:21

  6. 12:30

  7. 12:08

  8. 12:01


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel