Abo
  • Services:
Anzeige
Mit der Begleit-App des Leaf lassen sich einige Funktionen des Autos fernsteuern.
Mit der Begleit-App des Leaf lassen sich einige Funktionen des Autos fernsteuern. (Bild: Nissan)

Sicherheitslücke in Begleit-App: Nissans Leaf kann aus der Ferne manipuliert werden

Mit der Begleit-App des Leaf lassen sich einige Funktionen des Autos fernsteuern.
Mit der Begleit-App des Leaf lassen sich einige Funktionen des Autos fernsteuern. (Bild: Nissan)

Nissans Elektroauto Leaf kann aus der Ferne manipuliert werden, weil eine Begleitapp nur eine Fahrzeugnummer als Authentifizierung nutzt. Sicherheitsrelevante Funktionen sind von der Lücke nicht betroffen, doch der Hersteller hat bislang noch kein Update bereitgestellt.

Das Auto im Winter schon mal vorwärmen, wenn man von einem längeren Spaziergang zurückkommt? Eigentlich eine praktische Sache. Bei Nissans Elektroauto Leaf kann das über eine Begleitapp erledigt werden - aber leider nicht nur vom Besitzer selbst. Denn die App nutzt zur Authentifizierung gegenüber dem Auto lediglich eine Fahrzeugnummer. Über diese Sicherheitslücke berichtet der Hacker Troy Hunt jetzt in seinem Blog. Nissan sei vor mehr als einem Monat auf das Problem aufmerksam gemacht worden, habe aber bislang nicht mit einem Patch reagiert, schreibt Hunt.

Anzeige

Bei der Companion-App muss man sich mit der Vehicle Identification Nummer (VIN) registrieren. Diese VIN ist bei jedem Leaf in der Windschutzscheibe ablesbar. Weil nur die letzten fünf oder sechs Stellen der Nummer variabel seien, könnte man durch bloßes Ausprobieren verwundbare Autos finden, heißt es in dem Posting. Betroffen sind nur die Autos, bei denen der Fahrer die Companion-App selbst aktiviert hat. Wer einen Leaf hat, sollte also seinen Nissan-Carwings-Account bis auf weiteres deaktivieren, um Probleme zu vermeiden. Mit der Companion-App kann der Batteriestatus der Autos angezeigt werden, außerdem können einige Funktionen des Wagens gesteuert werden - zum Beispiel die Klimaanlage oder die Heizung. Sicherheitsrelevante Funktionen wie die Türverriegelung oder die Motorsteuerung können damit nicht manipuliert werden - doch die laxe Authentifizierung verwundert trotzdem. Die Funktionen der Companion-API lassen sich offenbar nicht nur über die App bedienen, sondern auch über einen Webbrowser.

Auch das Fahrtenbuch kann ausgelesen werden

Darüber hinaus lassen sich aus der App verschiedene Datensätze auslesen. Denn alle Fahrten mit dem Auto werden protokolliert - Datum, Uhrzeit, gefahrene Strecke und auch, wie effizient der Batteriestrom eingesetzt wurde. Bislang ist es zwar nicht möglich, den genauen Standort unmittelbar auszulesen, doch wenn eine Zuordnung des Leaf-Inhabers zu den Daten erfolgen kann, lässt sich ein durchaus detailliertes Bewegungsbild zeichnen.

Auf dem Mobile World Congress in Barcelona hat Nissan ein Update für die Companion-App vorgestellt: Künftig sollen auch der Standort des Autos aus der Ferne abrufbar und eine Analyse des Fahrverhaltens möglich sein.

Nissan-Foren diskutierten schon über den Fehler

Hunt war nicht der erste, dem die Lücke aufgefallen war. In Nutzerforen in Kanada wurde bereits über das Problem diskutiert, bislang gab es aber kaum öffentliche Aufmerksamkeit - vermutlich ein Grund dafür, dass Nissan die Lücke noch nicht gepatcht hat.

Nach Angaben von Hunt wurde das Problem am 23. Januar 2016 erstmals an Nissan gemeldet, der Autobauer habe das Problem auch anerkannt. Eine Lösung gibt es bislang nicht. Die deutsche Pressestelle des Unternehmens war heute telefonisch nicht für eine Anfrage von Golem.de erreichbar.

Nachtrag vom 25. Februar 2016, 14:23 Uhr

Nissan hat die Schnittstellen vorübergehend deaktiviert, wie die BBC schreibt. Das Unternehmen bestreite, dass es zu Sicherheitsproblemen gekommen sei, heißt es in dem Bericht.


eye home zur Startseite
jones1024 25. Feb 2016

Jaaa. Du hast absolut recht. Nichts ist sicher.

joit 24. Feb 2016

Ich finde den Leaf eh nicht so interessant von den Fahrwerten her. Hier kann man leicht...



Anzeige

Stellenmarkt
  1. OSRAM GmbH, Garching bei München
  2. DATAGROUP Köln GmbH, Starnberg bei München
  3. twocream, Wuppertal
  4. HDPnet GmbH, Heidelberg


Anzeige
Top-Angebote
  1. 89,90€ (Vergleichspreis ab 129,84€)
  2. (u. a. Playstation 4 + Spiel + 2 Controller 269,00€, iRobot Roomba 980 nur 777€)

Folgen Sie uns
       


  1. VLC, Kodi, Popcorn Time

    Mediaplayer können über Untertitel gehackt werden

  2. Engine

    Unity bekommt 400 Millionen US-Dollar Investorengeld

  3. Neuauflage

    Neues Nokia 3310 soll bei Defekt komplett ersetzt werden

  4. Surface Studio

    Microsofts Grafikerstation kommt nach Deutschland

  5. Polar

    Fitnesstracker A370 mit Tiefschlaf- und Pulsmessung

  6. Schutz

    Amazon rechtfertigt Sperrungen von Marketplace-Händlern

  7. CPU-Architektur

    RISC-V-Patches für Linux erstmals eingereicht

  8. FSP Hydro PTM+

    Wassergekühltes PC-Netzteil liefert 1.400 Watt

  9. Matebook X und E im Hands on

    Huawei kann auch Notebooks

  10. Celsius-Workstations

    Fujitsu bringt sichere Notebooks und kabellose Desktops



Haben wir etwas übersehen?

E-Mail an news@golem.de


Anzeige
The Surge im Test: Frust und Feiern in der Zukunft
The Surge im Test
Frust und Feiern in der Zukunft
  1. Computerspiele und Psyche Wie Computerspieler zu Süchtigen erklärt werden sollen
  2. Wirtschaftssimulation Pizza Connection 3 wird gebacken
  3. Mobile-Games-Auslese Untote Rundfahrt und mobiles Seemannsgarn

Redmond Campus Building 87: Microsofts Area 51 für Hardware
Redmond Campus Building 87
Microsofts Area 51 für Hardware
  1. Windows on ARM Microsoft erklärt den kommenden x86-Emulator im Detail
  2. Azure Microsoft betreut MySQL und PostgreSQL in der Cloud
  3. Microsoft Azure bekommt eine beeindruckend beängstigende Video-API

3D-Druck bei der Bahn: Mal eben einen Kleiderhaken für 80 Euro drucken
3D-Druck bei der Bahn
Mal eben einen Kleiderhaken für 80 Euro drucken
  1. Bahnchef Richard Lutz Künftig "kein Ticket mehr für die Bahn" notwendig
  2. Flatrate Öffentliches Fahrradleihen kostet 50 Euro im Jahr
  3. Nextbike Berlins neues Fahrradverleihsystem startet

  1. Re: Wannacry? Linux lacht :)

    ArcherV | 04:13

  2. Re: 1400W... für welche Hardware?

    ArcherV | 04:10

  3. Re: Warum überhaupt VLC nutzen

    ve2000 | 03:26

  4. Re: Unix, das Betriebssystem von Entwicklern, für...

    __destruct() | 03:26

  5. Re: Wirklich nicht umweltfreundlich?

    Onkel Ho | 03:25


  1. 18:58

  2. 18:20

  3. 17:59

  4. 17:44

  5. 17:20

  6. 16:59

  7. 16:30

  8. 15:40


  1. Themen
  2. A
  3. B
  4. C
  5. D
  6. E
  7. F
  8. G
  9. H
  10. I
  11. J
  12. K
  13. L
  14. M
  15. N
  16. O
  17. P
  18. Q
  19. R
  20. S
  21. T
  22. U
  23. V
  24. W
  25. X
  26. Y
  27. Z
  28. #
 
    •  / 
    Zum Artikel