Käferfiles.messe.de/abstracts/63762_fr_14_20_kaefer.pdf · 2015-10-13 · Digitale Forensik im...

Fan werden! Interesse an einerKooperation und einem fachlichenAustausch?

Wir freuen uns über eineKontaktaufnahme.

Tel. 02405/47949-0E-Mail:

Unterstützen Sie unser Projekt aufder Crowd-Funding-PlattformSciencestarter und profitieren Sievon den Forschungsergebnissen:

Jeder Betrag zählt! Alle Fans undUnterstützer bleiben über dieForschungsergebnisse auf demLaufenden und erhalten ein Exemplardes Abschlussberichtes.

[email protected]

www.sciencestarter.de/car-forensics

KäferEDV Systeme

Gm

bH

Thomas Käfer

Elchenrather Weide 20 - D 52146 WürselenTelefon 02405 / 47949-0 - FAX 47949-15

Mobil-Telefon 0172 / 2403674

http://www.car-forensics.de EMAIL: [email protected]

Öffentlich bestellter und vereidigterSachverständiger für Systeme undAnwendungen der Informationsverarbeitung

Dipl.-Ing.

Thomas KäferEDV Sachverständiger

Dipl.-Ing. KäferEDV Systeme

Gm

bH

Zielgruppen:�

�

�

�

�

�

�

�

�

�

Automobil- und ZulieferindustrieLegislative – Politik und GesetzgeberForschung und Lehre (IT, Automotiv)Exekutive – Ordnungswidrigkeiten-und Strafverfolgung (Polizei undStaatsanwaltschaften)Judikative – Rechtsprechung(Gerichte und Rechtsanwälte)Sachverständige und Forensiker(speziell IT und Automobilbereich)VersicherungenAutomobilclubsPresseInteressierte Verbraucher

Im Detail sind u.a. folgendeAspekte zur wissen-schaftlichen Untersuchung vorgesehen.

Untersuchung von Angriffsszenarien fürAutomotiv-Smartphone-AppsBetriebssicherheit von Kfz (Safety Critical)IT-Sicherheit (Security Critical) bei Kfz undCar-KommunikationDatenschutz- und Datensicherheitsaspektebei Car2X-Kommunikation und Automotiv-InfrastrukturenUnfalldatenschreiber und Datenschreiberfür autonomes FahrenAutomatisches Notruf-System eCallHaftungsfragen und Datenschutz beim auto-matisierten Pilotieren von KfzNotwendige Rechtsreformen für automati-siertes Pilotieren von KfzForensische Auswertungsmöglichkeitenvon Logs in Navigations- und Steuergerä-tenZugriffsmöglichkeit auf Steuergeräte überOBD/CAN-BusQualitätssicherung von in Kfz eingesetzterSoft- und HardwareLebenszyklen, Updateregeln und Gewähr-leistung beim automatisierten FahrenCode of Conduct für den Zugriff auf im Kfzgespeicherte DatenCode of Conduct für den sicheren und voll-ständig anonymisierten Austausch vonGeo-DatenDatenlogger im Rahmen von Bonuspro-grammen bei Kfz-Versicherern (pay-as-you-drive)IT-Sicherheitsaspekte und Nutzer-Trackingbei Car-Sharing

�

�

�

�

�

�

�

�

�

�

�

�

�

�

�

�

Forschungsarbeit „Car-Forensics“

Digitale Forensik im Kontext von Fahr-zeugvernetzung, eCall, KFZ-Unfalldaten-schreibern und Smartphone-Kopplung

Die zunehmende Vernetzung von Fahrzeu-gen untereinander (Car2Car), mit Smartpho-nes (Car2Phone) und zentralen Infrastruktu-ren (Car2Infrastructure) sowie optional bzw.zukünftig verpflichtend in Kfz zu implementie-rende Erweiterungen wie Unfalldatenschrei-ber und das System „eCall“ sind unter IT-Sicherheitsaspekten und Datenschutzbe-trachtungen bisher weitestgehend uner-forscht. Die Speicherung und der Austauschvon Fahrzeug- und Bewegungsdaten weckenBegehrlichkeiten bei Kriminellen, Versiche-rungen, Dienstleistern, Polizei und Justiz (z.B.im Rahmen von Verkehrsüberwachung und -delikten, Strafverfolgung sowie Unfallrekon-struktion).

Der IT-Sicherheitsexperte Dipl.-Ing. ThomasKäfer beschäftigt sich u.a. im Rahmen seinesberufsbegleitenden Studiengangs DigitaleForensik an der Hochschule Albstadt Sigma-ringen (in Kooperation mit der Friedrich-Alexander-Universität Erlangen und der Lud-wig-Maximilians-Universität München) mitdem spannenden Thema Sicherheit undDatenschutz im Automotiv-Sektor aus derSicht des IT-Fachmanns und Forensikers.

Das Forschungsprojekt wird in Zusammenar-beit und fachlichem Austausch mit der FHAachen durchgeführt.

Die Forschungsarbeit "Car-Forensics" solleinen ersten Überblick liefern, was technisch imBereich der digitalen forensischen Auswertungder in den Kfz verbauten bzw. extern mit denFahrzeugen gekoppelten IT-Systemen derzeitbereits möglich und zukünftig denkbar ist. Impraktischen Teil der Masterthesis soll recher-chiert und geprüft werden, welche Schnittstel-len die verschiedenen Systeme besitzen, dieforensisch angesprochen bzw. ausgewertetwerden können. Hierbei soll sowohl auf offenkommunizierte Standards und Zugänge zuge-griffen als auch z.B. mittels Hacking- undAnaly-sewerkzeugen ggf. mit Hilfe von Reverse-Engineering-Methoden eine Datenauswertungbzw. -manipulation versucht werden. Zielset-zungen der Forschung sind somit u.a., Aussa-gen über den Datenschutz und die Datensi-cherheit aus Sicht der Verwender (Benutzer) zutreffen, die forensischen Möglichkeiten undRechte für Sachverständige und Ermittler zubeleuchten und einen Code of Conduct für dieCar2X-Kommunikation zu definieren.

Aus den Erkenntnissen sollen geeignete Maß-nahmen abgeleitet werden, die in das Designvon IT-Systemen im Automotivumfeld einflie-ßen können, um sie auch unter IT-Sicherheits-,Forensik- und Datenschutzaspekten zu opti-mieren.

(c) Thomas Käfer - Würselen - [email protected] - Fotos Fotolia, Käferlive und siehe Bildmarkierung 1

Digitale Forensik - www.KaeferLive.de

2

About me

� Dipl.-Ing. Thomas Käfer� Baujahr 1966, glücklich verheiratet � Studium FH Aachen – Elektrotechnik / Informationsverarbeitung (1999)� Master-Studium Hochschule Albstadt – Digitale Forensik (bis 2015)� Seit 1990 selbstständig (IT-Systemhaus Käfer EDV Systeme GmbH)� Seit 2002 EDV-Sachverständiger für Systeme und Anwendungen der IT

(seit 2006 öffentlich bestellt und vereidigt)� Seit 2002 Fachautor und Dozent u.a. im Bereich IT-Sicherheit, IT-

Spezialistenausbildung (ISO-17024) und Datenschutz � Ehrenämter u.a. als IHK-Prüfer für Fachinformatiker und IT-Projektleiter,

Mitglied der Vollversammlung der IHK Aachen, seit 2014 Handelsrichter am Landgericht Aachen

� Mitglied im vdi – Verein Deutscher Ingenieure und bdfj – Bundesverband der Fachjournalisten

Agenda und Inhalt

� Kurzvorstellung Digitale Forensik

� Vorstellung der Forschungsarbeit Car-Forensics (Digitale Kfz-Forensik)

� Zielsetzung und Zielgruppen der Forschungsarbeit

� Konkrete Untersuchungen� Sicherheitsaspekte (Security Critical vs Safety Critical)

� Datenschutzaspekte� Forensische Auswertung digitaler Fahrzeugdaten (Ordnungswidrigkeiten, Unfälle, Strafverfolgung,

Zivilstreitigkeiten und Produkthaftung)

� Fragen und Diskussion

� Weitere Infos und Demonstration am Messestand

3



Klassische Forensik ./. Digitale Forensik

4

Forschungsarbeit / Masterthesis Digitale Kfz Forensik

5

Aspekte und Themenfelder der Forschungsarbeit

� Angriffsszenarien für Automotiv-Smartphone-Apps

� Betriebssicherheit von Kfz (Safety Critical) und IT-Sicherheit (Security Critical) bei Kfz/Car2X

� Datenschutz- und Datensicherheitsaspekte bei Car2X-Kommunikation und -Infrastrukturen

� Unfalldatenschreiber (Technik, Zugriffsregeln, Datenschutz, Validität, Nemo tenetur-Grundsatz)

� Automatisches Notruf-Systeme eCall (Datenschutz, Profilerstellung, Ortungsmöglichkeit)

� Haftungsfragen und Datenschutz beim automatisierten Pilotieren von Kfz

� Notwendige Rechtsreformen für automatisiertes Pilotieren von Kfz

� Forensische Auswertungsmöglichkeiten von Logs von Navigations- und Steuerungsgeräten

6



Fragestellungen der Forschungsarbeit

� Was wird digital wo in welchem Umfang wie für wie lange gespeichert?

� Wer hat Zugriff auf die Daten?� Wem gehören die Daten?

� Wie sicher sind die Daten / Systeme?� Was davon sind personenbezogene Daten und unterliegen damit dem Datenschutz?

� Was lässt sich forensisch wie und von wem auswerten?

� Was lässt sich für kriminelle Zwecke missbrauchen?� Welche gesetzlichen Rahmenbedingungen gibt es und welche müssen neu geschaffen werden?

7

Industrie 4.0 – Internet der Dinge – Smart Factory – M2M-Kommunikation – BigData…

8

Internet der Dienste

Internet der Dinge

Smart Factory

Smart Grids

Smart Products

Smart Buildings

Smart LogisticsSmart Mobility

Schnittstellen und Akteure definieren die Angriffsflächen und die Angriffsvektoren

9



10

Missbrauchs- und Angriffsszenarien: Past – Present – Future

� Fahrzeug ohne Fahrerassistenzsysteme � keine digitalen Systeme� keine digitalen Schnittstellen � keine externe Vernetzung

11


� Fahrzeug ohne Fahrerassistenzsysteme � keine digitalen Schnittstellen � nur interne/ keine externe Vernetzung

12


� Fahrzeug mit Fahrerassistenzsystemen – teilautonomes Fahren � viele digitale Schnittstellen � umfangreiche interne und externe Vernetzung



13


� Autonom fahrende und voll vernetzte Fahrzeuge

14


15

Missbrauchs- und Angriffsszenarien: Reifendrucksensoren - Tracking und Spoofing



16

Missbrauchs- und Angriffsszenarien

� Manipulation von Bus-Signalen (GPS, Steuerwertdaten)� Ohne Verschlüsselung haben Hacker leichtes Spiel…� Gegenmaßnahmen: u.a. Validierung, Verschlüsselung, Hashing, Intrusion Detection, Firewall und

Forensic Readyness

Missbrauchs- und Angriffsszenarien

17

� SPAM auf den PC ist nervig.

� Phishing auf dem PC ist ärgerlich.

� Online-Banking-Betrug ist kostspielig.

� Angriffe auf Fahrzeuge sind in letzter Konsequenz tödlich.

18

Erste Forschungsergebnisse: Angriffsszenarien auf Automotiv-Apps



19

Erste Forschungsergebnisse - Unsicherheit von Automotiv-Apps

� Konkrete Funde allein in einer untersuchten Automotive-App:� PIN der App: „1234“ im Klartext in der Apple Keychain gespeichert� AES Schlüssel-Datenbank: 1INdeJ7ktzzhzGQucH2uX0zPkEvI8K4n (im Klartext in der Apple Keychain gespeichert)

� VIN: xxxxxx

� Kennzeichen: AC-I..….

� Benutzername: Thomas.TK.Kaefer

� Benutzer ID 678xxx im Automotiv-Portal� Passwort: Bananen1234. -> „codiert“ als

FBD8D7D8D7DCD7888B8A8D97 (X-OR mit B9)

� Alle Ausstattungscodes des Fahrzeugs

� Farbe des Fahrzeugs

� Aktueller Standort (GPS-Peilung)

� Zugriff auf Lichthupe, Hupe, Klimaanlageund Türöffner

� 4-Stelliger Passcode-Schutz des iPhone ist in max. 17 Stundenautomatisiert zu brechen (wenn Benutzer nicht die Option„Daten löschen nach 10 Versuchen“ aktiviert hat).

Analyse mit iExplorer, PList-Editor (X-code) und X-Ways-Forensics

20

Unverschlüsselte Datenablage

21



PIN auslesen leicht gemacht…

22

liefert PIN; noch schöner, wenn sie „getPIN“ heißt…

23

Falltür-Algorithmus

Nachbau der App zu Demozwecken

Analyse mit Snoop-it und einem Keychain-Dumper nach Pangu-Jailbreak

Das ist die PIN!

Fundstellen Passwort (XOR-codiert)

Hierbei lautet das Klartext-Passwort „Bananen1234.“. Dies entspricht dem Cipher-Text „FBD8D7D8D7DCD7888B8A8D97“. Man erkennt z.B., dass die „1“ der „88“, die „2“ dem „8B“ und das „n“ dem „D7“ entspricht. Diese Erkenntnis war zu verdichten…

24



25

Unverschlüsselte Verarbeitung des Benutzerpasswortes (V 3.0)

Fundstellen Passwort (XOR-codiert)

26

https://m2v.xxx.de/com/registerUserSmartphone?u=Thomas.TK.Kaefer&p=D8DBDADDDCDFDED1D0D3D2D5D4D7D6C9C8CBCACDCCCFCEC1C0C38897&a=1

Antworten auf die Sicherheitsfrage (V 2.8) liegen im Klartext vor (ohne Hash)

Die Sicherheitsfrage und die passende Antwort kann man mit Snoop-IT und dem Aufruf der Methode „answer“ aus der Klasse „RSQuestion“ ebenfalls ermitteln:

27



28


Überspringen des Sperrbildschirms mittels Methodenaufruf in Snoop-it

29

Simpler Nachbau – Schwachstelle praktisch aller Apps, die diesem Design folgen…

30

Neuer Fehler in Version 3.0 – Ändern der PIN im Sperrbildschirm der APP



31

Unverschlüsselte Ablage der Daten in der PList-Datei – Zugriff ohne Jailbreak möglich

Verbesserungen und Verschlechterungen in einer untersuchten App

� Verbesserungen in Version 3.0 im Vergleich zu Version 2.8 :� Die PIN-Abfrage kann nicht mehr allein durch Änderung der PList-Datei abgeschaltet werden, da

zusätzlich ein Indikator (Boolescher Wert true/false) in der Apple-Keychain gespeichert wird.� Es existiert keine SQLite-Datenbank mehr, in der die Fahrzeugdaten abgelegt sind. Hierdurch

reduziert sich die Angriffsfläche.� Der Viewcontroller zur Steuerung der Fahrzeugfunktionen Hupe, Lichthupe und dem Öffnen der

Türen ist ohne korrekte PIN-Eingabe nicht via Jailbreak/Snoop-IT anwählbar (wenngleich diese Funktionen immer noch über die Methodenaufrufe möglich sind).

� Durch Wegfall der SQLite-Datenbank wird ein Teil der benutzer- und fahrzeugspezifischen Daten nicht mehr über den Zeitpunkt des Löschens der App vom Endgerät hinaus gespeichert.

� Verschlechterungen in Version 3.0 im Vergleich zu Version 2.8� Im File „data.plist“ kann man den Namen des zuständigen BMW-Händlers im Klartext incl.

Adressinformationen auslesen. Diese Informationen kann man im Rahmen des Social Engineerings nutzen und deren Speicherung in der App ist im Übrigen aus Datenschutzsicht nicht unbedenklich. Fraglich ist, warum diese Information überhaupt in der App gespeichert ist, da sie über deren Oberfläche gar nicht abgerufen werden kann.

� Die PIN kann mittels Jailbreak/Snoop-IT im Viewcontroller/Screen der PIN-Abfrage selbst ohne Kenntnis selbiger durch einen Angreifer geändert werden.

32

33

Erste Forschungsergebnisse: Angriffsszenarien auf Fahrzeug-Bus-Systeme



Bussysteme und Schnittstellen im Kfz – Wunsch und Wirklichkeit

34

� Klassisches Security-Modell

KommunikationAußenschnittstellen

Security-Layer

Processing(im Kfz z.B. PowerTrain)

Warum funktionieren solche Angriffe?

35

IDS / Monitoring

� Verbessertes Security-Modell

KommunikationAußenschnittstellen

Security-Layer

Processing(im Kfz z.B. PowerTrain)

Warum funktionieren solche Angriffe?

36

IDS / Monitoring



Forensic Readyness – Log or not?

37

Forensic Readyness

38

� Konfliktdreieck Logging und Monitoring

PerformanceDatenschutz

ForensikReadyness

SpeicherplatzKosten

Problemstellungen für die Forensik und sicherheitsrelevante Auswirkungen

� Für den Forensiker: Ohne genormte Datenschnittstellen und digitale Speicher ist eine Rekonstruierung eines Tat- oder Unfallhergangs (bei einem autonom fahrenden Fahrzeug) nicht oder nur mit Hilfe des Automobil-Herstellers oder Zulieferers möglich.

� Hersteller will Wissen nicht an Dritte herausgeben

� Hersteller kennt zugekaufte Steuergeräte im Detail ggf. gar nicht ausreichend gut

� Hersteller ist jedoch bei einem Zivil- oder Strafverfahren Beteiligter oder Beschuldigter

� Konsequenz: Hersteller will oder braucht nicht an der Aufklärung mitwirken bzw. wird nur dann kooperativ sein, wenn es zu seiner Entlastung beiträgt (nemo tenetur). In Zivilstreitigkeiten (Produkthaftung) ist sein Mitwirken ein Parteivortrag und damit weniger glaubwürdig, als ein von einem unabhängigen Sachverständiger erstelltes Gutachten.

39



40

Verschlüsselung

� Digitale Zertifikate / Signaturen zur Authentifizierung / Validierung nutzen.� Ziel: Identifikation des Absenders einer Nachricht bzw. des Nutzers bei einem

Login – Überprüfung, ob eine Nachricht authentisch ist.� Anonymisierte und nicht-anonyme Authentifizierung realisierbar und sinnvoll

(Datenschutz).� Two-Factor-Authentifizierung: Etwas, was ich weiß und etwas, was ich habe.

� Digitale Signatur löst nicht das Problem des unerlaubten Mitlesens von Nachrichten - Lösung hierfür: Verschlüsselung.

Gegenmaßnahmen: Digitale Zertifikate und Digitales Signieren

41

Verschlüsselung

� Symmetrische, asymmetrische und hybride Verfahren� Beispiel aus der Kindheit Cäsar-Algorithmus:

� Versatz des Alphabets um x Zeichen

� Anforderung an moderne Schlüssel:� komplexere Verfahren� große Schlüssellänge

� Ziel: Dechiffrierung ohne Kenntnis des Schlüssels (Ausprobieren) muss erschwert oder gar (zumindest mit heutiger Rechenleistung) unmöglich sein

� Nachteil der symmetrischen Verschlüsselung: vorheriger Austausch (die Speicherung) des Schlüssels ist aufwändig und ein Sicherheitsrisiko -> Lösung: Asymmetrische und hybride Verfahren

� Bitte nicht so: https://server.domain.de/com/registerUserSmartphone?u=Thomas.TK.Kaefer&p=D8DBDADDDCDFDED1D0D3D2D5D4D7D6C9C8CBCACDCCCFCEC1C0C38897&a=1

Gegenmaßnahmen: Digitales Verschlüsseln – aber bitte richtig!

42


� Berechnung funktioniert einfach in die Verschlüsselungs- bzw. Kodierungsrichtung.

� Berechnung in Entschlüsselungs-richtung ist sehr aufwändig bis unmöglich.

� Man spricht daher von einem Falltür-Algorithmus.

� Solche Verfahren sind i.d.R. nur durch Brute-Force-Attacken zu knacken, d.h. durch maschinelles Ausprobieren.

� Vergleich der Hashes (des Hackfleisches), nicht der Klartexte (Schweine).

� Standardverfahren: mindestens MD5, oder SHA 1 – besser SHA 256 oder SHA 512.

� Und: Hashes kann man auch prima zur Prüfung einer Nachricht einsetzen, um unerlaubte Modifikationen auf dem Übertragungsweg zu bemerken.

Gegenmaßnahmen: Digitale Hashes anstelle von Klartext-Passwörtern



43

Gegenmaßnahmen: Denken wie die Hacker

� Denken Sie wie die Hacker und seien Sie kreativ: In jeder guten Anwendung steckt auch eine dunkle Seite (vgl. Autopilot bei Schiffen und deren Missbrauch bei führerlosen Flüchtlingsfrachtern im Mittelmeer).

� White-Box- und Entwicklertests sind gut – Man braucht aber auch externe Blackbox-Tests!� Externe Pen-Tester (Sicherheitsfachleute / Forensiker) suchen systematisch nach Schwachstellen

(so wie die Hacker).

44

Must Do: Beachtung des Kerckhoff‘schen Prinzips (missachtet in der Automobilwelt)

� Kerckhoff'sches Prinzip: Sicherheit eines Systems soll auf der Geheimhaltung der Schlüssel und nicht des Algorithmus beruhen (im Gegensatz zu „Security through obscurity“).

� In der Automobilindustrie ist oft eher letztes anzutreffen. Das funktioniert bei Kopplung mit externen IT-Infrastrukturen aber nicht (mehr).

Sicherheit = Produktqualität

45

� 2014 erreichten die weltweiten Rückrufe der Automobilhersteller einen neuen Negativ-Rekordstand. Wie will die Autoindustrie bei wachsender Komplexität diesen Qualitätsproblemen begegnen?

� Welche Vorgaben macht der Gesetzgeber bzgl. Gewährleistung, LifeCycle und Updategarantien?



Interesse geweckt? Thema relevant?

46

47

Diskussion – Die Büchse der Pandora ist geöffnet…

� Ihre Fragen? Ihre Anmerkungen? Interesse an einer Kooperation?

� Weitere Infos und Visualisierungenwww.Car-Forensics.de oder www.KaeferLive.de

� Unterstützen Sie unser Forschungsprojekt auf Sciencestarter.de

� Kontakt:� Dipl.-Ing. Thomas Käfer� Elchenrather Weide 20� 52146 Würselen� Tel. 02405/47949-0� E-Mail: [email protected]

� Bildnachweis soweit nicht anders angegeben: Eigene Aufnahmen und Fotolia bzw. siehe Bildunterschrift

Vielen Dank für Ihre Aufmerksamkeit.

48

Käferfiles.messe.de/abstracts/63762_fr_14_20_kaefer.pdf · 2015-10-13 · Digitale Forensik im...

Documents

Transcript of Käferfiles.messe.de/abstracts/63762_fr_14_20_kaefer.pdf · 2015-10-13 · Digitale Forensik im...