Elbilforum.no - driftet av Norsk elbilforening
Bilmerker => Leaf 2010-2017 => Nissan => Carwing => Emne startet av: rogersen på ons 24. feb 2016, kl. 10:40
En kan styre AC, lese ut data osv. dersom en vet VIN-nummeret til bilen.
http://www.troyhunt.com/2016/02/controlling-vehicle-features-of-nissan.html
Faktisk kan jo dette være en kjapp snarvei for å skru på forvarming uten å måtte logge inn i den trege appen. :D
Mindre bra er det jo at alt av kjøreturer også kan lastes ned..
Edit:
Testet akkurat dette på min egen bil. Fant først rammenummer hos vegvesen.no. Deretter brukte vi nummeret til å hente ut brukernavnet mitt i bilen og se status på lading. Deretter skrudde vi på og av igjen A/C. Nei, dette er jo ikke videre bra.. Og VIN-nummer er jo i rekkefølge, så folk kan jo herje med en haug med biler nesten samtidig og hente ut brukernavn på alt av biler.
Edit igjen:
Har akkurat slettet Carwings-konto her: https://www.nissan.no/NO/no/YouPlus/private/carwings/mycarprofile.html
Ser ut til at jeg bare får feilmeldinger når jeg prøver å herje med bilen nå, så da er problemet løst. Bortsett fra at jeg ikke har noe fjernstyring lengre da.. ;)
Editedit:
Lurer på hvor lang tid det tar før noen snekrer sammen et script som slår på forvarming av alle Leafs i hele verden hvert 10. minutt i det uendelige. Tar ikke mange sekundene å lage for å si det slik.. :-/
Jeg har sikret meg allerede, med min egendesignede telematikkmodul som ikke har noe med nissan sitt system å gjøre. Har koblet ut orginalmodulen 8)
Kan dette være grunnen til at Nissan ikke har villet levere ut nye biler med 30kWh batteri?
Sitat fra: vartli på ons 24. feb 2016, kl. 11:26
Kan dette være grunnen til at Nissan ikke har villet levere ut nye biler med 30kWh batteri?
Det kan jo være? Jeg ser i pressemeldingen om 30kWh Leaf at GPS-sporing nå skal være tilgjengelig. Det kan jo være at støttet for dette i de nye bilene gjorde at Nissan ikke tok sjansen på å slippe disse når alt er åpent?
Fra pressemelding: "My Car Finder: Access from the You+Nissan web portal or the NissanConnect EV app, request to display your vehicle position on a map"
http://www.newsroom.nissan-europe.com/uk/en-gb/Media/Media.aspx?mediaid=142810
Dette er jo en ganske kritisk feil fra Nissan sin side. Sammen med alle tidligere problemer med carwings/connect understreker vel dette at Nissan burde byttet ut litt folk i avdelingen som utvikler telematikkløsningen i bilene.
Dette er jo helt utrolig. Men åpenbart dessverre sant. Skal i alle fall ikke slå på systemet før Nissan kan overbevise meg om at dette sikkerhetshullet er tettet. Merkelig at dette skal være så vanskelig å få til, og veldig dumt at det skal ødelegge for en ellers glimrende bil.
mvh
Ole Irgens
Sitat fra: Ole Irgens på ons 24. feb 2016, kl. 13:32
Dette er jo helt utrolig. Men åpenbart dessverre sant. Skal i alle fall ikke slå på systemet før Nissan kan overbevise meg om at dette sikkerhetshullet er tettet. Merkelig at dette skal være så vanskelig å få til, og veldig dumt at det skal ødelegge for en ellers glimrende bil.
mvh
Ole Irgens
Ja, det er ingen tvil om at det er sant. Testet det for en time siden, før jeg slettet Nisscan Connect-kontoen..
Dette er slettes ikke bra. Nissan bør komme kjapt på banen med fix / info til oss som har leaf. Betyr jo som nevnt tidligere at med litt script kunnskaper kan kunne herje med ganske stort antall leaf her.....
Og ikke minst at hvemsomhelst(*) kan se at du stoppet ved godtebutikken hver Lørdagskveld!?!?
Dette kan ikke være sant!
Riktignok har ikke Nissan vist noe særlig kunnskap om temaet M2M ellers. Men er dette rett vil jeg tro en eller flere amerikanere allerede ville ropt på Sue og flådd Nissan for trillioner!
(*) Med høyere kompetanse på å skrive applikasjoner enn de som gjør det hos Nissan. M.a.o. de fleste tenåringer med egen datamaskin.
http://www.bbc.com/news/technology-35642749
Nei dette er ikke bra. Jeg har meldt til evnorway@nissan-services.eu at jeg forventer tilbakemelding på når dette problemet blir løst. Oppfordrer alle andre til å gjøre det også slik at vi presser dem hardt.
Så er spørsmålet om dette kan være nyttig.
Er det mulig å lese av SOH på biler som er til salgs rundtomkring?
F.eks i USA?
Digi skriver om saken:http://m.digi.no/sikkerhet/2016/02/24/nissan-leaf-lar-seg-kontrollere-fra-internett.-uten-passord
*kjøre pent og ikke irritere noen i trafikken*
Det mest sjokkerende (om enn ikke overraskende) er at Nissan ikke har gjort en dritt for å bøte på problemet etter å ha visst om det i en måneds tid.
Prøvde ut dette nå på min egen bil og naboen sin ( frivillig ). Det fungerte skremmende godt det. Tok meg 3 minutter å lese meg opp på hvordan jeg skulle gjøre det. Ikke bra i det hele tatt!
Kanskje ta seg en tur innom Nissan forhandler å skrive ned VIN å lage skript, da blir det vel fortgang hos Nissan 8)
Sitat fra: rogersen på ons 24. feb 2016, kl. 10:40
En kan styre AC, lese ut data osv. dersom en vet VIN-nummeret til bilen.
I Norge er VIN-nummer (understellsnummer) på alle biler offentlig informasjon:
http://www.vegvesen.no/Kjoretoy/Kjop+og+salg/Kjøretøyopplysninger (http://www.vegvesen.no/Kjoretoy/Kjop+og+salg/Kj%C3%B8ret%C3%B8yopplysninger)
Det er mange som rutinemessig går gjennom alle EL-regnr for å lage statistikk på feks hvilken farge som er mest populær, hvor Tesla-eierne bor og slikt. Lett å hente ut VIN-nr til alle Leaf-er i Norge.
Sitat fra: fredag på ons 24. feb 2016, kl. 23:50
Sitat fra: rogersen på ons 24. feb 2016, kl. 10:40
En kan styre AC, lese ut data osv. dersom en vet VIN-nummeret til bilen.
I Norge er VIN-nummer (understellsnummer) på alle biler offentlig informasjon:
http://www.vegvesen.no/Kjoretoy/Kjop+og+salg/Kjøretøyopplysninger (http://www.vegvesen.no/Kjoretoy/Kjop+og+salg/Kj%C3%B8ret%C3%B8yopplysninger)
Det er mange som rutinemessig går gjennom alle EL-regnr for å lage statistikk på feks hvilken farge som er mest populær, hvor Tesla-eierne bor og slikt. Lett å hente ut VIN-nr til alle Leaf-er i Norge.
Hm. Og jeg som litt spøkefullt har kallt løsningen for Nissan disConnect. Nå får det vel bli Nissan omniConnect. Lurer på hvorfor flere ikke har tenkt på en slik løsning som Nissan har kommet fram til, banker eksempelvis - hadde vært superpraktisk på mange måter med litt mer åpenhet. Da kunne jeg ha vipsa meg noen spenn bare jeg kjente kontonummeret til noen - innmari praktisk da.
"Nissan. Innovation That Excites"
Nissan har tatt ned tjenesten mens de fikser: http://www.usatoday.com/story/tech/news/2016/02/24/nissan-disables-app-hacked-electric-leaf-smart-phone-troy-hunt/80882756/
Ja nå kommer det som heter Internet of Things. Snart kan man få kaffetrakter, kjøleskap og sykkelen online. Kaffetraktere som oppdager hvor mange personer det er i rommet og lager kaffe til antall personer. Slike logger kan fort misbrukes ("hvorfor var det kaffe til to personer i går da kona var alene hjemme?"). Dette er bare begynnelsen, og man må bare innse at alle data kan misbrukes generelt. Selv om dette sperres nå hos Leaf så er det nok slik at alle produsenter kan hente ut logger på et eller annet vis. De unnskylder seg med at det også gir fordeler men vi gir samtidig fra oss svært mye data som vi såvidt begynner å se konsekvenser av nå. Så poenget her er at et hack hos en konkurrent kunne likegodt eksponert alle data, for dataene finnes. Jeg prøver ikke å forsvare Nissan her for det de har gjort er jo totalt uten sikkerhet, men likevel må vi ikke innbille oss at en økt sikkerhet er 100% sikkert.
Nå er det god margin mellom 100% sikkerhet (som vi er enige om er uoppnåelig) og å gi totalt f@@n!
De har jo brutt de mest elementære regler. Og i tillegg viklet ut en app som knapt virker til det den er ment å gjøre. Hvordan er det med dette hos Flokevogn? De bruker vel samme leverandør av skytjenester (Airbiquity Choreo). Regner dataene bare ned fra skyen der også?
Det blir ofte sagt at det er måten et selskap håndterer en krise på, og ikke selve krisen, som bestemmer selskapets fremtidige omdømme.
Det blir spennende å se hvordan Nissan håndterer dette! Hadde vel egentlig godt kunne tenkt meg at alle kunder ble informert før(samtidig) som man leser om det i media. Gjerne da også med en forklaring om hva som har skjedd og hva de vil gjøre (som å stenge ned appen) og når de regner med at det vil være i orden igjen. Ja, også kanskje en beklagelse?
Nissan har min epost, det blir jeg veldig klar over hver gang de mailer med med fantastiske tilbud på Quasqai, Juke og andre fossilmodeller ;)
Digi.no har en oppdatering om saken: http://www.digi.no/sikkerhet/2016/02/25/har-skrudd-av-den-sarbare-nissan-leaf-tjenesten
Sitat fra: bengtove på tor 25. feb 2016, kl. 15:06
Det blir ofte sagt at det er måten et selskap håndterer en krise på, og ikke selve krisen, som bestemmer selskapets fremtidige omdømme.
Det blir spennende å se hvordan Nissan håndterer dette! Hadde vel egentlig godt kunne tenkt meg at alle kunder ble informert før(samtidig) som man leser om det i media. Gjerne da også med en forklaring om hva som har skjedd og hva de vil gjøre (som å stenge ned appen) og når de regner med at det vil være i orden igjen. Ja, også kanskje en beklagelse?
Nissan har min epost, det blir jeg veldig klar over hver gang de mailer med med fantastiske tilbud på Quasqai, Juke og andre fossilmodeller ;)
Helt enig. Jeg synes allerede at Nissan har håndtert dette dårlig. Senest for 2-3 dager siden legger de ut skrytevideo på Nissan sine facebook sider om hvor fortreffelig deres nye Nissan Connect app er. Direkte flaut å lese kommentarene der hvor nesten samtlige sier at appen ikke fungerer. Ikke skriver de om noen av sikkerhetproblemer heller. Nissan har dessverre hatt en tendens til å bare la vær å kommentere negative ting og gjør heller ikke mye for å forbedre sitt rykte. Å sende mail til Nissans support er også helt bortkastet, om du er heldig å få svar er det som regel av typen "God dag, mann. Økseskaft".
Da kom det en forklaring og beklagelse fra Nissan på Facebook. Inneholdt vel stort sett det jeg etterspurte. Kjenner allikevel at det mangler ett eller annet før jeg er 100% fornøyd...
Regner med at når bugfixen kommer så blir oppkoblingen lynrask og den får mange, mange nye funksjoner ::)
I følge denne undersøkelsen så er det ikke bare Nissan som sliter med IoT-sikkerhetsfokus i bilindustrien:
http://automotive.electronicspecifier.com/safety/what-do-automakers-really-know-about-iot-security
Håper det snart blir satt fokus på både sikkerhet og funksjonalitet...
Tror nok dessverre det kun er Tesla som engasjerer seg nevneverdig, blant annet med bug bounty-program og deltagelse på eksempelvis defcon.
Det er jo bare å se på hvordan de andre bilprodusentene forholder seg til å bli informert om til dels svært alvorlige feil i systemene sine: gå til angrep på de som kommer med informasjonen.
GM har f.eks lansert et nytt disclosure-program der de for å la være å saksøke whitehats blant annet krever at de ikke publiserer informasjon om sårbarhetene de finner før GM evt. får fingeren ut av ræva og fikser den, noe de flere ganger har vist at de ikke gjør før noe alvorlig skjer, eller presset ellers blir for stort.
Nissan klarte ikke en gang å være ærlige nok til å fortelle oss kunder hva som faktisk er problemet i mailen de sendte etter å brått ha tatt ned API-filene, men sier bare at appen er "midlertidig utilgjengelig", og at de "jobber døgnet rundt for å få appen operativ igjen". Sistnevnte kan vel ikke kalles annet enn direkte løgn, og det begynner vel å bli tydelig at de ikke løftet en eneste finger før dette eksploderte i media, selv om de kjente til saken lenge før.
Det å gå fra Tesla til Leaf ifht Appen er som å gå fra fremtiden til steinalderen, men så er det 1/3 av prisen også:)
Vekker denne tråden, siden jeg ikke har sett noen oppdatering på om sikkerhetsproblemet er fikset...?
Ser at Carwings fungerer nå, det betyr vel at Nissan har reaktivert det de skrudde av i februar. På den annen side så funker Leaf Manager også. Jeg ville forventet at hvis Nissan gjorde et skippertak for sikkerheten så ville de i samme slengen sørget for at bare deres egne apper fikk tilgang. Ser ikke helt for meg en bilprodusent som omfavner åpne APIer (mulig unntak for Tesla).
Sitat fra: eNVoy på man 31. okt 2016, kl. 22:21
Vekker denne tråden, siden jeg ikke har sett noen oppdatering på om sikkerhetsproblemet er fikset...?
Ser at Carwings fungerer nå, det betyr vel at Nissan har reaktivert det de skrudde av i februar. På den annen side så funker Leaf Manager også. Jeg ville forventet at hvis Nissan gjorde et skippertak for sikkerheten så ville de i samme slengen sørget for at bare deres egne apper fikk tilgang. Ser ikke helt for meg en bilprodusent som omfavner åpne APIer (mulig unntak for Tesla).
Det ble fikset i februar ja. Det er derfor tråden ikke går lenger. 8)
Sitat fra: eNVoy på man 31. okt 2016, kl. 22:21
Jeg ville forventet at hvis Nissan gjorde et skippertak for sikkerheten så ville de i samme slengen sørget for at bare deres egne apper fikk tilgang.
Security by obscurity er ikke noen god form for sikkerhet, opplest og vedtatt. Og hvordan skal de klare å holde API-et sitt hemmelig når det sitter flinke folk og har full kontroll på android enheten/nettverket etc. Fordelen med å slippe fri API/ikke etterstrebe å gjøre det vanskelig å bruke er at det dukker opp applikasjoner fra tredjepart som er bedre enn ens egne. Leaf manager er ganske mange ganger bedre enn Nissan EV appen.
Så til sikkerhetshullet, så vidt jeg fant ut av det så trengte man kun VIN nummeret for å kunne autentifisere seg, det står skrevet i frontruta, får det som en tilleggsopplysning fra oppslag med f.eks bil og henger app. Dvs brukernavn og passord trengte man ikke å sende med for å få tilgang.
Flott at det er fikset! Jeg har skrudd på alt av emailnotifikasjon for f.eks. å få beskjed hvis noen evt skrur på klimaanlegget mitt for the lolz. En bekymring mindre.
Sitat fra: Burger på man 31. okt 2016, kl. 22:49Og hvordan skal de klare å holde API-et sitt hemmelig når det sitter flinke folk og har full kontroll på android enheten/nettverket etc.
HTTPS mellom app og server, og nøkler i app/bil som gjør at den bare svarer på kommandoer fra autorisert software. Men jeg er ikke akkurat hacker da. Godt mulig det går å knekke det uansett, med MITM/sertifikatforfalskning/whatever.
Sitat fra: Burger på man 31. okt 2016, kl. 22:49Fordelen med å slippe fri API/ikke etterstrebe å gjøre det vanskelig å bruke er at det dukker opp applikasjoner fra tredjepart som er bedre enn ens egne. Leaf manager er ganske mange ganger bedre enn Nissan EV appen.
Amen. Ser bare ikke for meg en bilprodusent som tenker sånn, de er vel gjerne hyperkonservative...? (Unntatt Elonmobile...)
Har Tesla åpent, tilgjengelig API?
Tesla sitt API er public tilgjengelig ja. Kan jo ikke gjøre alt derifra, men ganske mye. Krever kun passord.
Sitat fra: Einar_S på ons 24. feb 2016, kl. 14:01
Og ikke minst at hvemsomhelst(*) kan se at du stoppet ved godtebutikken hver Lørdagskveld!?!?
Det gjør ingenting at folk ser at jeg stopper på godtebutikken hver lørdagskveld, men alle de andre dagene i uka vil jeg ikke bli sett!. ;) :P
Er jo ikke imponerende at dette systemet er såpass dårlig sammenlignet med en ellers veldig bra bil, men det plager meg ikke så mye at folk kan se hvor jeg er. Jeg er jo ellers veldig synlig der jeg kjører rundt.
Er det ikke mye verre at vi blir filmet til stadighet av dashbordkamera?
Sitat fra: turfsurf på tir 01. nov 2016, kl. 06:26
Tesla sitt API er public tilgjengelig ja. Kan jo ikke gjøre alt derifra, men ganske mye. Krever kun passord.
Vil det si at du kan lage egen mobilapp for å styre ting i bilen?
Sitat fra: Bondeknøl på tir 01. nov 2016, kl. 07:41
Er jo ikke imponerende at dette systemet er såpass dårlig sammenlignet med en ellers veldig bra bil, men det plager meg ikke så mye at folk kan se hvor jeg er. Jeg er jo ellers veldig synlig der jeg kjører rundt.
Calm down :-)
Dette ble fikset i februar ish i år, uten korrekt brukernavn og passord så går det i dass.
eNVoy: Angående https mellom server og klient har et problem når 'fi' er eier av klienten. Da kan man reversenginere applikasjonen, se i minnet hva som skjer når den kjører osv. Dette har vært prøvd å blitt fikset på PC plattformen med "Trusted computing", også kalt "TPM". TPM baserer seg på at eier av enheten er fienden og man må ha ting hemmelig for eier. Så TPM eller Trusted Computing handler ikke om å gjøre eier av en enhet tryggere, men å sørge for at eier av enheten ikke kan finne på å bruke den annerledes enn tenkt eller la være å betale lisens.