http://www.heise.de/security/meldung/BM ... 33601.html
Ich weiß gar nicht was daran schlimmer ist .. dass man da fremde Autos per Sicherheitslücke aufsperren kann, ok, böse, aber kann passieren, mechanische Schlüssel sind ja auch nicht fälschungssicher..
Aber dass die einfach die Software die da in der Box im Auto läuft übers Handynetz aktualisieren können, wann immer es denen passt, ohne dass man das auch nur mitbekommt.. what can *possibly* go wrong?? :facepalm:
Ich hass es schon wie die Pest wenn sich mein PC beim nächsten Reboot wenn ich grad vor einer TelCo bin unbedingt aktualisieren muss, oder mein Handy, grad wenn ich irgendwo im Zeitrdruck versuch auf Maps nachzuschaun wo ich jetz bin und wo ich hinmuss, unbedingt irgendein 40Mb update saugen muss und plötzlich dauernd crashed weil 100Mb nicht ausreichen um ein update einzuspielen. Ich hoff mal die warn schlau genug dass die Updates wenigstens über ein zweites Flash eingespielt werden und dann nur wenn der Motor steht und das Update nach CRC-check erfolgreich war geswitched wird und das nicht irgendwo mitten auf der Autobahn passiert..
.. aber es ist schon mühsam genug wenn man irgendwo in der Pampa zum pinkeln stehn bleibt und plötzlich nicht mehr in sein Auto reinkommt weil man nur das Handy mithatte, und beim Aussteigen noch Version 1.04.23 drauf lief, beim Einsteigen aber 2.01.55 drauf ist und nicht mehr mit der alten Handy-App kompatibel ist, weil man davor so lang in der Tiefgarage gestanden ist..
.. und 'dass die schon schlau genug waren', wenn man weiß wie Software entwickelt wird, und man dann liest dass die Lücke geschlossen wurde indem die auf HTTPS umgestellt haben, dann hab ich da ernste Zweifel.
Die haben da HTTP verwendet! In einem Auto. Ein Webserver. Zur Anbindung vom einer Remote-Control-Box im Auto an den Server bei BMW. HTTP. Unverschlüsselt also. Für ein Kastl, dass das Auto aufsperren kann und hupen kann und das Licht kontrolliert, und direkt am internen Bus hängt. Und das hat keiner bei BMW bemerkt bzw sich gedacht, hm, ist vielleicht eine kleine Sicherheitslücke !?!
Und die Lösung ist, sie drehn HTTPS an.. remote.. Und das wird dann als Feature verkauft. m(
Wer schon mal einen Webserver konfiguriert hat, weiß ja wie problemlos so was ist, und wie selten es da ein Hoppala gibt
Mein altes Nokia-Handy hatte ich glaub ich 4 Jahre lang oder mehr.. Ich weiß bis heut nicht mal, wie und ob man da überhaupt Softwareupdates einspielen könnte, hab ich auch nie gebraucht.
Beim neuen Airbus (oder wars Boing), hat ein in der Flugzeugindustrie tätiger Prof erzählt, haben sie die Möglichkeit für Inflight-Firmware-Updates vorgesehn. Die Steuer-Software die in einem in einem A380 läuft, hat übrigens ein paar 100Mb..
