Norové potají rozebrali čínský autobus. Nalezli zařízení, kterým se dá ovládat na dálku
Autobus čínské značky Yutong v norském Oslu. Foto: Ssu, CC BY-SA 4.0 via Wikimedia Commons
Krabička se SIM kartou dokáže ovládat bateriové systémy.
Správný postup by byl ve všech tendrech explicitně zakázat podobné remote control fíčury s dodatkem že kdo to poruší a dodá takový bus, tak pokuta a zákaz účasti v tendrech.
Takže když v půlnoci zákazník zavolá, nejde nám to a tohle, mrkni se nám na to. Tak si servisák zarezervuje místenky na další den a pak tam dorazí, zresetuje paměť a po dvou dnech stání vyjede „opravený autobus“ 😀
U nás rozebrat někdo SORku tak najde maximálně tak slámu a hnůj z JZD 😀
Kolik řádků kódu má dnes takový autobus? Dá se bezpečně říct co v nich vlastně je?
Je v Evropě dost expertů?
Autobus (stejně jako jiná vozidla) není jednolité zařízení, má uvnitř mnoho počítačů od mnoha dodavatelů, dnes má každé čidlo svůj procesor, tedy svůj firmware. Chce to spíš bezpečnostní audit dodavatele zařízení, které řídí celou sběrnici, zpracovává data a má možnost je posílat někam ven.
I kdybyste udělal audit dodavatele teď, tak to neznamená, že ten dodavatel bude „hodný“ za pět let.
Jak píše nadřečník, není tam jeden počítač, jsou jich tam hromady pospojované nějakými sběrnicemi (CAN), V těch jednotkách neběží zdrojový kód, ale kompilovaná binárka, což vyžaduje dekompilaci, reverzní engineering a i tak se nemusí zjisti co vše to může dělat. Rozhodně by bylo dobré mít na mysli širší měřítko než jen geopolitické – což samozřejmě je určité riziko, ale jsou i mnohem palčivější každodenní, protože firmy a korporace často mohou být horší než dynastie (a nemusí být jasné komu straní). Vezměme si třeba záměrné deaktivace vlaků Newag, kvli snaze poškodit konkurenční servis. To už není potenciální hrozba, to je reálná… Číst vice »
Protože , když u ž se na něco takového přijde, tak jim to projde úplně jednoduše. Kdyby za to newag dostal klidně i likvidační pokutu a desetiletý zákaz účastnit se tendrů, tak by si takově chování už jen tak někdo nedovolil. To je přesně princip těch drakonických odškodnění v americe, aby se ty firmy, na mnohem volnějším trhu než je v evropě nechovaly nefér. A pokud se tak chovají, dostanou pokutu, která je opravdu bolí (a občas i zničí). Takže si už mcdonald nedovolí nalévat nebezpečně horké kafe, s vnitnří směrnicí, že o porušení hygienické normy ví, protože platit nízké… Číst vice »
Problém je že dnešní korporace hlavně v digitálním světě si z národních regulátorů dělají dobrý den a státy jim nedokážou dát pokutu která by je bolela. V takovém světě země jako ČR má šanci jen v rámci EU, proto je potřeba do našich zákonů co nejdříve implementovat evropské DSA (digital service akt).
Že je v tom vozidle nějaké na dálku ovládané zařízení asi není až tak překvapující.
Víc mě zaráží, jak už bereme jako normální, že v Norsku jezdí čínské busy. A třeba i u osobních aut rostoucí podíl čínských značek na evropském trhu. Jasně jsou levnější, ale vážně nám to stojí za likvidaci evropského průmyslu?
Zrovna z pozice ČR, pro kterou je už historicky výroba aut, autobusů, tramvají, vlaků atd. zásadní součástí průmyslu a řekl bych i národní identity, by to mělo být velmi znepokojující a měli bych proti těmto vlivům ostře vystupovat.
A jak si to konkrétně představujete?
No tak nejlepší by bylo, kdyby taková Sorka vyhrála výběrko v tom Norsku…
Na tom není nic k divení. 99% evropských konzumentů nakupují elektroniku podle ceny, ne podle místa výroby nebo podle toho kolik součástí je domácích. Tak proč by tomu mělo být jinak u větších výrobků jako je autobus?
Tak YUTONG je momentálně z hlediska elektrobusů to TOP, takže to není jenom o tom, že je nejlevnější.
Po druhé světové válce byl u nás automobilový průmysl zdevastován komouškým šílenstvím. Ale na západě to bylo jinak. V 50 letech přišly první japonské automobily. Byly to nekvalitní krámy na několik málo let, ale byly levné a bývaly vysmívány. Po několika letech se z japonský autoprůmysl vyvinul tak, že zlikvidoval řadu méně úspěšných evropských a amerických automobilek. Některé z nich byly pohlceny úspěšnějšími konkurenty, jiné se (prostřednictvím bankrotů) změnily na jiná průmyslová odvětví. V sedmdesátých letech nastala naprosto stejná situace s automobily z Koreje. Ani jedna z těchto asijských vln Evropu nijak nepoškodila, naopak ji posunula směrem k vyspělejším technologiím.… Číst vice »
Jak to chcete v globalním světě udělat?
To snad umí každý krám s elektronikou, tedy pokud je v dosahu sítě. Což je bohužel občas problém. Další výzva je ta sim karta, ale ono se to zlepší s esim. Prostě jen zase objevili kolo. Nepamatujete si na to jak Dědek vypnul Rusku zabezpečovačky? https://cnn.iprima.cz/neverte-putinovi-miliardar-dedek-vyhlasil-soukromou-valku-rusku-a-belorusku-82545
S esim se to spíš zhorší, protože to už nebude plastová kartička, ale bude to nahrané v počítači, takže to ani jednoduše neodpojíte. Mobilní sítě se dnes využívají i k dronovým útokům na Ukrajině, takže ruský Šahed nepotřebuje satelit ani GPS a přesto ho operátor může ovládat a navádět v reálném čase. A (e)sim kartu si může anonymně koupit kdokoliv, takže ani nejste schopen filtrovat komu přístup povolit a komu zablokovat, maximálně vypnout celou síť, ale tím zas odříznete možnost dovolat se pomoci v nebezpečí.
Však to píšu, že se to ještě pro výrobce zlepší. I když někde není pokrytí i když například v Německu O2 tvrdilo, že ano, jenže ne třicet metrů pod rovinou terénu a to nebylo pod zemí. Bohužel je to daň za pokrok. Když síť vypnete, tak si nekoupíte ani sirky.A pokud to chce mít výrobce posichrované, použije satelitní přenos, jako jeden náš výrobce do Mexika.
Obávám se že to není nic výjimečného, co jsem tak slyšel, tak SIM přístupy jsou dnes snad v každém autě (nevím jak u autobusů), což třeba u Evropských aut není přímo geopolitické riziko, ale riziko to pořád je, protože nějaký přístup tam je a nelze garantovat, že to má výrobce dokonale zabezpečené (většinou nemá).
Volkswagen nedávno ztratit data 800 000 uživatelů, včetně polohových údajů atp., takže ono by to chtělo obecnější pravidla pro tento typ šmírování a přístupu, který nelze odvolat.
Čínské auto při nízkém sociálním kreditu alespoň jednoho cestujícího odmítne pokračovat v jízdě.
SIM kartu má dnes i rozvaděč ovládající výhybky na křižovatce, to výjimečné není. Klíčové je, aby ty data chodily a zpracovávaly se přes domácí servery a ne přes Čínu. Stejně jako dnes koupíte levné senzory do chytré domácnosti, tak jim často dáváte přístup do vaší soukromé WiFi a pro prohlížení dat nebo ovládání se přihlašujete do čínského cloudu. Přitom lze mít čistě lokální síť, kde všechno teče přes vaši domácí bránu (ať už open source Home Assistant nebo komerční nečínské zařízení), ale málokdo se nad tím zamyslí a vybírá si podle toho co jde použít čistě lokálně bez připojení k… Číst vice »
Tady nejde o to, že má něco SIMkartu, aby to mohlo komunikovat s internetem. Často je to žádoucí, ne ke všemu se vyplatí táhnout optický kabel nebo patch kabel. Koneckonců SIM jsou i v GSM-R modulech ETCS – ale ví se kam se připojují a co komunikuji. Problém je, že většina řidičů nemá tušení, že jejich auto má přístup na internet a posílá telemetrii o které nemají tušení. Takhle tajná zařízení ve věcech o kterých si myslíme, že jsou offline jsou krajní problém. Sdružování dat ve všemožných cloudech je jen třešnička na dortu. Spotřebka a IoT to je trochu jiný… Číst vice »
Vzhledem k tomu, že i drivery a knihovny například pro Simatic se tvoří po celém světě, tak jistotu, že tam nigne není nic co posílá bokem nemá nikdo.
To nejsou jen autobusy, to je dnes vše. Každý máme smartphone, ke kterému nemáme rootovský (administrátorský) přístup. Můžeme se jen domnívat co tam běží na pozadí, a jestli když v telefonu vypnu GPS, tak je skutečně vypnutá a ne jen „vypnutá“. A u Windows to není o moc lepší. Čemu se dá vůbec dnes důvěřovat? A těmhle krabičkám svěřujeme (jsme systémem nuceni svěřovat) čím dál tím víc aspektů našich životů. Umíte si představit co by se stala kdyby Trumpovi ruplo v bedně, na Evropu vyhlásil saknce a na základě těch by Google a Apple dálkově začali dálkově zablokovávat telefony?
No, šál bych do šuplíku, oprášil tlačítkovou nokii…
do roku 2028, pokud bude 2g zařízení v síti dostatek. Jinak jen do konce roku 2026.
Pokud vám na tom záleží, můžete na PC používat některou opensource linuxovou distribuci a na telefonu třeba LineageOS.
Já Linux použávám.
Na kolik % telefonu na trhu lze Lineage nebo jiny OS na instalovat a co vsechno pak nefunguje?
Lze to nainstalovat na takřka všechny velké značky. A funguje skoro všechno. Však je to pořád Android.
Přestože jsem zastánce alternativních ROM, tak tady kecáte. Rozhodně ne všechny modely těch velkých značek. Takový rychlý odhad by mohl být, že tak na třetinu telefonů se nainstalovat dá oficiální verze, tak na šestinu nějaká neoficiální, kde už toho funguje míň (a tím spíš tam nemáte žádnou záruku, že to bude bezpečnější). A rozhodně nefunguje vždy všechno. 1) Problém bývá v ovladačích často vyžadují něco ve výrobcem upraveném Androidu, a s AOSP některé hardwarové funkce nefungují správně (to se týká i např. velké značky Samsung). 2) Buď to nainstalujete bez Google Apps, ale pak vám nefungujou některé aplikace na nich… Číst vice »
Jde treba vubec zprovoznit Google Pay?
Nevím, ale pochybuju. Nikdy jsem neměl zájem být i v tomto závislý na Googlu (i kdyby to bez gapps šlo, tak stejně je to Google služba se závislostí na tom, jak se někdo za mořem vyspí). Ale máte pravdu, je to také jedna z věcí, které vám „systém“ může nutit. Zatímco u nás si třeba jízdenku v Lítačce nebo DÚK appce koupíte normálně platební kartou, tak když jsem byl v polském Trojměstí, tak jedině nějaký čistě polský systém Klik, nebo Google (a byla tam čerstvě zrušená možnost nákupu jízdenek v alternativních aplikacích).
Jde, když oblbneš Play Integrity. Ale je to čím dál těžší, poslední dobou skoro nemožné, takže na to smolím a žiju bez mobilních plateb (tak jako tak mám peněženku furt u sebe, tak mi to je jedno).
Paradoxně ještě mnohem nemožnější je zprovoznit George od České spořitelny, který vyžaduje ještě vyšší stupeň integrity než Google Pay. Jiné bankovní aplikace (Air Bank, mBank, Fio) se ještě překecávat nemusí.
A ještě pak jsou problémy s některými appkami, třeba některé bankovní, které detekují jestli má telefon odemčený bootloader či root.
Jo, hlavně Spořka je na to specialista. Ale dost bank s tím (zatím) problém nemá.
Nejvíc mě fascinovalo, když mě pokárala aplikace Albertu, že se v mém telefonu necítí bezpečně. 🙂
Treba Samsung a Xiaomi? Podivejte se, jak stare mobily jsou podporovane.
Rozhodně jsou ale ty modely od LineageOS podporované déle, než od výrobce.
Těch možností je několik, Na Pixely jde instalovat GrapheneOS, dají se koupit telefony přímo s Linuxem (i když od čínského dodavatele), můžete si koupit i takové, které mají fyzické vypínače na WiFi, GPS, foťák. Ale málokdo se o to zajímá. Za zmínku stojí evropský Fairphone, který má etické zdroje materiálu a můžete si instalovat jaký chcete operační systém, máte plný přístup k systému.
Ano, ale tu nezávislost si tam koupíte hodně draze. Mně bohatě stačí Motorola za 3kKč (ale bohužel se závislostí na Googlu). Fairphone za hodně přes 10kKč s horším hardwarem, Pixel za 20kKč, a na ten nejnovější navíc už asi GrapheneOS nepůjde, protože to Google zavřel.
A ještě je otázka, jak s těmi „několika možnostmi“ u nových telefonů zamává Směrnice 2014/53/EU, resp. reakce výrobců na ni (podle všeho odemčený bootloader výslovně nezakazuje, ale pro výrobce by to znamenalo při dodržení směrnice větší úsilí, které nejsou ochotni vynaložit).
Nefunguje google wallet/pay, nemusí fungovat bankovní aplikace, nebo e-doklady.
Na Intel PC běží Intel Management Engine (založený na Minixu). Ten má práva vyšší než root nebo samotný OS a dokáže běžet i v low poer modu, tedy i když počítač jinak vypadá vypnutý. Tady ani OS Linux nepomůže.
Což Vám moc nepomůže, stále je tam základní deska. Ale pokud nechcete Čínu, tam druhí strana vyrábí a prodává notebooky ve vojenském standardu a jsou u nás také k dostání, jen si musíte připlatit a ten vzhled není nic moc, ale jsou odolné a mají certifikaci MIL-STD-810H
Nemate pravdu, bezny Android ani iOS neni rootnuty.
To on nepsal. Rootovský přístup znamená adminstrátorský s opravněním zasahovat souborů OS, je to typ oprávnění. Běžně takový přístup na Androidu ani iOS není (z vícero důvodů), na NIXových desktopech je přitom běžný s potvrzením patřičných oprávnění (Linux, BSD, macOS).
I kdybyste k tomu telefonu měl root přístup, na věci to nic nezmění. Stejně nebudete vědět, zda je to opravdový root a zda tam neběží ještě nějaký nadřazený systém, třeba jako IME u Intelovských procesorů.
Jinak mnohem větší nebezpečí, než že Google začne blokovat telefony, by bylo, kdyby uživatelé hromadně získávali v mobilu vyšší práva a instalovali tam aplikace mimo oficiální obchody. Ostatně tak to funguje na Windows a můžeme si porovnat, jak často jsou zavirovaná Windows a jak často Android.
U Linuxu uzivatele uplne bezne pouzivaji opravneni root. V cem je problem?
Asi v rozdílu mezi schopnostmi průměrného uživatele Linuxu a průměrného uživatele Androidu.
Škodovka nedokáže aktualizovat firmware na dálku? 😀
doposud se jim to nedaří, ale infotaiment dokáží znefunčnit už od roku 2019
Dokáže. A taky se může stát, že člověk neodjede, protože zrovna probíhá aktualizace.
What a surprise 😁