Запретный плод: Исследование вне закона?
Какая информация должна быть общедоступной, а какая — храниться за семью замками, чтобы не попасть в дурные руки? Однозначного ответа не существует. И история исследователей, удаленно «взломавших» автомобильные иммобилайзеры, только подлила масла в огонь этой непрекращающейся полемики. Их работа, похоже, так и не будет представлена общественности — вмешался английский Верховный суд, издавший упреждающий запрет.
Флавио Гарсия (Flavio Garcia) из Бирмингемского университета (Великобритания) и его коллеги из Университета Неймегена (Нидерланды) — Барис Эге (Baris Ege) и Рул Вердульт (Roel Verdult) — разработали методику беспроводного «взлома» чипа, позволяющего автомобилю «опознать» ключ. Система Megamos Crypto использует радиочастотную идентификацию (RFID), чтобы отключить блокировку запуска двигателя. Естественно, ни использующие данную систему автопроизводители, ни её разработчик — французская фирма Thales — не обрадовались открытию ученых.
Несмотря на то что алгоритм Megamos Crypto уже порядком устарел, он все еще используется в противоугонных системах многих автомобилей.
Алгоритм работы Megamos Crypto — давно уже не тайна. Еще в 2009 году эта информация была опубликована в интернете. Вероятно, она была получена путем послойного рассечения чипа под микроскопом, позволяющего по расположению транзисторов узнать принцип работы схемы. Ученые лишь использовали эти данные, чтобы разработать беспроводную систему, позволяющую отключить иммобилайзер.
Представители компании Volkswagen обратились к исследователям с просьбой вырезать из статьи программные коды, но после изменения текста работу пришлось бы повторно отсылать рецензентам — а значит, пропустить симпозиум, на котором Гарсия, Эге и Вердульт готовились представить свой доклад. Их разработка не была сюрпризом для производителя чипов — исследователи известили Thales об обнаруженной уязвимости еще 9 месяцев назад, но никакой реакции не последовало.
Действия производителей, препятствующих публикации работы ученых вместо того, чтобы в сотрудничестве с ними решать выявленную проблему, только привлекли дополнительное внимание к обнаруженной уязвимости.
По сообщению IEEE Spectrum