Beveiligingsonderzoeker en hacker Cesar Cerrudo is erin geslaagd om zowel vanaf de grond als via een drone in de lucht verkeerslichten over te nemen en te bedienen. Dat laat de door Die Hard 4 geïnspireerde Cerrudo op het blog van beveiligingsbedrijf IOActive weten, waar hij voor werkt.

Na het zien van de film Die Hard 4, waar terroristen door alleen op enter te drukken allerlei verkeerslichten manipuleren, wilde de onderzoeker dit ook. En Cerrudo kwam dicht in de buurt van het scenario van de Hollywoodfilm. Het lukte hem om de apparaten die door verkeerssystemen in belangrijke Amerikaanse worden gebruikt te hacken. Het gaat om de magnetische sensoren die in het wegdek zitten en draadloos met access points en repeaters communiceren, die de data over de verkeersstromen uiteindelijk naar de verkeerssystemen doorsturen.

De kwetsbaarheden die Cerrudo in de apparatuur ontdekte maken het mogelijk om de apparaten volledig over te nemen en valse gegevens naar de verkeerssystemen te sturen. "Iedereen kan een verkeerschaos veroorzaken door het uitvoeren van een aanval met een eenvoudige exploit op goedkope hardware", aldus de onderzoeker. De vereiste hardware zou minder dan 100 dollar kosten.

Drone

Het lukte Cerrudo ook om de aanval succesvol via een drone op een afstand van 200 meter uit te voeren. In theorie zou de aanval zelfs vanaf een afstand van 1,6 tot 3,2 kilometer kunnen worden uitgevoerd als er een betere drone en hardware wordt gebruikt. Cerrudo maakt zich vooral zorgen over het feit dat zodra een verkeersapparaat is gehackt, dit zeer lastig te detecteren is.

De apparatuur zou naast de Verenigde Staten ook in Groot-Brittannië, Frankrijk, China en Australië worden gebruikt. Wereldwijd zou het om meer dan 50.000 apparaten gaan. Technische details over de kwetsbaarheden wil Cerrudo niet prijsgeven. Dat zal hij pas tijdens de Infiltrate 2014 conferentie doen, die over een aantal weken plaatsvindt. De onderzoeker maakte wel dit promofilmpje.

Leverancier

De onderzoeker merkt op dat de leverancier in kwestie al in september 2013 werd gewaarschuwd. De leverancier liet echter weten dat de gevonden problemen niet kritiek of zelfs belangrijk zijn. In één van de kwetsbaarheden zou de leverancier zelfs hebben gezegd dat de apparaten opzettelijk op die manier waren ontworpen. Ook de klanten zouden willen dat de apparaten op deze onveilige manier werken, dus was er ook geen beveiligingsprobleem. "Dat was echt het antwoord en ik kon het niet geloven", aldus een verbijsterde Cerrudo.

Een ander lek zou in nieuwe versies van de apparaten al wel zijn verholpen, maar dat houdt in dat de oude apparaten vervangen moeten worden. Een kostbare operatie in steden waar duizenden van dit soort apparaten zijn uitgerold. Een ander excuus dat de leverancier gaf was dat de apparaten geen verkeerslichten aansturen en er dus ook geen noodzaak voor beveiliging is.

Volgens Cerrudo is dit waanzin. De apparaten mogen dan niet direct de verkeerslichten bedienen, ze hebben wel directe invloed op de acties en beslissingen van deze systemen. Cerrudo zag dan ook geen andere mogelijkheden dan zijn onderzoek openbaar te maken om de leverancier zo te dwingen in actie te komen en het publiek en overheden die dit soort systemen uitrollen te waarschuwen.