Hàng loạt ôtô Honda có thể bị trộm bẻ khóa, khởi động từ xa

Honda Civic sáng đèn và kêu khi các nhà nghiên cứu kiểm tra tính bảo mật của mở khóa không cần chìa (Keyless Entry) - Ảnh: Jalopnik

Lỗ hổng bảo mật, được các nhà nghiên cứu đặt tên là RollingPWN, khai thác một thành phần của hệ thống mở khóa không cần chìa (Keyless Entry) của Honda. Hệ thống hiện tại dựa trên mã cuốn chiếu (rolling code) để tạo ra mã mới mỗi khi chủ xe nhấn nút trên FOB. 

Theo đúng lý thuyết, mã chỉ được sử dụng 1 lần nhằm ngăn chặn các cuộc tấn công lặp lại (replay attack). Nhưng 2 nhà nghiên cứu Kevin2600 và Wesley Li đã phát hiện những mã cũ vẫn có thể được sử dụng lại, cho phép kẻ xấu truy cập vào xe.

Danh sách 10 mẫu xe Honda bị ảnh hưởng gồm:

- Honda Civic 2012

- Honda XR-V 2018

- Honda CR-V 2020

- Honda Accord 2020

- Honda Odyssey 2020

- Honda Inspire 2021

- Honda Fit 2022

- Honda Civic 2022

- Honda VE-1 2022

- Honda Breeze 2022

Dựa trên những mẫu xe đã thử nghiệm khai thác lỗ hổng thành công, Kevin26000 và Li tin rằng lỗ hổng có thể ảnh hưởng đến tất cả xe Honda, chứ không chỉ 10 xe được liệt kê ở trên.

@Kevin26000 chia sẻ thông tin lên tài khoản Twitter - Ảnh chụp màn hình

Việc cung cấp bản vá lỗi cho lỗ hổng này cũng không đơn giản. Honda có thể cập nhật thông qua OTA, nhưng vấn đề là một số dòng xe không hỗ trợ OTA. Nếu dự đoán là đúng, số lượng xe bị ảnh hưởng ngày càng lớn khiến việc triệu hồi gần như rất khó xảy ra.

Bản chất cách tấn công cũng khiến Kevin26000 và Li hoài nghi rằng lỗ hổng có thể xảy ra trên các mẫu xe của những nhà sản xuất khác.

Phản ứng trước thông tin này, Honda cho rằng đây chỉ là những phát hiện “đã cũ”. 

Phát hiện này chỉ là một trong những lỗ hổng bảo mật đã được tìm thấy trên các xe Honda trong năm nay. Hồi tháng 3, các nhà nghiên cứu xác định được rằng trên các xe của hãng có lỗ hổng replay attack (hoặc Man-in-the-Middle attack) (CVE-2022-27254). Dựa trên lỗ hổng này, hacker có thể thu tín hiệu RF (Radio Frequency) được gửi từ chìa khóa điện tử (key fob) tới ôtô. Sau đó hacker sẽ gửi lại tín hiệu này để kiểm soát hệ thống mở khóa xe và khởi động xe bằng key fob. 

Trước đó, chính Kevin26000 cũng đã báo cáo về lỗ hổng tấn công lặp lại (CVE-2021-46145) hồi tháng 1-2022, nhưng vấn đề nằm ở mã cố định, chứ không phải mã cuốn chiếu (rolling code) như phát hiện mới. Khi ấy, Honda cũng khẳng định đó là những phát hiện sai, vì những xe bị phát hiện lỗ hổng sử dụng mã cuốn chiếu.

Chia sẻ cách mở cửa xe khi quên chìa khóa, TikToker bị 'ném đá' vì vẽ đường cho trộm

TikTok đang lan truyền một video gây tranh cãi về cách mở cửa xe khi quên chìa khóa mà không cần đập cửa hay gọi thợ.