Entrevistas

El fallo de la Dashcam de Tesla que ha descubierto un equipo español

El sistema de grabación de imágenes de Tesla tiene un problema. Y lo ha descubierto una empresa española. En esta entrevista, Juan Antonio Calles, su CEO, cuenta todos los detalles de la vulnerabilidad.

Imagen de la gama de modelos de Tesla posando

Tesla es un fabricante que ofrece tecnologías bastante llamativas en sus vehículos. Pero, a veces, esas innovaciones sufren vulnerabilidades que descubren equipos de investigadores.

Por ejemplo, el año pasado, unos hackers publicaron el fallo que habían descubierto en el Autopilot de un Model 3. También en 2019, una pareja de expertos en ciberseguridad lograron atacar con éxito a la berlina de Tesla durante un evento de hacking.

Y, recientemente, otro equipo de investigadores de ciberseguridad -los españoles de Zerolynx– ha hallado otra vulnerabilidad en una de las tecnologías del Tesla Model 3.

En esta ocasión, el sistema afectado es la Dashcam, una cámara que graba todo lo que sucede alrededor de los Tesla. Hemos charlado con Juan Antonio Calles, CEO de Zerolynx, para que explique en qué consiste este fallo y cuál es su alcance.

¿EN QUÉ CONSISTE LA VULNERABILIDAD QUE HABÉIS DESCUBIERTO?

El problema radica en que Tesla no firma digitalmente las imágenes grabadas con el sistema de la Dashcam, por lo que cualquier usuario, sin apenas conocimientos, podría manipular esas imágenes y falsificarlas. Simplemente tiene que introducir el pendrive donde se almacenan las grabaciones en un ordenador y editarlas con cualquier programa de edición.

Realmente no se trata de una vulnerabilidad en sí, sino de un problema funcional, porque no afecta a la seguridad del vehículo, sino que nos aprovechamos de una funcionalidad que no ha sido tenida en cuenta durante la fase de diseño.

Foto: Flu Project

¿A QUÉ VERSIONES DE SOFTWARE Y A QUÉ VEHÍCULOS AFECTA EL PROBLEMA?

Afecta a la versión 2020.12.5 y posteriores del fabricante Tesla.

¿QUÉ CONSECUENCIAS PUEDE TENER ESTA VULNERABILIDAD?

El objetivo de la Dashcam es mostrarnos que hemos tenido un percance, como un accidente, un robo o un acto de vandalismo, entre otros. Lo hace en formato de vídeo, el cual podríamos utilizar para poner una denuncia y que los seguros respondan, de acuerdo con las condiciones de nuestro contrato. Ahora bien, si estos datos son manipulables, ¿qué garantía tenemos? ¿Podríamos utilizar un pendrive de un coche que haya tenido un golpe, por ejemplo, en el parachoques trasero, y ‘llevárnoslo’ a otro coche con un golpe similar, pero que tenga el seguro a terceros y que, por tanto, no tendría derecho a una reparación gratuita? La respuesta es SÍ. Actualmente, la Dashcam no ofrece garantía de que las grabaciones y sus datos sean verídicos, porque no se encuentran firmados.

“¿Podríamos utilizar un pendrive de un coche que haya tenido un golpe y ‘llevárnoslo’ a otro coche con un golpe similar, pero que tenga el seguro a terceros y que, por tanto, no tendría derecho a una reparación gratuita? La respuesta es SÍ”

¿ES UN PROCESO SENCILLO O COMPLEJO? ¿NECESITA ACCESO FÍSICO AL VEHÍCULO O SE PUEDE HACER DESDE REMOTO?

Es un proceso realmente sencillo que, efectivamente, requiere de acceso físico.

¿CUÁNTAS PERSONAS INTERVINIERON EN LA INVESTIGACIÓN Y QUÉ MEDIOS SE HAN UTILIZADO? ¿BUSCASTEIS ESTA VULNERABILIDAD APOSTA O HA SIDO UN HALLAZGO CASUAL?

Juan Antonio Calles, CEO de Zerolynx

Participamos tres compañeros del equipo de Seguridad Ofensiva. No obstante, nuestro equipo tiene facilidad para probar la ciberseguridad de los vehículos y reportar lo que consideren relevante.

Fue un problema que buscamos de forma intencionada y que se nos ocurrió cuando Tesla lanzó la versión 2020.12.5 de su sistema, con la que añadían la posibilidad de visualizar desde la propia pantalla los vídeos grabados por el sistema de seguridad.

¿CUÁL HA SIDO LA RESPUESTA DE TESLA ANTE ESTE PROBLEMA? ¿HA SIDO LA QUE OS ESPERABAIS? ¿ESTÁN TRABAJANDO YA EN LA SOLUCIÓN?

No se trata de una vulnerabilidad, sino de un problema funcional. Así que Tesla no lo considera como un bug de seguridad publicable y es decisión suya el proveer de una solución al inconveniente que esta cuestión pueda causar a sus usuarios. La vulnerabilidad tiene que ser muy flagrante para que un fabricante la reconozca.
En este caso, y dado que no afecta en absoluto a la conducción, era predecible su respuesta. Desconocemos si se corregirá en próximas versiones, aunque como usuarios de Tesla, nos encantaría que así fuese.

ESTE TIPO DE CÁMARA DE A BORDO SE ESTÁ VOLVIENDO HABITUAL EN LOS COCHES. ¿QUÉ DEBEN HACER LOS FABRICANTES PARA QUE SUS GRABACIONES LLEGUEN A SER FIABLES COMO PRUEBA PERICIAL?

Lo ideal sería que fuesen firmadas digitalmente con algún tipo de algoritmo de hashing, donde la semilla se correspondiese con algún dato único del vehículo, como pueda ser su número de bastidor. Es decir, la solución versaría en que las imágenes tuviesen grabado un código que fuese único por cada coche y que identificase inequívocamente que pertenece exclusivamente a ese vehículo.

“La solución versaría en que las imágenes tuviesen grabado un código que fuese único por cada coche y que identificase inequívocamente que pertenece exclusivamente a ese vehículo”

¿CREES QUE ESPAÑA PUEDE SER UN REFERENTE MUNDIAL PARA EL SECTOR DE LA CIBERSEGURIDAD APLICADA A VEHÍCULOS?

Dado que la ciberseguridad en el mundo de la automoción es un problema global, no creo que se pueda dar una respuesta local. Es necesaria una alianza de los países tractores para poder abordar los problemas desde el mayor nivel posible, luchando por una regulación común que marque unas directrices sobre lo que se puede y lo que no se puede hacer sobre los sistemas de los vehículos de nueva generación.

Esto que no quita, por supuesto, que España pueda ser uno de los países que impulsen la solución al problema. Tenemos grandes profesionales tanto en el mundo de la ciberseguridad, como en el sector de la automoción. En ese sentido, pienso que la industria debería colaborar estrechamente con nuestras instituciones españolas y europeas para buscar un nexo común.

¿QUÉ OPINIÓN TE MERECEN INICIATIVAS ESPAÑOLAS COMO EL TEST EUROCYBCAR? ¿COLABORARÍAIS CON ELLOS O TENÉIS PREVISTO HACERLO?

Todo lo que sean iniciativas en pro de ayudar a mejorar un sector que aún está en pañales son más que bienvenidas. Desconocemos cómo funciona el test EUROCYBCAR y qué tipo de pruebas se realizan, por lo que no puedo dar una respuesta al respecto. Pero estaríamos encantados de colaborar con cualquier iniciativa o institución cuyo foco se encuentre alineado con el nuestro. La clave estará en las alianzas. Ya se está buscando una respuesta más o menos institucional al problema y hay planteamientos como las normativas de la ONU, orientadas a la ciberseguridad del vehículo autónomo.

J.M. de la Torre
He estudiado Periodismo para aprender cada día algo nuevo y Humanidades para pensar por mí mismo. Después de ponerme tras los micrófonos de COPE, estoy dispuesto a pasar página en el periodismo del motor. Desde bien pequeñito, los coches han estado en el centro de mis intereses y (según cuentan mis padres) ya con 3 años dejaba alucinada a la gente porque sabía reconocer la marca y el modelo de los coches que veía. La curiosidad es algo fundamental para un periodista, y ¡cómo no iba a sentir curiosidad por los coches del futuro y las tecnologías que los harán posibles!

DEJA UNA RESPUESTA

¡Por favor, escribe tu comentario!
Por favor, introduce tu nombre aquí

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.