Araştırmacılar, özellikle Shimano’nun Di2 teknolojisini kullanan üst düzey bisikletlerin kablosuz vites değiştirme sistemlerinde önemli siber güvenlik açıkları ortaya çıkardı.
Bu açıklama, profesyonel bisiklet camiasında şok etkisi yarattı ve bisikletçilerin güvenliği ve Tour de France gibi rekabetçi etkinliklerin bütünlüğüne yönelik potansiyel riskleri gözler önüne serdi.
Kaliforniya Üniversitesi, San Diego ve Northeastern Üniversitesi’nden bilgisayar bilimcileri tarafından yürütülen çalışma, bu alanda pazar lideri olan Shimano Di2 kablosuz vites değiştirme sistemine odaklandı. Araştırmacılar üç temel güvenlik açığı tespit etti:
Tekrar Saldırıları: Sistem, tekrar saldırılarını önleyecek mekanizmalardan yoksundur. Saldırganlar vites değiştirme komutlarını yakalayıp yeniden iletebilir ve bir bisikletin vites sistemi üzerinde yetkisiz kontrol elde edebilir. Bu, sinyal yükseltmeye gerek kalmadan hazır yazılım tanımlı radyolar (SDR’ler) kullanılarak 10 metreye kadar mesafelerden gerçekleştirilebilir.
Kaydedilen paketler, bisiklet bileşenleri eşleştirilmiş kaldığı sürece gelecekte herhangi bir zamanda kullanılabilir.
Hedeflenen Karıştırma: Sistem, saldırganın yakındaki diğerlerini etkilemeden belirli bir bisikletin vites değiştirme yeteneğini devre dışı bırakabileceği hedefli sıkıştırma saldırılarına karşı hassastır. Bu, bir bisikletçinin performansını bozabilir ve yarışlar sırasında tehlikeli durumlara yol açabilir.
ANT+ İletişimi Yoluyla Bilgi Sızıntısı: ANT+ protokolünün iletişim için kullanılması telemetri verilerini sızdırır ve saldırganların bir bisikletçinin vites konumunu ve diğer ölçümleri gerçek zamanlı olarak izlemesine olanak tanır. Bu bilgiler saldırıları daha etkili bir şekilde zamanlamak için kullanılabilir.
Free Webinar on Detecting & Blocking Supply Chain Attack -> Book your Spot
Bu zaaflar, herhangi bir yetkisiz vites değişiminin bir sürücünün performansını büyük ölçüde etkileyebileceği profesyonel bisikletçilik için önemli bir tehdit oluşturmaktadır. Tour de France gibi yüksek riskli yarışlarda, bir saldırgan bu zaafları haksız bir avantaj elde etmek için kullanabilir, vites geçişlerini manipüle ederek veya vites değiştirme işlemini bozarak kazalara veya yaralanmalara neden olabilir.
“Shimano kablosuz vites değiştirme protokolünün ilk güvenlik analizini gerçekleştirdik ve tekrar oynatma ve sıkıştırma saldırılarına karşı savunmasızlığını keşfettik. Bu, saldırganların sürücüleri hedef almasına ve bisikletin vites değiştirme davranışının kontrolünü ele geçirmesine olanak tanır. Saldırganlara böyle bir kontrol sağlamak,
Araştırmacılar, “Bu durum profesyonel yarışlarda sürücülerin performansında olumsuz sonuçlara yol açabilir ve sporun bütünlüğünü etkileyebilir” diye eklediler.
Çalışma, sporun performans arttırıcı ilaçlarla yaşadığı sorunlu geçmişe paralellik kurarak, bu zaafların istismar edilmesinin, fark edilebilir izler bırakmadan haksız bir avantaj elde etmek isteyenler için “çekici bir alternatif” olabileceğini öne sürüyor.
Bu bulgulara yanıt olarak araştırmacılar, bu zaafları azaltmayı amaçlayan karşı önlemler geliştirmek için Shimano ile iş birliği yaptı. Shimano, bu önlemlerden bazılarını uygulamaya başladı ve bir aygıt yazılımı güncellemesinin Ağustos ayı sonuna kadar tüm sürücülere sunulması bekleniyor.
Önerilen karşı önlemler şunları içeriyor:
- Yuvarlanan Kodlar:Her komutun benzersiz olmasını ve yeniden kullanılamamasını sağlayarak tekrar saldırılarını önlemek için yuvarlanan kodların uygulanması.
- Gelişmiş Şifreleme: Yetkisiz erişime ve veri ele geçirilmesine karşı koruma sağlamak amacıyla şifreleme protokollerinin güçlendirilmesi.
- Geliştirilmiş Protokol Tasarımı: İletişim protokollerini zaman damgaları veya sıra numaralarını içerecek şekilde yeniden tasarlamak, böylece tekrar saldırılarını önlemek.
Bisiklet sektörü teknolojik gelişmeleri benimsemeye devam ederken, sporun güvenliğini ve adilliğini korumak için güçlü siber güvenlik önlemlerinin sağlanması hayati önem taşıyor.
Şu ana kadar Shimano’nun Di2 kablosuz vites değiştirme sisteminin hacklendiği bildirilen gerçek dünya olayı olmadı. Sistemde belirlenen güvenlik açıkları gerçek olaylarda veya yarışmalarda değil, kontrollü araştırma ortamlarında gösterildi.
Are You From SOC/DFIR Teams? - Try Advanced Malware and Phishing Analysis With ANY.RUN - 14 day free trial