מסלול העדכון ב-USB ב-Honda Civic מאפשר מתקפת EvilValet

שלוש שנים לאחר שפרסם את עבודת המחקר הראשונה שלו על הנדסה לאחור של מערכת המולטימדיה (head unit) בהונדה סיוויק 2021, המפתח אריק מקדונלד פרסם עדכון לפרויקט שבו הוא מתאר מסלול עדכון שעובד במלואו — ופגיעות שהוא מכנה "EvilValet".

המפתחות לממלכה

הונדה תומכת בעדכון היחידה דרך USB. על הכונן מונח קובץ עדכון חתום של AOSP שמעובד ומותקן דרך Android recovery, והונדה הוסיפה בדיקות משלה לתהליך. לפי הכותב, שגיאה פשוטה מבטלת את הבדיקות האלה: מפתח הבדיקה הידוע לציבור של AOSP נשאר בספריית res/keys, ולמרות שהונדה שינתה את הבינארי recovery, לוגיקת החתימה של verify_file זהה לזו של AOSP המקורי.

המשמעות: כל מי שיודע לפרמט כונן USB ולחתום אותו במפתח הזה יכול להתקין על היחידה מה שהוא רוצה, בלי גישת root קונבנציונלית. גישה פיזית ליציאת ה-USB הקדמית מספיקה כדי להריץ קוד שרירותי דרך מסלול העדכון.

מתקפת "עוזרת הבית הרעה" בתוך הרכב

מקדונלד מתאר זאת כמתקפת evil maid שעברה מחדר המלון לתא הנוסעים. עיתונאי משאיר את הרכב אצל שירות חנייה; העובד, שפועל למען סוכנות ביון, מתקין עדכון דרך USB; הרכב חוזר עם יחידה ששונתה, וכלום לא נראה לעין.

הוא גם פרסם את ota-builder, כלי בשלב מוקדם שמכין קבצי עדכון שהיחידה תקבל — די בכך, עקרונית, כדי להתקין בינארי su עם setuid ולקבל root במכשיר. יש הסתייגות אחת: יש לו סיבות טובות להניח שכל העדכונים חתומים במפתח הבדיקה של AOSP, אבל אין לו גישה לכל קובץ רשמי או לכל גרסת חומרה, ובמכשיר שלו הותקן HondaHack. עם זאת, קובץ עדכון אירופי הזמין לציבור, שהורד מפורום ולא שונה על ידו, חתום במפתח הבדיקה.

כלים במקום תיעוד

החלק השני של העדכון עוסק ב-apk-rebuilder, שלוקח קובץ עדכון של סיוויק ומפיק עץ קבצים נקי — משאבים מפוענחים, קוד .smali משוחזר, קבצי APK ארוזים מחדש ו-ramdisk שחולץ — ובכך מבצע אוטומטית עבודה שמהנדס לאחור היה עושה ביד. מכיוון שאי אפשר לפרסם קוד מקורי של הונדה, הפרויקט מספק פונקציה שהופכת קובץ עדכון לקוד .smali ולנכסי תמונה.

נושאים פתוחים נוספים: טבלת גרסאות display-audio ידועות, שרשרת כלים ניסיונית ל-ARMv7 שמתאימה לגרסת המהדר ולדגלי הבנייה של הספק, ערכות נושא מותאמות שיחייבו עריכה כירורגית במזלג של מיצובישי ל-AOSP, ו-aidl-rebuilder שממפה ממשקי AIDL ועשוי לאפשר אפליקציות כמו מד מהירות וירטואלי. מקדונלד אומר שרוב המחקר שתיכנן הושלם והוא כנראה יעבור לפרויקטים אחרים, אך pull requests עדיין יתקבלו בברכה.