Велоиндустрия — Исследователи нашли уязвимость в переключателях Shimano Di2

Шутеечки, которые отпускали многие по поводу беспроводных переключателей, стали реальностью. Группа исследователей из University of California в Сан Диего и Northeastern University в Бостоне нашли уязвимость в переключателях Shimano Di2, которая позвоялет переключать передачи либо глушить сигнал переключения. Бонусом нашли возможность получать данные с велокомпьютеров с ANT+.

Доклад учёных был представлен на конференции Usenix, которая проходила ранее на этой неделе, 12 — 13 августа в Филадельфии. Если не шибко вдаваться в подробности, то при создании беспроводных переключателей и велокомпьютеров с технологией Bluetooth LE и ANT+ разработчики «удочек» забыли положить в них секурность. С помощью антенны и передатчика исследователям удалось перехватить и расшифровать сигналы трансмиссии и велокомпьютера, а также отправлять на переключатель свои сигналы, заставляющие его переключать передачи. Небольшая демонстрация на видео.

Марьям Моталлебигоми, Эрленс Фернандес и Аанжан Ранганатан утверждают, что уязвимости могут эксплуатировать злоумышленники на крупных велосипедных гонках, вроде Тур де Франс. Причём, можно как заставить переключатели менять передачи, так и заглушить работу манеток для конкретных велосипедов, оставив работать только переключателей «нужных» гонщиков.

Кит исследователей на базе SDR трансивера USRP с антенной и ноутбуком стоил 1 500$ и не отличался миниатюрностью, но исследователи заявляют, что SDR трансивер HackRF за 350$ справился бы не хуже. А благодаря современным технологиям устройство можно уменьшить до таких размеров, что оно будет помещаться в карман условной джерси, и можно будет глушить все переключатели вокруг себя, при этом оставляя свой переключатель полностью работоспособным.

Shimano уже сотрудничает с исследователями с целью затыкания дыр и уже выпустили новую прошивку для переключателей, которую разослали крупным профессиональным командам. Простым «смертным» прошивка станет доступна в конце августа — начале сентября и вроде как будет распространяться через приложение E-TUBE Cyclist.