Mal ne frage, ich kenne mich mit dem cybersecurity "gesetz?" nicht aus, aber nach kurzer Suche in den NPM libraries vom enyaq mit softwarestand 4.0 hab ich bereits eine gefunden die eine CVE hat mit Rating 9,1 von 10.
Die Sicherheitsbedenken kann ich sehr gut nachvollziehen. Ich kann mir nicht vorstellen, dass ein Linux System, das vor 2-3 Jahren installiert wurde, sicher ist. Und da wir Nutzer (V3.0) keinerlei Updates mehr bekommen, ist die Wahrscheinlichkeit von Sicherheitslücken 100 %.
Ein bisschen wird das Risiko etwas abgemildert dadurch, dass der Enyaq ziemlich geschlossen ist und auch kein Web Browser oder Email Client installiert ist. Die Öffnung durch Apps insbesondere der Kalendar App halte ich für ein Risiko und würde die nie installieren. Immerhin muss das CalDav Format interpretiert werden und bei der schlechten Software Qualität ist das mit hoher Wahrscheinlich auch schlampig umgesetzt.
Noch vertraue ich darauf, dass die Updates Daten, die über die VW Server kommen, keine Hintertüren haben. Was bleibt mir anderes übrig. Die Mobilfunkschnittstelle lässt sich meines Wissens nicht abschalten und ohne die Erlaubnis für Datenaustausch ist die Funktion des Autos erheblich eingeschränkt.
Was übrig bleibt sind die lokalen Funk- Schnittstellen insbesondere Bluetooth. Da sind natürlich ziemlich viele Schweinereien vorstellbar. Bei Bluetooth und WLAN muss der Attacker räumliche Nähe haben und das Auto im Betrieb sein, das ist ein gewisser eingeschränkter Schutz. Bei der Verwendung von CarPlay vertraue ich auf die Professionalität von Apple.
Wie schon öfters hier beschrieben, halte ich die Verwendung von Bluetooth Dongles über die ODB Schnittstelle für grob leichtsinnig und ich würde das nie machen, zumal die Authentifizierung bei einigen Dongles praktisch funktionslos ist und die mitgelieferte Software garantiert kein Sicherheitsaudit hat. Klar, das wäre eine sehr spezielle Attacke, die nicht massentauglich wäre, somit ist der kriminelle, monetäre Nutzen eingeschränkt, aber trotzdem ist es eine Einladung zum Missbrauch.
Man könnte sich ein Erpressungszenario in Richtung VW vorstellen, bei dem der Attacker erst langsam über die Zeit einen Control und Command Server installiert und dann VW erpresst mit der Drohung Unfälle herbeizuführen.
Dazu wäre nicht sehr viele Autos notwendig,. Wenn erst einmal 100 Enyaqs im Straßengraben liegen und es ruchbar wird, dass ein Cybersecurity Angriff die Ursache war, ist der Schaden für VW extrem und der Brand endgültig zerstört.
Allgemein ist es ist aus meiner Sicht sehr problematisch, ein mit dem internet verbundenes System zu betreiben und gleichzeitig keine Updates zu liefern.
