Peneliti: Peretas dapat menyebabkan kemacetan lalu lintas dengan memanipulasi data lalu lintas waktu nyata

Peretas dapat mempengaruhi arus lalu lintas-arus-nyata sistem analisis untuk membuat orang masuk ke kemacetan lalu lintas atau untuk menjaga jalan tetap jelas di area di mana banyak orang menggunakan sistem navigasi Google atau Waze, seorang peneliti Jerman berdemonstrasi di BlackHat Eropa.

Google dan Waze menawarkan navigasi belokan demi belokan. dalam aplikasi ponsel cerdas dan menggunakan informasi yang berasal dari ponsel itu untuk analisis lalu lintas waktu nyata. Namun, karena tradeoff antara privasi pengguna dan pengumpulan data, peretas dapat secara anonim memengaruhi perangkat lunak navigasi untuk mengelabui sistem lalu lintas real-time ke dalam mendaftarkan sesuatu yang tidak ada di sana, kata Tobias Jeske, seorang mahasiswa doktoral di Institute for Security di Distributed Aplikasi dari Universitas Teknologi Hamburg, selama konferensi keamanan di Amsterdam.

"Anda tidak perlu peralatan khusus untuk ini dan Anda dapat memanipulasi data lalu lintas di seluruh dunia," kata Jeske.

[Bacaan lebih lanjut: Cara menghapus malware dari PC Windows Anda]

Baik Google maupun Waze menggunakan GPS serta Wi-Fi di ponsel untuk melacak lokasi. Jika Wi-Fi saja diaktifkan, hanya informasi tentang titik akses nirkabel dan sel radio di daerah sekitarnya yang akan ditransfer, yang memungkinkan sistem navigasi memperkirakan lokasi pengguna, kata Jeske.

Contoh simulasi kemacetan di Hamburg, Jerman

Navigasi Google menggunakan informasi lalu lintas real-time di Google Maps untuk seluler. Protokol yang digunakan untuk mengirim informasi lokasi dilindungi oleh terowongan TLS (Transport Layer Security) yang memastikan integritas data sehingga tidak mungkin bagi penyerang untuk memantau telepon asing atau memodifikasi informasi tanpa terdeteksi oleh Google, kata Jeske. Namun, TLS tidak berguna jika penyerang mengontrol awal terowongan TLS, tambahnya.

Untuk dapat mengendalikan awal terowongan, Jeske melakukan serangan man-in-the-middle pada Android 4.0.4 telepon untuk memasukkan dirinya ke dalam komunikasi antara smartphone dan Google. Ketika penyerang mengontrol awal terowongan, informasi palsu dapat dikirim tanpa terdeteksi dan dengan cara ini penyerang dapat mempengaruhi analisis arus lalu lintas, menurut Jeske.

Jika, misalnya, penyerang mengendarai rute dan mengumpulkan paket data yang dikirim ke Google, peretas dapat mengulangnya nanti dengan cookie yang dimodifikasi, kunci platform, dan stempel waktu, kata Jeske dalam makalah penelitiannya. Serangan dapat ditingkatkan dengan mengirimkan beberapa transmisi tertunda dengan cookie dan kunci platform yang berbeda, mensimulasikan beberapa mobil, Jeske menambahkan.

Penyerang tidak harus mengarahkan rute untuk memanipulasi data, karena Google juga menerima data dari ponsel tanpa informasi dari titik akses sekitarnya, sehingga memungkinkan penyerang untuk mempengaruhi data lalu lintas di seluruh dunia, tambahnya.

Skenario serangan serupa dapat diterapkan ke Waze, tetapi lebih sulit untuk mempengaruhi navigasi pengemudi lain, kata Jeske. Waze mengaitkan data posisi dengan akun pengguna, sehingga penyerang yang ingin mensimulasikan lebih banyak kendaraan membutuhkan akun yang berbeda dengan alamat email yang berbeda, tambahnya.

Jeske juga menemukan cara untuk mentransfer data posisi ke Waze tanpa otentikasi pengguna, menjadikan penyerang anonim, katanya, tanpa merinci metode tersebut.

Untuk penyerang yang sebenarnya memengaruhi trafik, sejumlah besar pengguna navigasi Waze atau Google harus berada di area yang sama. Ketika datang ke Waze, itu mungkin tidak akan terjadi, misalnya, di sekitar Hamburg, katanya. Waze, bagaimanapun, memiliki 20 juta pengguna di seluruh dunia pada bulan Juli tahun lalu, jadi harus ada area yang memungkinkan, katanya.

Meskipun Jeske belum menguji kerentanan layanan lain yang menawarkan data lalu lintas real-time, mereka bekerja kurang lebih dengan cara yang sama seperti Google dan Waze, sehingga ia mengharapkan bahwa serangan serupa pada sistem tersebut dimungkinkan, katanya.

Perusahaan yang menawarkan aplikasi navigasi dapat menghindari serangan semacam ini dengan menghubungkan informasi lokasi ke otentikasi satu kali yang dicap waktu dan terbatas pada jumlah waktu yang tetap, kata Jeske. Itu akan membatasi jumlah maksimum paket data valid per waktu dan perangkat, membantu mengamankan sistem, tambahnya.