Het Groot Belgisch Treinen Forum

Interessant: https://www.youtube.com/watch?v=XrlrbfGZo2k

Voordracht op hackers congres over treinmaterieel.
Poolse hackers gecontacteerd door onderhoudsbedrijf omdat zij treinen niet meer in gang krijgen.
Vinden gekke locks in originele software van NEAG...die treinen vergrendelt onder bepaalde voorwaarden die echter niet gedocumenteerd zijn.

Aan het "pools" engels moet je wel even gewennen...

Cybersecurity zal in ieder geval ook op dat vlak belangrijk worden

Klassiekje schreef: ↑06 jan 2024, 00:16 Cybersecurity zal in ieder geval ook op dat vlak belangrijk worden

Met cyber security heeft dit niet veel te maken. Dit was de originele fabrikant van die treinstellen die software had gemaakt die de treinen niet meer liet werken als ze bijvoorbeeld een tijdje stilstonden (wat gebeurt als ze onderhoud krijgen), zodat ze zelf de enige zouden zijn die de treinen kunnen herstellen en het contract voor hun onderhoud zouden krijgen i.p.v. hun concurrenten.

Eén van de stellen moest bijvoorbeeld onderhoud krijgen vóór 21 november 2021 en dat hadden ze ook geprogrammeerd dat de hulpcompressor niet meer zou werken na die datum. Alleen hadden ze dat nogal slecht geprogrammeerd en nu is er een stel dat elk jaar niet werkt tussen 22 november en 30 november en 22 december en 31 december, maar buiten die data gewoon werkt.

Een andere trein gebruikte gps en in de software ingebouwde coördinaten om te bepalen dat een trein een tijdje bij een concurrerend onderhoudsbedrijf stond en weigerde dan tractie te geven.

Ze waren er bijna mee weggekomen ook, want ja, voor een spoorbedrijf lijkt dit eerder alsof het onderhoudsbedrijf gewoon niet wist waarmee het bezig was, want alle treinen die ze naar hen stuurden konden niet meer rijden, en die wilden ze bijna naar de originele fabrikant sturen die behulpzaam dat ze waren had aangeboden om te helpen (die dan met een kleine software-update die treinen zonder problemen terug zou kunnen laten rijden). Maar deze Poolse hackers die ingehuurd waren door dat onderhoudsbedrijf waren net op tijd om de code te kraken en treinen terug werkend te krijgen.

Ik hoop dat er een serieuze boete volgt?

Ik hoop vooral dat ze iets vinden om te zorgen dat Newag lang genoeg uitgesloten wordt van volgende tenders zodat de boel daar failliet gaat/overgenomen wordt.
Dit soort bedrijven verzieken de normale marktwerking zodanig dat ze beter verdwijnen.

Zitten er in de sturing van auto's ook zo'n "grapjes" ?

dentheo schreef: ↑07 jan 2024, 10:47 Zitten er in de sturing van auto's ook zo'n "grapjes" ?

Dat lijkt me een te groot risico, te veel klanten die hier achter kunnen komen in vergelijking met maximum een tiental treinoperatoren... En sinds de aankoop van treinen vaak politiek gemotiveerd is en tenders noodzakelijk zijn, is er nog steeds een kans dat ze een ander contract krijgen. Volvo aan de andere kant moet het doen met hun populariteit alleen, ik moet ze niet testen tegen Ford...

dentheo schreef: ↑07 jan 2024, 10:47 Zitten er in de sturing van auto's ook zo'n "grapjes" ?

Dieselgate is daar een perfect voorbeeld van. Alleen had de consument daar geen directe hinder aan.

De Poolse hackers kregen de vraag of ze banderd werden door andere operatoren, hun antwoord was 'geen commentaar'... Ik vraag mij af of Siemens, Alstom, CAF of Stadler ook dergerlijke fratsen uithalen. Op basis van de informatie van de hackers kan er niet anders dan sprake zijn van kwaad opzet en concurrentievervalsing.

Naast de bemerkingen hieral gepost, is een van de grootste problemen die ze gevonden hebben een zogenoemde CAN-bus die toegankelijk was over het internet.
Voor de leken onder ons, een CAN-bus is een systeem waardoor verschillende apparaten over 1 virtuele draad met elkaar communiceren. Alle treinen (en autos ) maken van dit systeem gebruik, dus opzich geen probleem. Maar aangezien alle communicatie van de trein (motoropdrachten, remmen ...) hierover verloopt is het kritiek dat dit systeem niet toegankelijk is van buiten.
De sjarels van Newag hadden hun CAN-bus gehangen aan een apparaat dat met het internet communiceerde en omgekeerd! Newag kon dus op elk moment waar dan ook, de trein overnemen.

dentheo schreef: ↑07 jan 2024, 10:47 Zitten er in de sturing van auto's ook zo'n "grapjes" ?

Daar mag je zeker van zijn, want fabrikanten willen graag dat je bij hun officieel netwerk komt voor je onderhoud.
Sommige fabrikanten zullen dat vooral doen door goede service te bieden aan een aanvaardbare prijs.
Anderen zullen hier en daar iets verzinnen waardoor je toch af en toe bij hen moet passeren.

Dit is eigenlijk iets zoals bij de cartridges voor printers, daar zijn ook al rechtzaken over geweest omdat fabrikanten het proberen onmogelijk te maken om die te hergebruiken.
Ook bij elektrische fietsen zijn er al zo'n dingen geweest, waar er bijproblemen aan het batterijpack een software instelling er voor zorgde dat de fiets niet meer elektrisch kon rijden.

Met het standaard integreren van microcontrollers in zowat alle electronica, is zoiets inbouwen dan ook super eenvoudig geworden en mag je er vanuit gaan dat fabrikanten dit gaan blijven proberen zolang ze niet ontmaskerd worden.

Malista schreef: ↑07 jan 2024, 15:23 De Poolse hackers kregen de vraag of ze banderd werden door andere operatoren, hun antwoord was 'geen commentaar'... Ik vraag mij af of Siemens, Alstom, CAF of Stadler ook dergerlijke fratsen uithalen. Op basis van de informatie van de hackers kan er niet anders dan sprake zijn van kwaad opzet en concurrentievervalsing.

Dit was het eerste voorval waar een trein opeens niet meer kon rijden na onderhoud bij een derde partij. Onderhoud bij een derde partij was vroeger vrij normaal, ik weet niet beter dan dat treinen van NS in werkplaatsen van NS onderhouden werden. Ik neem aan dat treinen van NMBS ook in ateliers van NMBS werden onderhouden en dat die niet door de makers van de treinen werden gerund.
Maar in die tijd had je dit soort mogelijkheden natuurlijk niet.

Wat ook wel vermeldenswaardig is is dat het onderhoudscontract stelde dat SPS alle gegevens had moeten krijgen om de treinen te kunnen onderhouden. Dat Newag dan in de trein een vast onderhoudstijdstip inprogrammeert waarna de trein niets meer doet is al dubieus, maar SPS had dat tijdstip dus moeten kunnen resetten.
In plaats daarvan zei Newag "je hebt het fout gedaan, laat ons het maar oplossen".

Voor auto's heb ik alleen nog maar gehoord dat fabrikanten de fabrieksgarantie willen laten vervallen als je niet bij de dealer onderhoud uitvoert. Iets wat juridisch ook niet mag. Dat auto's niet meer rijden omdat je nooit dealeronderhoud laat plegen daarvan heb ik nog niet gehoord. Dat zou ook vrij snel opvallen. Andere truukjes, bijvoorbeeld de auto minder zuinig laten rijden, zou kunnen. Maar dit soort software wordt ook uitgeplozen, zie dieselgate, maar ook voor tuning moet je weten hoe de software werkt en tuners die daar mee bezig zijn kunnen ook zien of een motor zich anders gedraagt dan verwacht.