Hackers holandeses piratean semáforos

En películas como Die Hard 4 y The Italian Job, secuestrar semáforos en Internet parece fácil. Pero la piratería real de los semáforos, demostrada por los investigadores de seguridad el año pasado, resultó ser más laboriosa y requirió que alguien estuviera dentro del alcance de radio del dispositivo.

Ahora, un par de investigadores holandeses han demostrado cómo los piratas informáticos pueden manipular los datos de tráfico para conectarse fácilmente a un semáforo desde cualquier parte del mundo, aunque afortunadamente no al estilo de Hollywood que podría causar enfrentamientos masivos.

En la conferencia de hackers Defcon del jueves, los investigadores de seguridad holandeses Rick van Duijn y Wesley Nielen presentarán sus hallazgos sobre las vulnerabilidades en un sistema de "transporte inteligente" que les permitiría influir en los semáforos a través de Internet en al menos 10 ciudades diferentes en los Países Bajos. Su hacker podría crear bicicletas inexistentes aparentemente acercándose a una intersección engañando al sistema de tráfico para que les diera luz verde a esas bicicletas y mostrara una luz roja a cualquier otro vehículo que intentara cruzar la calle en una dirección perpendicular. Advierten que su técnica simple podría potencialmente usarse para molestar a los conductores que se quedan esperando en una intersección vacía. O, si se implementan sistemas de transporte inteligentes a una escala mucho mayor,

“Pudimos hacer que el sistema viera a un ciclista en una intersección que en realidad no está allí, y podíamos hacerlo desde cualquier lugar", dice Nilen. “Podríamos hacer el mismo truco en varios semáforos al mismo tiempo desde la comodidad de nuestra casa, y eso nos permitiría interrumpir el tráfico en la ciudad”.

Nielen y van Duijn, cofundadores de la firma de investigación aplicada de seguridad Zolder, dicen que a principios de este año tenían curiosidad acerca de una colección de aplicaciones para teléfonos inteligentes anunciadas a los residentes de los Países Bajos que afirmaban que cuando se activaba la aplicación, los ciclistas tenían más luz verde. En los Países Bajos, las ciudades han integrado semáforos con aplicaciones como Schwung y CrossCycle, que indican la ubicación del conductor y, cuando es posible, encienden el semáforo en verde cuando se acercan a una intersección.

Pero dado que la información de ubicación del ciclista proviene de su teléfono inteligente, los dos investigadores se preguntaron de inmediato si podrían manipular los datos para causar daños.

“Nos sorprendió que se permitiera la entrada del usuario en los sistemas que controlan los semáforos”, dice Neelen. “Pensé que podría fingir de alguna manera. Tenía mucha curiosidad sobre cómo evitan eso”.

Resulta que algunas aplicaciones no interfirieron con esto en absoluto. Neelen y van Duijin descubrieron que podían aplicar ingeniería inversa a una de las aplicaciones de Android; no dijeron qué aplicaciones estaban probando porque los problemas que encontraron aún no se habían solucionado. Los datos falsos enviados desde la computadora portátil de un pirata informático podrían decirle a un semáforo que un ciclista con un teléfono inteligente se encuentra en cualquier ubicación elegida por los piratas informáticos en el GPS.

Inicialmente, la aplicación, cuyos datos fueron falsificados por Neelen y van Duijn, solo funcionaba para afectar un par de semáforos en la ciudad holandesa de Tilburg. Los videos a continuación muestran el cambio de color de la luz de rojo a verde cuando se ordena, aunque con un retraso en la primera demostración. (La bicicleta no siempre tiene prioridad inmediata)

Más tarde, Nielen y van Duijn descubrieron la misma vulnerabilidad de suplantación de identidad en otra aplicación similar con una implementación mucho más amplia: dicen que se implementó en cientos de semáforos en 10 ciudades holandesas, aunque solo la probaron en la ciudad de Dordrecht, en el oeste de Holanda.

Hackear semáforos no es nuevo, aunque pocas veces es tan fácil. Neelen y van Duijn dicen que ahora han alertado a los desarrolladores de ambas aplicaciones, que han descubierto que son vulnerables a su suplantación de identidad.

Pero incluso cuando las vulnerabilidades que encontraron hayan sido reparadas, dicen que su investigación debería servir como una advertencia sobre los riesgos más amplios de la infraestructura de transporte inteligente, ya que estos sistemas se convierten en elementos clave en la optimización del tráfico urbano más allá de la mera facilidad para andar en bicicleta. “Imagina si pudieras crear cientos de camiones falsos en diferentes ciudades. Si el semáforo equivocado se vuelve rojo, tienes un problema y provoca grandes retrasos”, dice van Duijn. "Ahora que estamos hablando de construir estos sistemas de transporte inteligentes, debemos estar muy seguros de que estamos pensando más en la seguridad".