Después de que un hacker demostrara los riesgos de la baliza Help Flash IoT, Vodafone y el fabricante han tenido que dar explicaciones

Las balizas V16 no dejan de generar polémica. Desde la existencia de un mercado negro hasta los temores en torno a la privacidad o la venta de falsificaciones, este pequeño dispositivo está dejando muchas dudas en los conductores. Para añadir más leña a la hoguera, hace apenas unos días, Luis Miranda Acebedo, ingeniero de telecomunicaciones y hacker ético, destapó graves vulnerabilidades en uno de los modelos más populares: la Help Flash IoT de Netun, que comercializa Vodafone.

Suspenso en seguridad. En un análisis realizado por el experto, se reportan diferentes fallos de seguridad en este modelo de balizas.

En Xataka Móvil

Un hacker pone a prueba una de las balizas V16 más vendidas y no sale bien parada: ha encontrado cinco vulnerabilidades críticas

En resumen, estas son sus vulnerabilidades:

• Envío de datos como coordenadas GPS o IMEI en texto plano sin cifrar, por lo que cualquiera podría interceptar la señal y leerlos.
• Susceptibilidad a torres de telefonía falsas: se podría interceptar el tráfico, bloquear las alertas o incluso inyectar datos falsos.
• Exposición del APN privado: el puerto de depuración expone los comandos de conexión y las claves, de modo que la red podría ser accesible para un ciberdelincuente.
• Falta de autenticación: no es posible verificar que el mensaje transmitido por las balizas haya podido ser alterado por el camino.
• Actualizaciones OTA inseguras: la descarga de ‘firmware’ utiliza un protocolo HTTP y acepta cualquier archivo que se le envíe, sin verificar su autenticidad, por lo que es relativamente fácil instalar software malicioso.

La baliza de Vodafone. La Netun Help Flash IoT es la baliza que comercializa Vodafone y de la que hace unos meses ya explicaron que habían vendido más de 250.000 unidades. Además, también se puede conseguir en otras tiendas, ya que no es exclusiva de la operadora.

Recientemente, un estudio proclamó a la Help Flash IoT+, su evolución, como la baliza con mejor visibilidad, con más de 290 candelas en los primeros 30 minutos de uso, muy por encima del requisito mínimo de la DGT de 40 candelas.

La respuesta de la teleco.  Vodafone, quien vende y da cobertura a este modelo de balizas, ha ofrecido declaraciones a Xataka sobre este tema. Así, la operadora explica que “Las balizas V16 homologadas y comercializadas por Vodafone España constituyen un sistema adecuado y conforme a la normativa vigente para señalización de emergencias en carretera. En particular, Help Flash IoT está certificada conforme a la normativa exigida por la Dirección General de Tráfico (DGT) para balizas V16 conectadas, cumpliendo los requisitos técnicos necesarios en cuanto a visibilidad (intensidad luminosa suficiente), resistencia, fiabilidad del destello, duración de la señal, etc. Dichos requisitos incluyen también los protocolos de comunicación de datos de la baliza con los servidores”.

La comunicación que transita por Vodafone lo hace en todo momento por una red privada lo que garantiza la protección de la información que emite la baliza

Entrando más en detalle en este tema, declara que este modelo “cuenta con mecanismos internos de seguridad y la red de Vodafone provee de una capa de seguridad adicional con controles que aseguran que la comunicación se hace desde la baliza autorizada por la red. Por otra parte, las balizas integran conectividad NB-IoT, lo que garantiza que la baliza solo sea utilizada para la localización en caso de emergencia por las entidades autorizadas y con conocimiento del usuario. La comunicación que transita por Vodafone lo hace en todo momento por una red privada lo que garantiza la protección de la información que emite la baliza. Vodafone considera que las balizas V16 que comercializa son una herramienta segura, adecuada y responsable para la señalización de emergencias en carretera”.

Qué dice Netun. El fabricante también ha querido dar su versión de la historia y ha explicado a través de un comunicado de prensa que, si bien ciertos datos de la baliza (como la geolocalización, el IMEI del dispositivo o algunos detalles técnicos) se podrían ver expuestos, no existe la posibilidad de transmitir datos personales, como identificación de los usuarios o del vehículo.

Asimismo, si han recurrido al texto plano es porque de este modo se garantiza “la interoperabilidad y robustez a largo plazo”, sin embargo, sí que aclaran que la funcionalidad OTA ha sido deshabilitada mediante actualizaciones de ‘firmware’.

Finalmente, respecto a la posibilidad de que un atacante se conecte a la red privada de una baliza, el fabricante recuerda que se trata de un acceso físico y, por tanto, el impacto del ataque “se limita a esa unidad concreta”, además de señalar como “improbable” que puedan producirse ataques masivos.

Imagen de portada | Generada con Gemini

En Xataka Móvil | Alemania no tiene balizas V16 ni falta que le hacen: lleva años usando una alternativa gratis que también funciona en España

En Xataka Móvil | Han analizado la intensidad luminosa de las balizas V16 homologadas más populares y sorprende cuántas aprueban por los pelos