Die Verschlüsselung, die Produktionszugangsdaten für die Mercedes-Benz Connected-Vehicle-API schützt, basiert auf XOR — einem Verfahren aus den 1960er-Jahren. Wir haben sie an einem Nachmittag geknackt. 63 Fahrzeugbewegungsbefehle. Chinesische SDKs in EU-Fahrzeugen. 120 Tage ohne Patch.
18 Critical 33 High Vehicle Commands Chinese SDKs Supply Chain
| Kategorie | Befund | Impact |
|---|---|---|
| Verschlüsselung | XOR-Obfuscation statt Kryptografie — OAuth-Produktionszugangsdaten extrahierbar | Critical |
| Fahrzeugsteuerung | 63 Vehicle Commands (PARK/DRIVE/LOCK) aus APK extrahiert | Critical |
| Tracking | ByteDance, Alibaba & Tencent SDKs in EU-Fahrzeug-Apps | High |
| TLS | Certificate Pinning fleet-weit deaktiviert | High |
| BLE | Bluetooth-PIN 12345678 in 14 Transporter-Varianten | High |
| Credentials | 84 Zugangsdaten in öffentlichen APKs | High |
Statische Analyse öffentlich verfügbarer APKs. Kein Systemzugriff. Keine Credentials getestet. Keine Nutzerdaten extrahiert. ISO 29147.
Alle Einschätzungen basieren auf eigener Sicherheitsanalyse. Unabhängige Verifizierung durch den Hersteller bleibt maßgeblich.