Questo articolo è disponibile anche in versione podcast.

A Seattle, negli Stati Uniti, centinaia di proprietari di alcuni modelli di auto Mazda hanno perso improvvisamente l’uso del GPS e della telecamera posteriore e si sono trovati con l’autoradio bloccata su una singola stazione radio. La colpa, dice Mazda, è un’immagine che hanno ricevuto, e per sistemare il problema servirà una riparazione da circa 1500 dollari.

Come è possibile che il semplice atto di ricevere un’immagine possa danneggiare così tanto un’automobile?

Cominciamo dall’inizio. Ai primi di febbraio 2022 vari proprietari statunitensi di auto Mazda fabbricate fra il 2014 e il 2017 hanno iniziato a segnalare su Reddit un problema strano: di colpo il navigatore GPS si guastava e la telecamera posteriore diventava inservibile. Il sistema di infotainment, ossia il computer di bordo e lo schermo che mostrava tutte le informazioni del veicolo, continuava a riavviarsi. Spegnere e riavviare l’auto non risolveva il guasto.

C’era anche una coincidenza molto bizzarra: tutte le auto si erano guastate in questo modo dopo che i proprietari avevano sintonizzato la radio di bordo sulla stessa stazione FM, KUOW.

L’emittente radio ha notato pubblicamente la coincidenza ma ha dichiarato di non avere idea del motivo del malfunzionamento.

Over the past couple of weeks, some people who listen to KUOW in their Mazdas say their car radio is permanently stuck on 94.9 FM. It’s only affecting KUOW, Mazdas from 2016, and we have no idea why. https://t.co/ffzJASFNBJ

— KUOW Public Radio (@KUOW) February 9, 2022

Inizialmente la colpa è stata data alla transizione della rete cellulare dal 3G al 5G, ma questa giustificazione era tecnicamente priva di senso. Poi è arrivata la spiegazione reale, che a prima vista non sembra granché sensata neanche lei: il guasto, ha detto Mazda, era stato causato dalla stazione radio.

KUOW, infatti, è una delle tante emittenti radiofoniche del mondo che insieme all’audio trasmette un flusso digitale di dati (specificamente con il sistema HD Radio). Questo flusso viene ricevuto e decodificato dalle autoradio appositamente predisposte, mostrando sullo schermo informazioni come il nome della stazione radio, il titolo del brano trasmesso e il nome del suo interprete, o un’immagine della copertina del brano.

Ma KUOW aveva diffuso un’immagine al cui nome mancava l’estensione standard, per esempio JPG, GIF (in inglese si pronuncia ghif; in italiano gif con la G di “giraffa”) o PNG, e il computer di bordo delle Mazda, che si aspettava che tutte le immagini ricevute avessero un nome completo e corretto, è andato in crash, e ci è rimasto, bloccato in un loop infinito, perché non riusciva a riconoscere e gestire un file d’immagine privo di estensione. Non è riuscito a uscire dal loop perché quando si riavviava, la prima cosa che faceva era tentare di identificare l’immagine, ma falliva e quindi andava di nuovo in crash. Non è un comportamento molto smart.

Mazda ha confermato questa spiegazione, dicendo che la Connectivity Master Unit delle auto colpite da questo problema non è riparabile e dovrà essere sostituita. Questo componente costa 1500 dollari e verrà sostituito gratuitamente, ma al momento è introvabile a causa di ritardi logistici. 

Riferisce Gizmodo: 

Between 1/24-1/31, a radio station in the Seattle area sent image files with no extension (e.g., missing .jpeg or .gif), which caused an issue on some 2014-2017 Mazda vehicles with older software,” Tamara Mlynarczyk, a public affairs manager at Mazda North American Operations, wrote to Gizmodo. “Mazda North American Operations (MNAO) has distributed service alerts advising dealers of the issue.

In sintesi, ancora nel 2017, quindi solo cinque anni fa, una casa automobilistica metteva sul mercato un computer di bordo che poteva essere danneggiato permanentemente, in modo fisico, mandandogli semplicemente un’immagine con un nome leggermente diverso da quello che si aspettava. Il software di quel computer era scritto così male da non saper riconoscere un’immagine se l’immagine non si presentava esattamente con il nome giusto.

E non è neanche la prima volta che succede. Nel 2019 alcune Mazda erano impazzite quando i loro proprietari avevano cercato di ascoltare uno specifico podcast. La colpa, ancora una volta, era del software, che non sapeva gestire una cosa banale come un carattere non alfabetico nel nome del podcast. Il podcast, infatti, si intitolava 99% Invisible, con il numero scritto in cifre e accompagnato dal simbolo di percentuale. Quel simbolo veniva interpretato male, causando un crash.

Va sottolineato che questo incidente con la stazione radio KUOW non riguarda delle auto connesse a Internet: il “malware”, se vogliamo chiamarlo così, ossia l’immagine involontariamente ostile, viene ricevuto via radio. Oggi molti utenti, soprattutto informatici, sono preoccupati per la nuova tendenza a collegare le auto a Internet e credono che quelle non connesse siano più sicure. Ma questo episodio dimostra che non è necessariamente così.

Il problema di fondo, qui, non è la connessione a Internet o meno: è il modo in cui viene scritto il software che oggi gestisce praticamente qualunque automobile. Se non è scritto bene, rispettando regole elementari come “non fidarti ciecamente di quello che ti arriva” (la cosiddetta input sanitization) e isolando bene le funzioni di intrattenimento da quelle necessarie per la guida, come il GPS o la telecamera di retromarcia, incidenti come questo continueranno a succedere.

Quasi quasi come titolo della prossima puntata del podcast scelgo apice UNION SELECT username, password FROM users trattino trattino. E vediamo che succede :-)

Fonti aggiuntive: Portswigger, Geekwire, Driving, BBC, KUOW, Seattle Times, Gizmodo, Ars Technica.