Hacker knacken Autos einer ganzen Marke per Nummernschild
Unlocking any car from X brand in most of the world
Ein Sicherheitsforscher und Sam Curry nahmen die Connected-Car-Plattform eines großen Autoherstellers ins Visier. Über ein offen erreichbares Admin-Tool, hartcodierte API-Keys und geleakte OpenIDM-Zugangsdaten in einem JavaScript-Bundle gelangten sie an Nutzerdaten. Ein WAF-Bypass per Path Traversal öffnete schließlich die Identitätsplattform: Passwörter ließen sich zurücksetzen, die MFA umgehen und damit jedes vernetzte Fahrzeug fernsteuern – allein anhand des Nummernschilds.
Ich bin mir nicht sicher, ob eine WAF-Regel uns jemals aufgehalten hat, wenn wir motiviert genug waren – also investierten wir Tage darin, einen Weg an diesen Schutzmaßnahmen vorbei zu finden, mit unseren bewährten Path-Traversal-Tricks.
- ryukoposting
Das blaue Auto im Hintergrund ist ein Facelift der fünften RAV4-Generation. Erkennbar an der Form der Spiegel und der Scheinwerfer. Toyota/Lexus würde zu der Bemerkung „beide Marken“ passen.
Beim weißen ist es offensichtlich schwerer zu erkennen, aber die Form des Spiegels sieht gleich aus, und man kann sehen, dass die Oberseite des Armaturenbretts eine abgeschrägte Form hat, die diesem Bild hier verdammt ähnlich sieht: https://media.ed.edmunds-media.com/toyota/rav4/2022/oem/2022...
Ein Video-Demo zu posten ist für so etwas wahrscheinlich keine gute Idee. Ich bin sicher, irgendein Perversling hätte das allein am Geräusch der Schlösser herausfinden können.
- everdrive
Es scheint lächerlich, dass es überhaupt eine Verbrauchernachfrage geben sollte, ein Auto vom Telefon aus zu entriegeln. Die Tech-Community wird sich nur beschweren, dass es einfacher sein sollte, Webdienste besser abzusichern. Aber was ist der Sinn all dieser Infrastruktur und Komplexität? Damit man ein bisschen fauler sein kann. Diese Art von Technik ist sowohl eine Schwachstelle als auch eine Verschwendung menschlicher Ressourcen und Erfindungsgabe.
- avodonosov
Diese immer verbundenen Autos werden bald so schlecht oder wahrscheinlich schlimmer werden als die Smartphones von heute, die wir nicht wirklich besitzen und kontrollieren und die immer verfolgt werden.
Man wird ein Online-Konto mit undurchsichtigen Nutzungsbedingungen brauchen, um das Auto zu benutzen, wird nicht selbst reparieren können, die eigenen Daten werden verkauft usw.
Böse.
- maistho
Ich bin immer wieder verblüfft, wie schlecht die Sicherheit der meisten Autos zu sein scheint. Ich habe darüber etwa 5 Sekunden nachgedacht, und wäre es nicht ziemlich einfach, einen lokalen App-Auto-Einrichtungsschritt zu machen, der einen privaten Schlüssel generiert, der in der App gespeichert wird, und den öffentlichen Schlüssel im Auto speichert, wobei alle Befehle mit dem privaten Schlüssel signiert sein müssen, um akzeptiert zu werden? Es gibt ohnehin keinen Grund, warum der Server des Autoherstellers überhaupt berechtigt sein sollte, Befehle an das Auto nur aufgrund eines Benutzerkontos zu senden.
- memoriesofsmell
Der Folge-/verlinkte Artikel unten ist auch lesenswert, da er den „weltweiten“ Teil davon behandelt. Definitiv eine großartige Lektüre von Sam und Shubs
- intuitionist
„Jedes Auto“ ist vielleicht eine zu starke Behauptung. Wenn es Toyota/Lexus ist, dann sage ich, dass mein Camry von 2009 dieses Problem meiner Meinung nach nicht hat. Ich bin mir ziemlich sicher, dass der Hilux der vierten Generation, den mein Bruder hat, es auch nicht hat.
- NooneAtAll5
Ich denke, der Autohersteller hat die Sicherheit in dem Moment versagt, als seine Autos mit dem Internet verbunden wurden
- LazyGooze
Toyota und seine Luxusmarke Lexus nutzen die ForgeRock Identity Platform (genauer gesagt OpenAM und OpenIDM), um Kundenidentitäten und die Backend-Authentifizierung für ihre Connected-Car- und Telematikdienste zu verwalten.
- moktonar
Die Tatsache, dass Autos überhaupt über das Netz gesteuert werden können, ist an sich absurd. Besonders in der heutigen Cybersicherheitslage..
- alentodorov
Warum wird sie Marke X genannt? Ich habe immer wieder gelesen und gedacht, es sei Tesla? Vielleicht. Wenn der Autor die Marke nicht nennen wollte, hätte er nicht einfach so etwas wie „ein Hersteller“ verwenden können?