Con solo la matrícula, podían desbloquear cualquier coche de esta marca en medio mundo
Unlocking any car from X brand in most of the world
Un investigador y Sam Curry desmontaron la seguridad de la plataforma conectada de un gran fabricante: un panel de administración exponía claves API en su JavaScript, y credenciales de OpenIDM incrustadas en un bundle de terceros abrieron la puerta a la identidad central. Con una matrícula se llegaba al VIN, al GUID del suscriptor y a su cuenta; un bypass del WAF mediante path traversal permitía cambiar contraseñas, saltarse el MFA y emitir tokens para desbloquear coches ajenos.
No estoy seguro de que una regla de WAF nos haya detenido alguna vez cuando tenemos suficiente motivación, así que invertimos días en encontrar una salida a esas protecciones, con nuestros fieles trucos de path traversal.
- ryukoposting
El coche azul del fondo es un RAV4 de quinta generación con un restyling. Se nota por la forma de los retrovisores y el faro. Toyota/Lexus encajaría con el comentario de "ambas marcas".
El blanco es más difícil de distinguir obviamente, pero la forma del retrovisor parece la misma, y se puede ver que la parte superior del salpicadero tiene una forma achaflanada que se parece muchísimo a esta foto: https://media.ed.edmunds-media.com/toyota/rav4/2022/oem/2022...
Publicar una demo en vídeo probablemente no sea una gran idea para este tipo de cosas. Estoy seguro de que algún enfermo podría haberlo descubierto solo por el sonido que hacen los cierres.
- everdrive
Parece ridículo que exista demanda de consumidores para desbloquear un coche desde el teléfono en primer lugar. La gente del sector tecnológico se limitará a quejarse de que debería ser más fácil hacer un mejor trabajo asegurando los servicios web. Pero, ¿cuál es el sentido de toda esta infraestructura y complejidad? Para que puedas ser un poquito más vago. Este tipo de tecnología es a la vez una vulnerabilidad y un desperdicio de recursos humanos e ingenio.
- avodonosov
Estos coches siempre conectados pronto se volverán tan malos, o probablemente peores, que los smartphones de hoy en día, que en realidad no poseemos ni controlamos, y que siempre están rastreados.
Necesitarás una cuenta en línea con términos de servicio oscuros para usar el coche, no podrás repararlo tú mismo, tus datos se venderán, etc.
Malvado.
- maistho
Siempre me desconcierta lo mala que parece ser la seguridad de la mayoría de los coches. Le he dedicado unos 5 segundos de reflexión, y ¿no sería bastante sencillo hacer un paso de configuración local app-coche que generara una clave privada almacenada en la app y almacenara la clave pública en el coche, requiriendo que todos los comandos estén firmados con la clave privada para ser aceptados? De todos modos, no hay razón para que el servidor de los fabricantes de coches siquiera tenga permitido enviar comandos al coche basándose solo en una cuenta de usuario.
- memoriesofsmell
El artículo de seguimiento/enlazado al final también vale la pena leerlo, ya que es la parte de 'todo el mundo'. Definitivamente una gran lectura tanto de Sam como de Shubs
- intuitionist
"Cualquier coche" es quizás una afirmación demasiado fuerte. Si es Toyota/Lexus, diré que no creo que mi Camry de 2009 tenga este problema. Estoy bastante seguro de que el Hilux de cuarta generación que tiene mi hermano no lo tiene.
- NooneAtAll5
Creo que el fabricante de automóviles falló en seguridad en el momento en que sus coches se conectaron a internet
- LazyGooze
Toyota y su marca de lujo, Lexus, utilizan la ForgeRock Identity Platform (específicamente OpenAM y OpenIDM) para gestionar las identidades de los clientes y la autenticación backend para sus servicios de coche conectado y telemática.
- moktonar
El hecho de que los coches puedan controlarse por la red ya es absurdo en sí mismo. Especialmente en el panorama de ciberseguridad actual..
- alentodorov
¿por qué se llama marca X? seguí releyendo pensando que es Tesla? quizás. si el autor quería evitar nombrar la marca, ¿no podría haber usado algo como "un fabricante" en su lugar?