JavaScriptに埋め込まれた管理者認証情報で、任意の車を遠隔解錠できた
Unlocking any car from X brand in most of the world
ある自動車メーカーのコネクテッドカー基盤を調査したセキュリティ研究者が、公開されたadminツールのJavaScriptバンドルにForgeRock OpenIDMの管理者認証情報が平文で埋め込まれているのを発見。WAFをパストラバーサルで回避し、任意ユーザーのパスワード変更とMFAスキップを経て、遠隔解錠やエンジン操作が可能なトークンを取得できた。ナンバープレートからVIN、契約者情報、メールアドレスまで芋づる式に特定できる状態だった。
WAFにこれだけ投資しているということは、たいてい何かまずいものを絆創膏で覆っている証拠だ。この資産を外部に晒すことがどれほど危険か、おそらく彼らも理解していたのに、それでも何らかのビジネス上の理由で残されていたのだろう。
HNでの議論
320- ryukoposting
背景の青い車は、フェイスリフト後の5代目RAV4だ。ミラーの形状とヘッドライトから明らかだ。Toyota/Lexusなら「両ブランド」という発言とも一致する。
白い方は明らかに判別するのは難しいが、ミラーの形状は同じに見えるし、ダッシュボードの上部に面取りされた形状が見えるのは、この写真と非常によく似ている：https://media.ed.edmunds-media.com/toyota/rav4/2022/oem/2022...
この種のことでは、動画デモを投稿するのはおそらく良い考えではない。ロックが鳴る音だけからこれを解明できた変人もきっといるだろうから。
- everdrive
そもそも車をスマホから解錠したいという消費者の需要があること自体が馬鹿げているように思える。技術系の人々は、Webサービスのセキュリティをもっと簡単に、よりうまくやるべきだと文句を言うだけだろう。しかし、このインフラと複雑さの一体何が目的なのか？ほんの少し怠けられるようになるためだ。この種の技術は脆弱性であると同時に、人的資源と創意工夫の無駄でもある。
- avodonosov
常時接続の車は、すぐに今日のスマートフォンと同じくらい、あるいはおそらくそれ以上に悪いものになるだろう。スマートフォンは実際には所有も管理もできず、常に追跡されている。
車を使うには、あいまいな利用規約に同意したオンラインアカウントが必要になり、自分で修理することもできず、データは売られ、などなど。
悪だ。
- maistho
ほとんどの車のセキュリティがどれほどひどいか、いつも当惑させられる。これについて5秒ほど考えただけだが、アプリと車の間でローカルなセットアップ手順を行い、アプリに保存される秘密鍵を生成し、公開鍵を車に保存して、すべてのコマンドが受け入れられるために秘密鍵で署名されることを要求するのは、かなり簡単ではないだろうか？そもそも、車メーカーのサーバーがユーザーアカウントだけに基づいて車にコマンドを送信できること自体、許されるべき理由がない。
- memoriesofsmell
一番下にあるフォローアップ／リンク記事も一読の価値がある。なぜならそれが「世界中」の部分だからだ。SamとShubsの両方による間違いなく素晴らしい読み物だ
- intuitionist
「どんな車でも」というのはおそらく言い過ぎだ。もしToyota/Lexusなら、私の2009年式Camryにはこの問題はないと思うと言っておこう。兄が持っている4代目Hiluxにもないことはかなり確信している。
- NooneAtAll5
自動車メーカーは、車がインターネットに接続された瞬間にセキュリティで失敗したのだと思う
- LazyGooze
Toyotaとその高級ブランドLexusは、コネクテッドカーおよびテレマティクスサービスの顧客IDとバックエンド認証を管理するために、ForgeRock Identity Platform（具体的にはOpenAMとOpenIDM）を使用している。
- moktonar
車がネット越しに制御できるという事実自体が不条理だ。特に今日のサイバーセキュリティの状況ではなおさらだ。
- alentodorov
なぜXブランドと名付けられているのか？テスラのことかと思って何度も読み返してしまった。おそらくそうかもしれない。もし著者がブランド名を避けたかったのなら、「あるメーカー」のような表現を使えばよかったのではないか？