Хакеры научились открывать любой автомобиль одного крупного автопроизводителя по номерному знаку
Unlocking any car from X brand in most of the world
Исследователи безопасности Sam Curry и Shubs разобрали APK мобильного приложения автопроизводителя и нашли в JavaScript админ-панели захардкоженные ключи API, а затем — учётные данные администратора OpenIDM. Обойдя WAF через path traversal вида /static%2f..%2fopenidm/, они получили возможность менять пароль любому пользователю и обходить MFA. Цепочка «номерной знак → VIN → GUID подписчика → аккаунт» давала полный контроль над машиной: unlock, сигнал, двигатель.
В мире OpenIDM не было сервлетов (или ресурсов), зарегистрированных по путям, содержащим path traversal. Поэтому запрос просто падал с ошибкой, хотя нам и выдавали админский JWT.
- ryukoposting
Синяя машина на заднем плане — это рестайлинговый RAV4 пятого поколения. Это очевидно по форме зеркал и фар. Toyota/Lexus соответствовала бы замечанию про «оба бренда».
Белую сложнее определить наверняка, но форма зеркала выглядит так же, и видно, что верх торпедо имеет скошенную форму, которая очень похожа на эту картинку: https://media.ed.edmunds-media.com/toyota/rav4/2022/oem/2022...
Публиковать видео-демонстрацию, вероятно, не самая лучшая идея для такого. Я уверен, что какой-нибудь извращенец мог бы догадаться об этом просто по звуку, который издают замки.
- everdrive
Кажется нелепым, что вообще существует потребительский спрос на открытие машины с телефона. Техническая публика просто будет жаловаться, что должно быть проще делать лучшую работу по защите веб-сервисов. Но в чём смысл всей этой инфраструктуры и сложности? Чтобы можно было стать чуть-чуть ленивее. Подобные технологии — это и уязвимость, и пустая трата человеческих ресурсов и изобретательности.
- avodonosov
Эти всегда подключённые машины скоро станут такими же плохими, а вероятно, и хуже, чем сегодняшние смартфоны, которыми мы на самом деле не владеем и не контролируем, и за которыми всегда следят.
Вам понадобится онлайн-аккаунт с непонятными условиями обслуживания, чтобы пользоваться машиной, вы не сможете чинить её самостоятельно, ваши данные будут продавать и т.д.
Зло.
- maistho
Меня всегда озадачивает, насколько плохой кажется безопасность большинства машин. Я потратил на размышления об этом секунд 5, и разве не было бы довольно просто сделать локальный шаг настройки приложения и машины, который генерировал бы закрытый ключ, хранящийся в приложении, и сохранял бы открытый ключ в машине, требуя, чтобы все команды были подписаны закрытым ключом для принятия? В любом случае, нет причин, по которым серверу автопроизводителя вообще должно быть позволено отправлять команды машине просто на основании учётной записи пользователя.
- memoriesofsmell
Следующая/связанная статья внизу тоже стоит прочтения, так как это та самая «всемирная» часть. Определённо отличное чтиво от Сэма и Шабса
- intuitionist
«Любой автомобиль» — возможно, слишком сильное утверждение. Если это Toyota/Lexus, я скажу, что не думаю, что у моей Camry 2009 года есть эта проблема. Я вполне уверен, что у Hilux четвёртого поколения, который есть у моего брата, её нет.
- NooneAtAll5
Я думаю, что автопроизводитель провалил безопасность в тот момент, когда его машины подключились к интернету
- LazyGooze
Toyota и её люксовый бренд Lexus используют ForgeRock Identity Platform (конкретно OpenAM и OpenIDM) для управления идентификацией клиентов и внутренней аутентификации для своих сервисов подключённых автомобилей и телематики.
- moktonar
Сам факт того, что машинами вообще можно управлять через сеть, абсурден. Особенно в сегодняшней ситуации с кибербезопасностью..
- alentodorov
почему он назван брендом X? я продолжал перечитывать, думая, что это Tesla? может быть. если автор хотел избежать названия бренда, разве он не мог использовать что-то вроде «производитель» вместо этого?