Bezpečnostná nočná mora. Slabina v systéme veľkej automobilky umožnila hacknutie tisícok áut na diaľku
Bezpečnostní analytik našiel slabinu, ktorá mu dovolila sledovať a odomknúť takmer hocijaký automobil odkiaľkoľvek.
Bezpečnostný analytik vo svojom vyšetrovaní ukázal, že online obchod jedného z nemenovaných predajcov áut mu umožnila získať súkromné informácie o vozidle zákazníkov, ktorí si auto od tejto spoločnosti kúpili. Ide o typ dát, ktorý by hackerom dovolil sa na diaľku vlámať do akéhokoľvek predaného vozidla tejto spoločnosti.
Ako informuje portál TechCrunch, prístup k týmto dátam hackerovi umožní vytvoriť admin účet k centralizovanému webovému portálu automobilky. Cez tento účet získava hacker neobmedzený prístup k osobným a finančným dátam zákazníkov. Popri tom však môže hacker sledovať aj zakúpené automobily zákazníkov sledovať a odkiaľkoľvek ovládať niektoré funkcie auta.
“Priznávam, nájsť bezpečnostné slabiny v prihlasovacom systéme tohto portálu bolo náročné, no akonáhle som ich objavil, dokázal som obísť prihlasovanie úplne a dokonca vytvoriť aj národný admin účet. Nechcem menovať konkrétnu automobilku, no ide o globálne známu spoločnosť s niekoľkými populárnymi podznačkami,” hovorí Eaton Zveare, bezpečnostný analytik zo spoločnosti Harness, ktorý bezpečnostnú slabinu odhalil.
Bezpečnostná nočná mora
Zveare opisuje tieto slabiny ako problematické, pretože cez ne môže nahrať na stránku svoj vlastný kód, ktorý hackerovi dovolí obísť prihlasovacie bezpečnostné kontroly. Analytik sa s automobilkou skontaktoval a spoločnosť povedala, že nenašla žiadne známky toho, že by bola táto slabina zneužívaná v minulosti. To môže znamenať, že Zveare bol prvým človekom, čo slabinu objavil a nahlásil ju spoločnosti. Neznamená to ale, že na 100% nebola táto slabina zneužitá.
Po prihlásení sa do portálu automobilky získal prístup k viac ako tisícke dílerov, pričom žiadna pobočka nevedela, že sa práve pozeral na ich finančné dáta a súkromné informácie ich zákazníkov. V systémoch dílerov našiel spôsob, ako si vyhľadať aj dáta ohľadom konkrétnych automobilov a ich majiteľov.
“Každé vozidlo som mohol prepojiť s mobilným číslom a na základe toho na diaľku ovládať niektoré funkcie vozidla, ktoré sú dostupné cez aplikáciu, napríklad odomykanie,” vysvetľuje Zveare.
Ďalej vysvetľuje, že chcel tento prístup otestovať v skutočnom svete. Kontaktoval preto svojho kamaráta, s ktorého súhlasom prevzal kontrolu nad účtom. Zveare hovorí, že na presunutie kontroly sa nevyžadovalo žiadne bezpečnostné overenie, len sľub, že je tento transfer legitímny.
Neprehliadni
“V rámci môjho experimentu som všetko robil so súhlasom kamaráta. Cez napadnutý portál to môžem ale urobiť komukoľvek, stačí vedieť ich meno. Alebo si môžem ich auto vystopovať na parkovisku,” tvrdí Zveare.
Bezpečnostný analytik netestoval, či môže s autom odísť preč. Hovorí ale, že už len takýto prístup dovoľuje hackerom a zlodejom ukradnúť všetko vo vnútri vozidla. Zároveň počas vyšetrovania zistil, že mohol skákať zo systému jednej pobočky do druhej s jednou sadou prihlasovacích údajov. Hovorí, že ide o bezpečnostnú katastrofu, ktorá len čaká na to, kedy sa stane.
Dokázal viac ako sa len vlámať do auta
Aby toho nebolo málo, cez portál našiel informácie aj o automobiloch, ktoré sú práve prepravované k svojim majiteľom, plus našiel možnosť doručenie zrušiť. Z pochopiteľných dôvodov neskúšal, či táto možnosť funguje.
Najhoršie na tom je, že len dve zraniteľnosti v API rozhraní dovolili Zveareovi a mohli dovoliť aj potenciálnemu hackerovi, dostať sa do celého systému obrovskej automobilky. Ak by sa stalo, že by sa k tejto slabine dostali hackeri prvý, predstavovalo by to katastrofu gigantických rozmerov.
Už aj v minulosti sa objavovalo niekoľko správ, ktoré dospeli k záverom, že automobily sú nočnou morou pre súkromie, špehujú vodičov a automobilky nedávajú veľký dôraz na zabezpečenie. Toto najnovšie vyšetrovanie potvrdzuje pravidlo. Viac o tom, ako automobil môže zasahovať do tvojho súkromia približujeme aj v tomto článku.
