ჰაკერებმა ორი ავტომწარმოებლის ავტომობილის კარი დისტანციურად გააღეს და ძრავა ჩართეს

სანამ გავაგრძელებთ, ძვირფას მკითხველს ვურჩევთ, დაჯდეს და, შესაძლოა, ჩაფხუტიც მოიმარჯვოს, რადგან ეს ამბავი არაერთხელ მიიყვანს მას ხელის შუბლზე შემორტყმამდე. უსაფრთხოების ორმა მკვლევარმა ძალები გააერთიანა და 2026 წლის დასაწყისში ორი ავტომწარმოებლის ავტომობილების დაკავშირების ინფრასტრუქტურა გატეხა. მათ მსოფლიოს რამდენიმე რეგიონში ამ კომპანიების ინტერნეტთან დაკავშირებული ნებისმიერი ავტომობილის კარი დისტანციურად გააღეს და ძრავა ჩართეს.

დაუცველობები სწრაფად გამოსწორდა. მიზეზი რამდენიმე ძნელად დასაჯერებელი ხარვეზი იყო სერვერულ API-ებში, რომლებსაც შესაბამისი მობილური აპლიკაციები იყენებს. გარდა ამისა, კარის დისტანციურად გაღებისა და ძრავის ჩართვის შესაძლებლობა ყველაზე საგანგაშო პრობლემა იყო, მაგრამ ხარვეზები ასევე ამჟღავნებდა ავტომობილების ადგილმდებარეობას, გარბენს, საწვავის რაოდენობას, სვლის მარაგს, კარების მდგომარეობასა და მომხმარებელთა პირად ინფორმაციას.

ეთიკური ჰაკერების წყვილი დაზარალებული ავტომწარმოებლების ვინაობას არ ასახელებს. მათ პირველ ავტომწარმოებელთან აშშ-ში წვდომა მოიპოვეს, ხოლო მეორე ავტომწარმოებლის მანქანებს ავსტრალიაში, აშშ-სა და კანადაში კარების დაუგეგმავად განბლოკვის საფრთხე ემუქრებოდა. მხოლოდ ვიზუალური დათვალიერებით თუ ვიმსჯელებთ, მეორე კომპანია შესაძლოა ტოიოტა იყოს, რადგან ჰაკერული შეტევის დემონსტრირების ვიდეოში, როგორც ჩანს, RAV4 ტიპის ყველგანმავალი ავტომობილია ნაჩვენები.

ორივე დაზარალებული ავტომწარმოებელი ForgeRock-ის (ForgeRock) ავთენტიფიკაციისა და ავტორიზაციის სერვისებს იყენებს. ერთი მცირე გამონაკლისის გარდა, შუბჰამ შაჰისა და სემ კარის მიერ აღმოჩენილი ხარვეზები სისტემების არასწორ დანერგვასა და უსაფრთხოების არასათანადო პრაქტიკას უკავშირდებოდა. ერთ-ერთი ანგარიში ორივე კომპანიის შემთხვევაში ForgeRock-თან დაკავშირებულ საკითხებს დეტალურად განიხილავს, ხოლო შაჰის სტატია მეორე ავტომწარმოებლისა და ავსტრალიაში მისი დაკავშირებული ავტომობილების ინფრასტრუქტურის დეტალებს აღწერს.

შაჰმა კომპანიის Android-აპლიკაცია დაშალა და ტელემატიკის ქვედომენთან ქსელური კავშირები აღმოაჩინა. მალე მან „admintool“-ის მისამართი იპოვა, სადაც შესვლის მოთხოვნის მქონე „TEST HARNESS“ გვერდი იყო. თუ აქამდე არ შეგიმჩნევიათ, პირველი პრობლემა ისაა, რომ ამ მისამართზე წვდომა ინტერნეტიდან ყველას შეუძლია. თუმცა შაჰის ყურადღება მეორე პრობლემამ მიიპყრო: JavaScript-ის კოდის ნაკრები, რომლისგანაც ზედმეტი ნაწილები უნდა მოეშორებინათ, რეალურად მთელი სერვერული ფუნქციონალის კოდს შეიცავდა და შემდგომი მოქმედებების გზამკვლევს იძლეოდა.

ეს უკვე საკმარისი იყო იმისთვის, რომ შაჰს JavaScript-ში მყარად ჩაწერილი API-გასაღებებით მომხმარებელთა ინფორმაცია მოეპოვებინა. რამდენიმე მოთხოვნის ფრთხილად დაკავშირებისა და საჯაროდ ხელმისაწვდომი ინფორმაციის გამოყენებით სანომრე ნიშნის ავტომობილის საიდენტიფიკაციო ნომერთან დაკავშირების შემდეგ, მან მანქანა მომხმარებელს დაუკავშირა და მისი ელფოსტის მისამართი იპოვა. ამ დროს გუნდმა შენიშნა, რომ ავტომწარმოებელი ForgeRock-ის ავთენტიფიკაციის მექანიზმებს იყენებდა. მკვლევრებმა „რამდენიმე კვირა“ დაუთმეს იმის გარკვევას, როგორ მუშაობდა ეს სისტემა.