ورود هکرها به خودروهای متصل به اینترنت / از هک سرور تا روشن کردن موتور خودرو

به گزارش ایده روز آنلاین، پژوهشگران امنیت سایبری، شوبام شاه و سم کوری، در بررسی سامانه‌های متصل به خودرو متوجه شدند زیرساخت ورود کاربران در دو شرکت از پلتفرم مدیریت هویت ForgeRock استفاده می‌کند، اما به‌درستی ایمن‌سازی نشده است. در یکی از موارد، اطلاعات مدیریتی در کد برنامه قرار داشت و در مورد دیگر، پنل مدیریت سرور با نام کاربری و رمز عبور پیش‌فرض «admin» قابل دسترسی بود.

پژوهشگران با ترکیب این ضعف‌ها و عبور از لایه‌های امنیتی سرورها توانستند به حساب کاربران دسترسی پیدا کنند. آن‌ها سپس از طریق همان سامانه‌ای که اپلیکیشن رسمی خودرو برای ارسال فرمان استفاده می‌کرد، قفل درها را باز کردند و موتور یک خودروی آزمایشی را روشن کردند. این آزمایش با خودروهای متعلق به پژوهشگران یا با اجازه صاحبان آن‌ها انجام شد.

خطر این آسیب‌پذیری‌ها به کنترل خودرو محدود نبود. مهاجمان بالقوه می‌توانستند اطلاعاتی مانند موقعیت مکانی خودرو، میزان سوخت یا شارژ، مسافت پیموده‌شده و وضعیت درها را نیز مشاهده کنند. در یکی از سامانه‌های بررسی‌شده، پیکربندی نادرست احراز هویت دومرحله‌ای هم امکان دور زدن این لایه امنیتی را فراهم می‌کرد.

بر اساس گزارش وب‌سایت Tom’s Hardware، این ضعف‌ها خودروهای متصل به اینترنت دو خودروساز را در بازارهای آمریکا، کانادا و استرالیا تحت تاثیر قرار می‌دادند. پژوهشگران نام شرکت‌ها را به درخواست خودروسازان منتشر نکرده‌اند. گمانه‌زنی‌هایی درباره ارتباط یکی از آن‌ها با تویوتا مطرح شده، اما این موضوع تایید نشده است.

شرکت‌های خودروسازی پس از دریافت گزارش، آسیب‌پذیری‌های سامانه‌های آمریکایی را حدود دو ساعت بعد برطرف کردند. با این حال، این ماجرا نشان می‌دهد امنیت خودروهای امروزی فقط به قفل‌ها، کلیدها و سیستم‌های ضدسرقت وابسته نیست. وقتی اپلیکیشن تلفن همراه می‌تواند درها را باز کند یا موتور را روشن کند، امنیت سرورهایی که این فرمان‌ها را مدیریت می‌کنند نیز بخشی از امنیت خود خودرو است.

۵۸۵۸