X ब्रांड की कार नंबर प्लेट से अनलॉक
मूल शीर्षक: Unlocking any car from X brand in most of the world
यह क्यों महत्वपूर्ण है
Connected car platforms में web security की खामियाँ लाखों वाहनों को physical खतरे में डाल सकती हैं।
सुरक्षा शोधकर्ता Shubs और Sam Curry ने जुलाई 2024 में एक प्रमुख automaker के connected car platform में गंभीर खामियाँ उजागर कीं, जिससे केवल नंबर प्लेट जानकर दुनियाभर में कार अनलॉक की जा सकती थी।
Assetnote के सह-संस्थापक Shubs ने बताया कि उन्होंने अपने परिवार की पसंदीदा कार ब्रांड का connected car app डाउनलोड कर उसका APK decompile किया। इससे पता चला कि app का सारा traffic `redacted-telematics.com.au` डोमेन से जुड़ा था।
आगे reconnaissance करने पर `admintool.redacted-telematics.com.au` नाम का subdomain मिला, जिस पर एक 'TEST HARNESS' admin tool चल रहा था। यह tool बिना किसी ठोस authentication के publicly accessible था। JavaScript bundle में hardcoded API keys मौजूद थे, जिनकी मदद से customer accounts को email address से खोजा जा सकता था।
सबसे बड़ी खामी यह थी कि ऑस्ट्रेलिया में नंबर प्लेट से VIN (Vehicle Identification Number) आसानी से मिल जाती है, और उस VIN के ज़रिए admin API को call करके किसी भी registered vehicle को remotely unlock किया जा सकता था। यह कमज़ोरी दुनिया के अधिकांश हिस्सों में उस ब्रांड की गाड़ियों पर लागू थी। Shubs ने Sam Curry के साथ मिलकर इस पूरी attack chain को document किया और automaker को ज़िम्मेदारी से जानकारी दी।