Peneliti Temukan Celah Buka Kunci Mobil via Plat Nomor
Judul asli: Unlocking any car from X brand in most of the world
Mengapa Ini Penting
Celah ini menunjukkan risiko nyata platform connected car yang minim perlindungan API.
Peneliti keamanan Shubs dan Sam Curry menemukan celah di platform connected car milik produsen otomotif besar yang memungkinkan siapa pun membuka kunci mobil hanya dari plat nomor kendaraan.
Shubs, co-founder Assetnote, bersama Sam Curry melakukan investigasi keamanan terhadap sistem connected car milik sebuah produsen otomotif besar — disebut 'the automaker' — pada Juli lalu. Titik awal penelitian sederhana: apa saja infrastruktur yang diakses aplikasi saat pengguna melakukan remote unlock?
Setelah men-decompile APK aplikasi, Shubs menemukan hampir seluruh komunikasi diarahkan ke domain `redacted-telematics.com.au`. Dari sana, subdomain `admintool.redacted-telematics.com.au` menarik perhatian — halaman berlabel 'TEST HARNESS' yang dapat diakses publik tanpa hambatan.
Yang lebih mengejutkan: JavaScript bundle dari halaman login tersebut menyimpan API key secara hardcoded. Dengan kunci itu, siapa pun bisa memanggil API admin yang seharusnya hanya untuk karyawan internal — termasuk mencari akun pengguna berdasarkan alamat email, lalu menelusuri data kendaraan. Di Australia, plat nomor cukup untuk mendapatkan VIN melalui situs registrasi resmi negara bagian. Kombinasi keduanya membuka jalan untuk mengakses dan mengontrol kendaraan secara remote tanpa otorisasi.