İki avtomobil istehsalçısında ciddi təhlükəsizlik boşluğu: Maşınları uzaqdan idarə etmək mümkün olub

Kibertəhlükəsizlik mütəxəssisləri iki avtomobil istehsalçısının sistemlərində avtomobillərin uzaqdan idarə edilməsinə imkan verən ciddi təhlükəsizlik boşluqları aşkar ediblər. Araşdırma zamanı məlum olub ki, şirkətlərin serverlərinə daxil olmaq üçün istifadəçi adı və şifrə kimi sadəcə “admin” sözünü yazmaq kifayət edib. Bu boşluqlar vasitəsilə avtomobillərin qapılarını uzaqdan açmaq, mühərriklərini işə salmaq və onların yerləşdiyi məkanı izləmək mümkün olub.

Təhlükəsizlik boşluqları kibertəhlükəsizlik tədqiqatçıları Sem Körri (Sam Curry) və Şubham Şah (Shubham Shah) tərəfindən aşkar edilib. Noyabrın 7-də dərc olunan araşdırmada iki avtomobil istehsalçısının mobil tətbiqlərində istifadə edilən müştəri hesablarının idarəetmə sistemlərində ciddi problemlərin olduğu göstərilib. Şirkətlərin müraciəti əsasında avtomobil markalarının adları açıqlanmayıb.

Araşdırmaya əsasən, hər iki istehsalçı mobil tətbiqlərində istifadəçilərin autentifikasiyası üçün ForgeRock adlı identifikasiya və giriş idarəetmə platformasından istifadə edirdi. Tədqiqatçılar sistemin təhlükəsizliyini yoxlayarkən Apache Felix adlı idarəetmə konsolunu aşkar ediblər.

Sözügedən konsol təhlükəsizlik divarı ilə qorunsa da, xüsusi hazırlanmış internet ünvanları vasitəsilə bu məhdudiyyəti keçmək mümkün olub. Daha sonra tədqiqatçılar giriş səhifəsində standart istifadəçi adı və şifrəni yoxlayıblar. Məlum olub ki, hər iki şirkətin serverində istifadəçi adı da, şifrə də dəyişdirilmədən “admin” olaraq saxlanılıb.

Bu, tədqiqatçılara serverlərdə proqram kodu icra etmək və müştəri hesablarının idarə olunduğu sistemə daxil olmaq imkanı verib. Əldə edilən səlahiyyətlər sayəsində istənilən müştərinin hesabına bağlı elektron poçt ünvanını və şifrəsini dəyişmək mümkün olub.

Təhlükəsizlik boşluğunun real nəticələrini nümayiş etdirmək üçün tədqiqatçılar sınaq hesabının elektron poçt ünvanını öz nəzarətlərində olan ünvanla əvəzləyiblər. Ardınca yeni şifrə təyin edərək avtomobil istehsalçısının mobil tətbiqinə adi istifadəçi kimi daxil olublar. Hesaba giriş üçün tələb olunan altırəqəmli təsdiqləmə kodu da artıq onların nəzarətində olan elektron poçt ünvanına göndərilib.

Sistemə daxil olduqdan sonra avtomobilin şassi nömrəsi (VIN), modeli və abunəlik məlumatları da daxil olmaqla müxtəlif məlumatlara çıxış əldə edilib. Lakin əsas təhlükə mobil tətbiqdəki uzaqdan idarəetmə funksiyalarının da əlçatan olması idi.

Tədqiqatçılar sınaq avtomobilinin qapılarını uzaqdan açmağa və mühərrikini işə salmağa nail olublar. Daha sonra mühərriki söndürərək qapıları yenidən kilidləyiblər. Araşdırma çərçivəsində avtomobilin yerləşdiyi məkanı izləməyin də mümkün olduğu müəyyənləşdirilib.

Diqqətçəkən məqamlardan biri avtomobil sahibinin hesabının ələ keçirildiyini dərhal müəyyən edə bilməməsidir. Belə ki, hesaba bağlı elektron poçt ünvanı və şifrə dəyişdirilsə də, mobil tətbiqdə əvvəlcədən açılmış istifadəçi sessiyası avtomatik bağlanmırdı. Nəticədə avtomobil sahibi tətbiqdən istifadə etməyə davam edə və hesabına kənar müdaxilədən xəbərsiz qala bilərdi.

Tədqiqatçılar hücumun bütün mərhələlərini ABŞ-də yerləşən hesablar və avtomobillər üzərində sınaqdan keçiriblər. Şubham Şah eyni istehsalçıların Avstraliyadakı sistemlərində də başqa təhlükəsizlik boşluğu aşkar edib. Bu dəfə mobil tətbiqin proqram kodunda saxlanılmış administrator giriş məlumatlarından istifadə etməklə sistemə daxil olmaq mümkün olub.

Araşdırmaların nəticələrinə əsasən, aşkar edilən boşluqlar ABŞ, Kanada və Avstraliyadakı avtomobillərə uzaqdan qapıların açılması və mühərrikin işə salınması kimi əmrlərin göndərilməsinə şərait yaradırdı.

Mütəxəssislər problemlər barədə avtomobil istehsalçılarını məlumatlandırdıqdan sonra hər iki şirkətin təxminən iki saat ərzində təhlükəsizlik boşluqlarını aradan qaldırdığını bildiriblər. Serverlərdəki giriş məlumatları dəyişdirilib və aşkar edilən zəifliklər bağlanıb.

Problemin avtomobillərin proqram təminatından deyil, istehsalçıların serverlərindəki təhlükəsizlik parametrlərindən qaynaqlandığı bildirilir. Buna görə də istifadəçilərin avtomobillərinə və ya smartfonlarına əlavə yeniləmə quraşdırmasına ehtiyac yaranmayıb.

Qeyd edək ki, Sem Körri və digər kibertəhlükəsizlik tədqiqatçıları daha əvvəl Subaru avtomobillərinin Starlink bağlantı sistemində də ciddi təhlükəsizlik boşluğu aşkar etmişdilər. Həmin problem avtomobil sahiblərinin müəyyən şəxsi məlumatlarından istifadə etməklə nəqliyyat vasitələrinin qapılarını açmağa, mühərriklərini işə salmağa və bir illik məkan tarixçəsinə baxmağa imkan verirdi. Subaru təhlükəsizlik boşluğunu məlumatlandırıldıqdan sonra bir gün ərzində aradan qaldırmışdı.

Yeni araşdırma göstərir ki, internetə qoşulan avtomobillərin təhlükəsizliyi yalnız nəqliyyat vasitəsinin özündən deyil, istehsalçıların serverlərinin və istifadəçi hesablarının nə dərəcədə etibarlı qorunmasından da asılıdır. Hətta standart administrator şifrəsinin dəyişdirilməməsi kimi sadə təhlükəsizlik səhvi avtomobillərin uzaqdan idarəetmə funksiyalarını kənar müdaxiləyə açıq vəziyyətə gətirə bilər.