Конференция DEFCON 27. Вашата кола е моята кола. Част 2

Конференция DEFCON 27. Вашата кола е моята кола. Част 1

В края на видеото чухте щракване - това е отключването на механичната ключалка на волана, която не можем да заобиколим с помощта на електроника. Трябва да използвате нещо механично, да счупите цилиндъра на ключалката с ръка или да направите нещо подобно, което нямаше да направя с нейната кола. Целият фърмуер, демонстриран в тези видеоклипове, ще бъде достъпен в GitHub след моя разговор, така че просто отидете на URL адреса на слайда и изтеглете файла OpenRemoteStart.

Нека поговорим какво точно се случва, когато добавим интернет към тази система, защото трябва да е добре за нас, нали? Както казах, закупих модул за дистанционно управление на алармата, наречен MyCar. Предлага се в различни модификации, имах модела Linkr LT-1.

MyCar е просто марка и такива модули се продават под имената Linkr LT-1, MyCar KIA, Visions MyCar, Carlink (CL6) и др. Както се оказа, от известно време представителствата на KIA в Канада инсталират тази система или поне приложение, наречено MyCar KIA, на своите автомобили. Интересното е, че това приложение вече не е достъпно за изтегляне от AppStore. Искам също да отбележа, че избрах продуктите на Fortin и MyCar, но според потребителските отзиви на тематичните форуми за аларми за автомобили на свободна практика, други системи не се държат по-добре и имат подобни проблеми.

Имам важен въпрос: Защо пазарът на резервни части за автомобилни аларми продава продукт с проблеми със сигурността и никой не го интересува? Ето защо, ако някой от вас се интересува от системи за дистанционно стартиране, обърнете внимание на няколко важни обстоятелства. Първо, както споменах по-рано, ако системата DS не е инсталирана правилно на автомобил с ръчна скоростна кутия, е напълно възможно след стартиране на двигателя от разстояние колата просто да се движи без шофьор, ако в трансмисията е включена някаква предавка . Наистина е опасно. Втората опасност е, че ако някой паркира кола в прилежащ гараж и случайно включи двигателя дистанционно, може да се задуши от натрупания въглероден оксид. Така че, ако имате CO система и прикрепен гараж, определено трябва да имате детектори за въглероден окис.

Ако използвате DS системи, никога не се опитвайте да запалите двигателя на колата си, без да знаете точно къде се намира, защото последствията могат да бъдат катастрофални.

Устройството MyCar, малка черна кутия с два кабела, излизащи от нея, има осем порта, два от които са предназначени за интерфейса за дебъгер. Свързването към този интерфейс показа, че устройството работи под Linux, за което производителят мълчи. Достъпът до обвивката на фърмуера е лесен с паролата „oelinux 123“, но можете да използвате AE Engine и без да влизате в системата, което ви позволява да въвеждате AT команди от командния ред, включително командата за промяна на IP адреса на устройството, с което този модул комуникира.

Ако погледнем редовете по-долу, можем да видим IP адреса на сървъра, от който модулът MyCar получава актуализации на фърмуера. Устройството е оборудвано с L-порт, който ви позволява да „слушате“ командите, получени от модула. Използвайки AE Engine и променяйки IP на сдвоеното устройство, успях да определя, че това устройство комуникира с DS, използвайки некриптирания UDP протокол.

Не съм го разглеждал твърде много, но мисля, че е доста важен и интересен факт. Ако се интересувате от повече информация за това устройство, разгледайте този слайд - показва захранващо напрежение 3,3V, скорост на трансфер на данни 115200 бода, адрес на сървър за актуализиране на фърмуера, root парола и връзка към ръководството за потребителя.

Устройството може да "толерира" по-високи захранващи напрежения.

Както казах, тук става доста студено. Около месец след като подарих тази система на моята приятелка, реших да извадя устройството от колата и да го пусна добре. Факт е, че през целия този месец отблъсквах мислите за уязвимостта на това устройство. Те прогнозираха температури до -30F° за следващата седмица, така че трябваше да побързам. Свързах се с обвивката и я накарах да работи, но тъй като клетъчното приемане в домашната ми лаборатория не е много добро, реших да работя с кутията на друг компютър. Устройството FTDI, което използвам, има къс кабел, така че намерих по-дълъг, включих го в устройството DS, включих го в компютъра и веднага щом включих захранването, устройството ми започна да пуши!

Поуката, която трябва да научите от това е: ако хаквате хардуер, подгответе резервна единица! Приятелката ми формулира морала на историята по следния начин: Ако половинката ви е хакер, не му позволявайте да си играе с вашите коледни подаръци! Сега да разгледаме софтуера, мисля, че тук нищо няма да пуши.

Стартирах прокси човек по средата, деактивирах SSL проверката на телефона си и наблюдавах какъв трафик изпраща приложението към бекенда. Когато се регистрирах, забелязах, че системата взе моя имейл адрес и го изпрати на уеб услугата, за да се увери, че адресът е свързан със съществуващ акаунт. Интересно е, че системата използваше Basic Authentication, защото все още не бях създал акаунт. Не знаех какво да правя с тази информация, затова просто я записах в една тетрадка и продължих напред. Създадох своя акаунт и влязох и първото нещо, което приложението прави при влизане, е да извика уеб услуга, за да потвърди текущия потребител. Така че аз просто се обадих на този уеб сървър с идентификационните данни, които бях виждал преди, които бяха използвани, за да проверя дали имейл адресът ми съществува, и получих администраторски достъп на Mycar в отговор.

Съмнявах се, че това е акаунт на истински системен администратор, защото въпреки че звучеше силно, имаше ниски привилегии. В крайна сметка всички познаваме такива хора.

Затова създавам друга заявка - командата EngineStart, за да стартирате колата от този акаунт, щракнете върху „Изпращане“, получете статуса на командата в отговор - „200 OK“ и след около три секунди колата ми започва да се движи.

Както се оказва, Mycar Admin акаунтът наистина е администраторски акаунт, твърдо кодиран в мобилното приложение. Но това не е всичко. На един от предишните слайдове видяхте такова нещо като API ключ. Отново, следейки трафика на моя фалшив прокси сървър, научих, че тези API ключове могат да се използват вместо потребителско име и парола. Ако използвате „API“ като потребителско име и един от тези ключове, можете да удостоверите потребителя.

Така че копирах съдържанието на реда „APIKey“, поставих го в реда за парола на приложението POST и щракнах върху бутона „Изпрати“.

Обаче не се получи и не можах да разбера защо в продължение на дълги 5 минути. Накрая ми светна, че съм забравил да премахна кавичките и запетаята в копирания API ключ, което ми беше казано: „Направили сте грешка в SQL синтаксиса.“ Стана ми ясно, че можете просто да използвате основно SQL инжектиране, за да заобиколите целия процес на влизане и да станете администратор или всеки потребител, който искате. Не мисля, че някой някога се е опитвал да открадне кола с помощта на SQL инжекция, така че нека опитаме.

Като цяло влязох в акаунта си, щракнах върху „Изпрати“ и получих статус „200 OK“ в отговор. Този път реших да запиша видео. Малко е тъмно, защото снимах късно през нощта от прозореца на офиса си. И така, въвеждам командата и виждате през прозореца, че фаровете на колата мигат в двора долу. Първоначално светлината им е слаба, но след това фаровете започват да светят с пълна мощност - това е двигателят, който се включва. И така, запалих колата с помощта на SQL инжекция (аплодисменти на публиката).

Но това не е всичко. SQL инжектирането може да се използва не само за оторизация, но и за замяна на други параметри като URL, основни параметри на низ на заявка и т.н. Всъщност тази система използва SQL инжекции навсякъде. Разглеждайки съобщенията за грешка, можем да видим, че това, което въвеждаме като парола, се сравнява директно с колоната за парола в базата данни.

Това означава, че те използват обикновени текстови пароли при SQL инжектиране. Както се казва, „това изобщо не е добро и дори много лошо!“ Но достатъчно за SQL, нека да видим какво друго можете да направите, за да стартирате дистанционно колата си. Просто изпращате командата „EngineStart“ и в отговор получавате целочислен идентификатор, представляващ идентификатора на тази команда, в този случай това е ID = 3. Познавайки идентификатора, можете да „изтеглите“ услуга, която ще докладва състоянието на това команда.

Така че чрез увеличаване или намаляване на стойността на ID, аз "дърпам" състоянието на всяка команда, която някога е била изпращана на тази система.

В него обаче няма нищо особено интересно и се чудя дали тук има пряка препратка към обект, който мога да използвам, за да запаля колата си. Така че изпълних командата "EngineStart" като законен потребител от моя акаунт и след това се опитах да го извикам през акаунта на друг потребител, който не би трябвало да има достъп до системата. В отговор получих съобщение за грешка: „Този ​​акаунт не е в контекста на йерархията.“ Така че може би този метод на хакване няма да работи. Въпреки това, ако погледнете този API, ще видите, че той дублира информация - имейл адресът на потребителя е съпоставен с ID на неговия акаунт.

Ако разработвате API или хакнете API, видът дублиране на информация, която виждаме в този URL адрес, може да бъде източник на грешки. В този случай програмните грешки могат да се проявят по четири различни начина.

Ако погледнете случаи 2 и 3, очертани в червено, можете да видите директни препратки към обекта. И в двата случая системата не проверява дали сте оторизирани да изпълните командата. Опитах случай 2 и не се получи, какво ще кажете за случай 3? Тук просто трябва да заменим идентификатора на акаунта USER_EMAIL в URL адреса, тъй като той е пряко свързан с идентификатора на акаунта ACCOUNT_ID. Преди използвахме идентификационния номер на акаунта на жертвата, но сега използваме акаунта на нападателя. Така че използвах идентификационния номер на акаунта на хакера и идентификационния номер на устройството на жертвата, изпратих командата и очаквано получих статус на командата „200 OK“ и получих контрол над приложението MyCar.
И така, с три различни вектора на атака успяхме да направим всичко, което легитимният потребител на приложението може да направи. Това означава, че можете да намерите всяка кола в града, да зададете нейната марка и модел в приложението, след което дистанционно да отключите колата и да я запалите. Можем да изключим или включим алармата, да направим промени в сервизното меню на автомобила и да проверим статуса на всяка команда. И всичко това може да стане по три различни начина.

Очевидно е, че разработчиците на MyCar са се опитали по някакъв начин да коригират системните грешки. Така че, в случай на твърдо кодирани пароли, те просто поставят обратен прокси пред приложението, за да скрият идентификационните данни, които се използват за оторизация. Проблемът е, че обратните проксита не са магия и не могат да решат всички проблеми. Те съхраниха SQL инжекцията в услуга на трета страна, така че дори без парола да мога да я използвам чрез процедурата за проверка на потребителя.

Реших да разгледам по-подробно URL структурата. Може би сте забелязали, че всички адреси, използвани от системата, съдържат m2m. Реших, че това е някакъв вид вътрешно взаимодействие за механизма за оторизация в приложението MyCar, въведох тези букви в Google и открих уебсайта на M2M Suite. Единственото нещо, което можете да направите, когато видите този формуляр, е да поставите няколко единични кавички там и да видите какво ще се случи. Това, което ще се случи е, че ще получите желаната SQL инжекция (аплодисменти на публиката).

И това идва няколко месеца след като разработчиците съобщиха за проблем с инжектирането на SQL. Ако дадено приложение има подобни проблеми, те трябва да бъдат коригирани възможно най-скоро, но както виждате, разработчиците не са направили нищо. Намирам този вид пренебрежение към потребителите за обидно.

Модулът MyCar има GPS устройство, за да може да проследява местоположението на вашия автомобил и да го показва в приложението. Но, както се оказа, те съхраняват не само текущото местоположение на автомобилите. Те съхраняват адски много информация, много повече, отколкото е необходимо, за да се следи текущото местоположение на автомобила. В моя случай, за 13 дни използване на приложението, те натрупаха малко по-малко от две хиляди точки за геолокация на местата, посетени от колата ми. Политиката за поверителност на компанията разработчик MyCar не казва нито дума за подобно събиране на информация.

Въпреки това става още по-лошо. Може да се твърди, че това е само страничен ефект от внедряването на услугата за местоположение. Но работата е там, че вместо просто да създават списък с местата, до които отива колата ви, те използват друг API, който анализира тези данни и определя местата, до които колата ви отива най-често. Отново, доколкото ми е известно, няма намек за такава функция в политиката за поверителност. Може би това не е толкова изненадващо, защото след много търсене намерих компанията-майка на MyCar, наречена Procon Analytics, отидох на техния уебсайт и посетих секцията с често задавани въпроси. Тук попаднах на въпроса: „Как гарантирате сигурността на данните?“ Отговорът на компанията беше: „За разлика от публичните облаци, които се конкурират за приоритет в съхранението на данни, Procon Analytics използва свой собствен виртуален облак, който се използва изключително за потребителите на нашето приложение и е защитен от намеса от други потребители. Това е специална облачна среда с висока степен на сигурност, която гарантира лесна наличност и бързина на предоставяне на услугата. Партнирайки си с Procon Analytics, можете да сте сигурни, че вашите данни са сигурно защитени.“ Дори не знам какво да кажа на това...

Ако влезете във фейсбук страницата им, можете да разберете още по-интересни неща. Тук те просто пишат: „Защитата на информацията за вашия автомобил е жизненоважна!“ Е, мога само да се съглася с подобно твърдение.

И така, обратно към въпроса, с който започнах: „Как се случва това и как може да бъде избегнато“? И което е по-важно, как можем като общност да предотвратим това да се случи?

С това приключвам моя доклад, но все пак ще мога да отговоря на няколко въпроса (аплодисменти на публиката).

Питате дали са оправили всичко? На този етап мисля, че са поправили всички грешки, за които им докладвах, с изключение на недостатъците в политиката за поверителност, които споменах в края на разговора. Последният път, когато го проверих, всичко беше непроменено. На въпрос дали мога да редактирам параметрите на електронния блок за управление на двигателя (ECU) на автомобила по подобен начин, ще отговоря, че моята задача беше да редактирам параметрите на автомобила само в приложението MyCar. Той съхранява цифрово представяне на превозното средство, което се редактира чрез директен достъп до обект, SQL инжектиране или друг вектор на атака.

Последният въпрос е: имам ли в колата си система за безключово стартиране на двигателя с бутона „Старт“ и каква е ситуацията със заключването на волана в този случай? Моят отговор е, че MyCar има такъв бутон, така че тази система няма заключване на волана. Подозирам, че ако инсталирате тази система, определено няма да можете да разчитате на блокировката на волана.

Малко реклами 🙂

Благодарим ви, че останахте с нас. Харесвате ли нашите статии? Искате ли да видите още интересно съдържание? Подкрепете ни, като направите поръчка или препоръчате на приятели, облачен VPS за разработчици от $4.99, уникален аналог на сървъри от начално ниво, който беше изобретен от нас за вас: Цялата истина за VPS (KVM) E5-2697 v3 (6 ядра) 10GB DDR4 480GB SSD 1Gbps от $19 или как да споделите сървър? (предлага се с RAID1 и RAID10, до 24 ядра и до 40GB DDR4).

Dell R730xd 2 пъти по-евтин в центъра за данни Equinix Tier IV в Амстердам? Само тук 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 TV от $199 в Холандия! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - от $99! Прочети за Как да изградим инфраструктура Corp. клас с използване на сървъри Dell R730xd E5-2650 v4 на стойност 9000 евро за стотинка?

Източник: www.habr.com