Konverents DEFCON 27. Sinu auto on minu auto. 2. osa

Konverents DEFCON 27. Sinu auto on minu auto. 1. osa

Video lõpus kuulsite klõpsatust - see on mehaanilise rooliluku avamine, millest me ei saa elektroonika abil mööda minna. Peate kasutama midagi mehaanilist, lõhkuma käsitsi lukusilindrit või tegema midagi sarnast, mida ma ei kavatsenud tema autoga teha. Kogu nendes videotes näidatud püsivara on pärast minu kõnet GitHubis saadaval, nii et minge lihtsalt slaidil olevale URL-ile ja laadige alla OpenRemoteStart-fail.

Räägime sellest, mis täpselt juhtub, kui sellesse süsteemi lisame Interneti, sest see peab ju meile hea olema, eks? Nagu ma ütlesin, ostsin kaugjuhtimispuldi MyCar. Seda on erinevates versioonides, mul oli Linkr LT-1 mudel.

MyCar on lihtsalt kaubamärk ja selliseid mooduleid müüakse Linkr LT-1, MyCar KIA, Visions MyCar, Carlink (CL6) jne nimede all. Nagu selgub, on Kanada KIA esindused juba mõnda aega seda süsteemi või vähemalt MyCar KIA-nimelist rakendust oma autodele paigaldanud. Huvitaval kombel pole see rakendus enam AppStore'is allalaadimiseks saadaval. Samuti tahan märkida, et valisin Fortini ja MyCari tooted, kuid vabakutseliste autoalarmide temaatiliste foorumite kasutajate arvustuste kohaselt ei käitu muud süsteemid paremini ja neil on sarnased probleemid.

Mul on oluline küsimus: miks müüb järelturu autosignalisatsiooni turg turvaprobleemidega toodet ja see ei huvita kedagi? Seega, kui keegi teist on huvitatud kaugkäivitussüsteemidest, pöörake tähelepanu paarile olulisele asjaolule. Esiteks, nagu ma varem mainisin, kui DS-süsteem pole manuaalkäigukastiga autole õigesti paigaldatud, on täiesti võimalik, et pärast mootori kaugkäivitamist sõidab auto lihtsalt ilma juhita, kui käigukastis on mõni käik sisse lülitatud. . See on tõesti ohtlik. Teine oht seisneb selles, et kui keegi pargib auto kinnisesse garaaži ja paneb kogemata mootori kaugjuhtimisega tööle, võib ta kogunenud vingugaasist lämbuda. Nii et kui teil on CO-süsteem ja garaaž, peaksite kindlasti olema vingugaasiandurid.

Kui kasutate DS-süsteeme, ärge kunagi proovige oma auto mootorit käivitada, teadmata täpselt, kus see asub, sest tagajärjed võivad olla hukatuslikud.

MyCar seade, väike must kast, millest väljub kaks juhet, omab kaheksat porti, millest kaks on pühendatud siluri liidesele. Selle liidesega ühenduse loomine näitas, et seade töötas all Linux, millest tootja vaikib. Püsivara kestale ligipääs on lihtne parooliga "oelinux 123", kuid AE Engine'it saab kasutada ka sisselogimata, mis võimaldab sisestada käsurealt AT-käske, sealhulgas käsu muuta selle mooduliga suhtleva seadme IP-aadressi.

Kui vaatame allolevaid ridu, näeme selle serveri IP-aadressi, kust MyCari moodul püsivara värskendusi saab. Seade on varustatud L-pordiga, mis võimaldab “kuulata” mooduli poolt vastuvõetud käske. Kasutades AE mootorit ja muutes seotud seadme IP-d, sain kindlaks teha, et see seade suhtleb DS-ga krüptimata UDP-protokolli kasutades.

Ma ei ole seda eriti uurinud, kuid arvan, et see on üsna oluline ja huvitav fakt. Kui olete huvitatud selle seadme kohta lisateabest, vaadake seda slaidi - see näitab toiteallika pinget 3,3 V, andmeedastuskiirust 115200 XNUMX boodi, serveri aadressi püsivara värskendamiseks, juurparooli ja linki kasutusjuhendisse.

Seade talub kõrgemat toitepinget.

Nagu ma ütlesin, on siin päris külm. Umbes kuu aega pärast seda, kui ma selle süsteemi oma tüdruksõbrale kinkisin, otsustasin seadme autost välja võtta ja sellega korralikult sõita. Fakt on see, et terve selle kuu olen ma mõtteid selle seadme haavatavusest eemale tõrjunud. Nad ennustasid järgmiseks nädalaks temperatuuri kuni -30 F°, nii et pidin kiirustama. Ühendasin shelliga ja sain selle tööle, aga kuna mu kodulaboris ei ole mobiilside vastuvõtt kuigi hea, otsustasin kastiga töötada mõnes teises arvutis. Minu kasutataval FTDI-seadmel on lühike juhe, nii et ma leidsin pikema, ühendasin selle DS-seadmega, ühendasin selle arvutiga ja niipea, kui ma toite sisse lülitasin, hakkas mu seade suitsema!

Õppetund on järgmine: kui häkkite riistvara, pange varuseade valmis! Mu tüdruksõber sõnastas loo moraali järgmiselt: kui teie kaaslane on häkker, ärge laske tal teie jõulukinkidega mängida! Vaatame nüüd tarkvara, arvan, et siin ei suitse midagi.

Käivitasin keskmise puhverserveri, keelasin oma telefonis SSL-i kinnitamise ja vaatasin, millist liiklust rakendus taustaprogrammi saadab. Registreerimisel märkasin, et süsteem võttis mu meiliaadressi ja saatis selle veebiteenusesse, veendumaks, et aadress on seotud olemasoleva kontoga. Huvitav on see, et süsteem kasutas põhiautentimist, kuna ma polnud veel kontot loonud. Ma ei teadnud, mida selle teabega peale hakata, nii et kirjutasin selle lihtsalt vihikusse ja liikusin edasi. Tegin oma konto ja logisin sisse ning esimene asi, mida rakendus sisselogimisel teeb, on helistada veebiteenusesse, et kontrollida praegust kasutajat. Nii et ma lihtsalt helistasin sellele veebiserverile varem nähtud mandaatidega, mida kasutati minu e-posti aadressi olemasolu kontrollimiseks, ja sain vastuseks Mycari administraatori juurdepääsu.

Ma kahtlesin, kas see on tõeline süsteemiadministraatori konto, sest vaatamata valjule kõlale olid sellel madalad õigused. Lõppude lõpuks tunneme me kõik selliseid inimesi.

Seetõttu loon uue päringu - käsu EngineStart, et auto sellelt kontolt käivitada, klõpsake nuppu "Saada", saan vastuseks käsu oleku - "200 OK" ja umbes kolme sekundi pärast hakkab mu auto liikuma.

Nagu selgub, oli Mycari administraatori konto tõepoolest mobiilirakendusse sisse kodeeritud administraatori konto. Kuid see pole veel kõik. Ühel eelmisel slaidil nägite sellist asja nagu API-võti. Jällegi, jälgides oma võltsitud puhverserveri liiklust, sain teada, et neid API võtmeid saab kasutada kasutajanime ja parooli asemel. Kui kasutate kasutajanimena API-t ja ühte neist võtmetest, saate kasutaja autentida.

Nii et kopeerisin rea "APIKey" sisu, kleepisin selle POST-rakenduse paroolireale ja klõpsasin nuppu "Saada".

See aga ei töötanud ja ma ei saanud pika 5 minuti jooksul aru, miks. Lõpuks jõudis mulle kohale, et unustasin kopeeritud API-võtmest jutumärgid ja koma eemaldada, mida mulle öeldi: "Te tegite SQL-i süntaksis vea." Mulle sai selgeks, et lihtsa SQL-i süstiga saate kogu sisselogimisprotsessist mööda minna ja saada administraatoriks või mis tahes soovitud kasutajaks. Ma arvan, et keegi pole kunagi üritanud SQL-süsti kasutades autot varastada, nii et proovime.

Üldiselt logisin oma kontole sisse, vajutasin "Saada" ja sain vastuseks oleku "200 OK". Seekord mõtlesin video salvestada. Natuke pime on, sest filmisin hilja õhtul oma kontori aknast. Niisiis, sisestan käsu ja sa näed läbi akna, et auto tuled vilguvad all hoovis. Alguses on nende valgus nõrk, kuid siis hakkavad esituled täisvõimsusel särama - see on mootori sisselülitamine. Niisiis, käivitasin auto SQL-i süstiga (publiku aplaus).

Kuid see pole veel kõik. SQL-i süsti saab kasutada mitte ainult autoriseerimiseks, vaid ka muude parameetrite, näiteks URL-i, päringustringi kehaparameetrite jms asendamiseks. Tegelikult kasutab see süsteem kõikjal SQL-i süsti. Veateateid vaadates näeme, et seda, mida me parooliks sisestame, võrreldakse otse andmebaasi parooliveeruga.

See tähendab, et nad kasutavad SQL-i sisestamisel lihtteksti paroole. Nagu öeldakse: "See pole üldse hea, vaid isegi väga halb!" Aga SQL-ist piisab, vaatame, mida saate veel auto kaugkäivitamiseks teha. Sa lihtsalt saadad käsu “EngineStart” ja vastuseks saad täisarvulise identifikaatori, mis tähistab selle käsu identifikaatorit, antud juhul on see ID = 3. Tundes identifikaatorit, saad “tõmmata” teenuse, mis teavitab selle olekust. käsk.

Seega, suurendades või vähendades ID väärtust, "tõmban" välja mis tahes käsu oleku, mis on sellesse süsteemi kunagi saadetud.

Midagi eriti huvitavat selles aga pole ja ma ei tea, kas siin on otsene viide mõnele objektile, mille abil saan auto käivitada. Nii et ma käivitasin oma kontolt seadusliku kasutajana käsu "EngineStart" ja proovisin seejärel helistada sellele teise kasutaja konto kaudu, millel ei tohiks olla süsteemile juurdepääsu. Vastuseks sain veateate: "See konto pole hierarhia kontekstis." Nii et võib-olla see häkkimine ei tööta. Kui aga vaatate seda API-d, näete, et see dubleerib teavet – kasutaja meiliaadress on seotud tema konto ID-ga.

Kui arendate API-t või häkkite API-t, võib selles URL-is näha oleva teabe dubleerimine olla vigade allikas. Sel juhul võivad API vead avalduda neljal erineval viisil.

Kui vaatate punasega välja toodud juhtumeid 2 ja 3, näete otseseid viiteid objektile. Mõlemal juhul süsteem ei kontrolli, kas teil on õigus käsku täita. Proovisin 2. juhtumit ja see ei töötanud, aga kuidas on juhtumiga 3? Siin peame lihtsalt URL-is asendama USER_EMAIL konto ID, kuna see on otseselt seotud konto ACCOUNT_ID ID-ga. Varem kasutasime ohvri konto ID-d, nüüd aga ründaja kontot. Seega kasutasin häkkeri konto ID-d ja ohvri seadme ID-d, saatsin käsu ja eeldatavasti sain käsu oleku "200 OK" ning sain kontrolli MyCari rakenduse üle.
Seega saime kolme erineva ründevektoriga teha kõike, mida rakenduse seaduslik kasutaja teha sai. See tähendab, et leiate linnast suvalise auto, saate rakenduses määrata selle margi ja mudeli ning seejärel auto kauglukust lahti võtta ja käivitada. Saame alarmi välja või sisse lülitada, teha muudatusi auto hooldusmenüüs ja kontrollida mis tahes käsu olekut. Ja seda kõike saab teha kolmel erineval viisil.

On ilmne, et MyCari arendajad püüdsid süsteemivigu kuidagi parandada. Nii et kõvakodeeritud paroolide puhul panevad nad lihtsalt rakenduse ette pöördpuhverserveri, et varjata autoriseerimiseks kasutatavaid mandaate. Probleem on selles, et pöördpuhverserverid ei ole maagilised ega suuda kõiki probleeme lahendada. Nad salvestasid SQL-i süsti kolmanda osapoole teenusesse, nii et isegi ilma paroolita saan seda kasutaja kinnitamise protseduuri kaudu siiski kasutada.

Otsustasin URL-i struktuuri lähemalt uurida. Võib-olla olete märganud, et kõik süsteemis kasutatavad aadressid sisaldavad m2m. Otsustades, et see oli MyCari rakenduse autoriseerimismehhanismi teatud tüüpi sisemine interaktsioon, sisestasin need tähed Google'isse ja avastasin M2M Suite'i veebisaidi. Ainus, mida saate seda vormi nähes teha, on panna sinna paar üksikut tsitaati ja vaadata, mis juhtub. Mis juhtub, on see, et saate soovitud SQL-i süsti (publiku aplaus).

Ja see juhtub mitu kuud pärast seda, kui arendajad teatasid probleemist SQL-i süstimisega. Kui rakendusel on selliseid probleeme, tuleb see võimalikult kiiresti parandada, kuid nagu näete, pole arendajad midagi ette võtnud. Minu arvates on selline kasutajate eiramine solvav.

MyCar moodulil on GPS-seade, mis võimaldab jälgida teie auto asukohta ja kuvada seda rakenduses. Kuid nagu selgus, ei salvesta nad ainult autode praegust asukohta. Need salvestavad kuradi palju teavet, palju rohkem, kui on vaja auto hetkeasukoha jälgimiseks. Minu puhul kogunes 13 päeva jooksul rakendust kasutades veidi vähem kui kaks tuhat geolokatsioonipunkti kohtadest, mida mu auto külastas. MyCari arendajafirma privaatsuspoliitika ei ütle sellise info kogumise kohta sõnagi.

Asi läheb aga veelgi hullemaks. Võite väita, et see on vaid asukohateenuse rakendamise kõrvalmõju. Kuid asi on selles, et selle asemel, et luua loendit kohtadest, kuhu teie auto läheb, kasutavad nad teist API-d, mis analüüsib neid andmeid ja määrab kohad, kus teie auto kõige sagedamini käib. Jällegi, minu teada pole privaatsuspoliitikas sellisele funktsioonile vihjet. Võib-olla pole see nii üllatav, sest pärast tonni otsimist leidsin MyCari emaettevõtte nimega Procon Analytics, läksin nende veebisaidile ja külastasin KKK jaotist. Siin puutusin kokku küsimusega: "Kuidas tagate andmete turvalisuse?" Ettevõtte vastus oli: „Erinevalt avalikest pilvedest, mis võistlevad andmete salvestamisel prioriteedi pärast, kasutab Procon Analytics oma virtuaalset pilve, mida kasutatakse ainult meie rakenduse kasutajatele ja mis on kaitstud teiste kasutajate sekkumise eest. See on kõrge turvalisusega spetsiaalne pilvekeskkond, mis tagab hõlpsa kättesaadavuse ja teenuse osutamise kiiruse. Tehes koostööd Procon Analyticsiga, võite olla kindel, et teie andmed on turvaliselt kaitstud. Ma isegi ei tea, mida selle peale öelda...

Kui lähete nende Facebooki lehele, saate teada veelgi huvitavamaid asju. Siin kirjutavad nad lihtsalt: "Teabe kaitsmine teie sõiduki kohta on ülioluline!" No sellise väitega saan ainult nõustuda.

Niisiis, tagasi küsimuse juurde, millest alustasin: "Kuidas see juhtub ja kuidas seda vältida"? Ja mis veelgi olulisem, kuidas saame kogukonnana seda vältida?

Sellega minu aruanne lõpetatakse, kuid saan siiski vastata paarile küsimusele (publik aplaus).

Kas te küsite, kas nad parandasid kõik? Siinkohal arvan, et nad on parandanud kõik vead, millest ma neile teatasin, välja arvatud privaatsuspoliitika vead, mida kõne lõpus mainisin. Viimane kord, kui seda kontrollisin, oli kõik muutumatu. Küsimusele, kas saan samamoodi muuta ka auto elektroonilise mootori juhtseadme (ECU) parameetreid, vastan, et minu ülesandeks oli muuta auto parameetreid ainult MyCar rakenduses. See salvestab sõiduki digitaalse esituse, mida redigeeritakse otsese objektijuurdepääsu, SQL-i süstimise või muu ründevektori kaudu.

Viimane küsimus on: kas minu autos on “Start” nupuga võtmeta mootorikäivitussüsteem ja kuidas on antud juhul olukord roolilukuga? Minu vastus on, et MyCaril on selline nupp, seega pole sellel süsteemil roolilukku. Kahtlustan, et kui selle süsteemi paigaldad, siis roolilukule kindlasti loota ei saa.

Mõned reklaamid 🙂

Täname, et jäite meiega. Kas teile meeldivad meie artiklid? Kas soovite näha huvitavamat sisu? Toeta meid, esitades tellimuse või soovitades sõpradele, pilve VPS arendajatele alates 4.99 dollarist, algtaseme serverite ainulaadne analoog, mille me teie jaoks leiutasime: Kogu tõde VPS (KVM) E5-2697 v3 (6 tuuma) 10GB DDR4 480GB SSD 1Gbps kohta alates 19 dollarist või kuidas serverit jagada? (saadaval RAID1 ja RAID10, kuni 24 tuuma ja kuni 40 GB DDR4-ga).

Dell R730xd 2x odavam Amsterdami Equinixi Tier IV andmekeskuses? Ainult siin 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6 GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 telerit alates 199 dollarist Hollandis! Dell R420 – 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB – alates 99 dollarist! Millegi kohta lugema Kuidas ehitada infrastruktuuri ettevõtet. klassis koos Dell R730xd E5-2650 v4 serverite kasutusega 9000 eurot senti?

Allikas: www.habr.com