פגיעות בתשתית טסלה אפשרה להשיג שליטה על כל מכונית

גילה מידע על בעיות בארגון הגנה ברשת טסלה, שאיפשרה פגיעה מוחלטת בתשתית המתקשרת עם מכוניות צרכניות. בפרט, הבעיות שזוהו אפשרו לקבל גישה לשרת האחראי על תחזוקת ערוץ תקשורת עם מכוניות ושליחת פקודות המועברות באמצעות אפליקציה סלולרית.

כתוצאה מכך, התוקף הצליח להשיג גישת שורש למערכת המידע של כל מכונית דרך תשתית טסלה או להעביר מרחוק פקודות שליטה למכונית. בין היתר, הודגמה יכולת שליחת פקודות כמו התנעת מנוע ופתיחת דלתות לרכב. כדי לקבל גישה, כל שנדרש היה ידיעת מספר ה-VIN של המכונית של הקורבן.

הפגיעות זוהתה בתחילת 2017 על ידי חוקר האבטחה ג'ייסון יוז
(ג'ייסון יוז), שהודיע ​​מיד לטסלה על הבעיות ופרסם את המידע שגילה רק שלוש וחצי שנים לאחר התקרית. יצוין כי טסלה בשנת 2017 תיקנה את הבעיות תוך שעות לאחר קבלת הודעה על הפגיעות, ולאחר מכן היא חיזקה באופן קיצוני את ההגנה על התשתית שלה. עבור זיהוי הפגיעות, שולם לחוקר פרס של 50 אלף דולר אמריקאי.

ניתוח הבעיות בתשתית טסלה החל בפירוק הכלים המוצעים להורדה מהאתר toolbox.teslamotors.com. למשתמשי מכוניות טסלה עם חשבון באתר service.teslamotors.com ניתנה ההזדמנות להוריד את כל המודולים למפתחים. המודולים הוצפנו בצורה הפשוטה ביותר, ומפתחות ההצפנה ניתנו על ידי אותו שרת.

לאחר פירוק המודולים שהתקבלו לקוד Python, החוקר גילה שהקוד מכיל אישורים משובצים עבור שירותי טסלה שונים הממוקמים ברשת הפנימית של החברה, שאליהם הגישה באמצעות VPN. בפרט, בקוד הצלחנו למצוא את אישורי המשתמש של אחד המארחים בתת-הדומיין "dev.teslamotors.com" הממוקם ברשת הפנימית.

עד 2019, כדי לחבר מכוניות לשירותי טסלה, נעשה שימוש ב-VPN המבוסס על חבילת OpenVPN (הוחלף מאוחר יותר ביישום מבוסס websocket) באמצעות מפתח שנוצר עבור כל מכונית. נעשה שימוש ב-VPN כדי להבטיח את פעולתה של אפליקציה סלולרית, לקבל רשימה של עמדות טעינת סוללות ושירותים דומים אחרים. החוקר ניסה לסרוק את הרשת הנגישה לאחר שחיבר את מכוניתו באמצעות VPN ומצא שרשת המשנה הנגישה ללקוחות לא הייתה מבודדת כראוי מהרשת הפנימית של טסלה. בין היתר, ניתן היה להגיע למארח בתת-הדומיין dev.teslamotors.com, שעבורו נמצאו אישורים.

השרת שנפרץ התברר כצומת ניהול אשכולות והיה אחראי על אספקת יישומים לשרתים אחרים. עם הכניסה למארח שצוין, הצלחנו להשיג חלק מקוד המקור עבור שירותי טסלה פנימיים, כולל mothership.vn ו-firmware.vn, שאחראים על העברת פקודות למכוניות לקוחות ואספקת קושחה. גם סיסמאות וכניסות לגישה ל-PostgreSQL ו-MySQL DBMS נמצאו בשרת. על הדרך התברר שניתן לקבל גישה לרוב הרכיבים ללא האישורים המצויים במודולים, התברר שמספיק לשלוח בקשת HTTP ל-Web API מרשת המשנה הנגישה ללקוחות.

בין היתר נמצא מודול בשרת שבתוכו היה קובץ good.dev-test.carkeys.tar עם מפתחות VPN ששימשו בתהליך הפיתוח. התברר שהמפתחות שצוינו עובדים ואפשרו לנו להתחבר ל-VPN הפנימי של החברה vpn.dev.teslamotors.com.
בשרת נמצא גם קוד שירות ספינת האם, שמחקרו איפשר לקבוע נקודות חיבור לשירותי ניהול רבים. נמצא שרוב שירותי הניהול הללו זמינים בכל מכונית, אם הם מחוברים באמצעות מפתחות ה-VPN שנמצאו עבור מפתחים. באמצעות מניפולציה של השירותים, ניתן היה לחלץ מפתחות גישה המתעדכנים מדי יום עבור כל מכונית, כמו גם עותקים של האישורים של כל לקוח.

המידע שצוין איפשר לקבוע את כתובת ה-IP של כל מכונית שאיתה נוצר חיבור באמצעות VPN. מאחר שרשת המשנה vpn.dev.teslamotors.com לא הופרדה כראוי על ידי חומת האש, באמצעות מניפולציות ניתוב פשוטות ניתן היה להגיע ל-IP של הלקוח ולהתחבר לרכב שלו באמצעות SSH עם זכויות שורש, תוך שימוש באישורים שהושגו קודם לכן של הלקוח.

בנוסף, הפרמטרים שהתקבלו עבור חיבור ה-VPN לרשת הפנימית אפשרו לשלוח בקשות לכל מכוניות דרך ה-Web API mothership.vn.teslamotors.com, אשר התקבלו ללא אימות נוסף. לדוגמה, במהלך בדיקות ניתן היה להדגים את קביעת המיקום הנוכחי של המכונית, לפתוח את הדלתות ולהתניע את המנוע. מספר ה-VIN של הרכב משמש כמזהה לבחירת יעד תקיפה.

מקור: OpenNet.ru