בן 19 השתלט בטעות על רכבי טסלה מרחוק

חוקר האבטחה דיוויד קולומבו חושף פירצה משונה שגילה אחרי שחברת SaaS שכרה את שירותיו למשהו אחר לגמרי. האצבע המאשימה לא מופנית כלפי טסלה אגב

מקור: Unsplash

אחד היתרונות המשמעותיים והדי ייחודיים של רכבי טסלה הוא שמדובר ברכב מקושר שמסוגל להתחבר לרשת, ולאפשר לנהגים שלהם לבצע מרחוק שלל פעולות, שרכבים אחרים פשוט לא יכולים. אבל לפעמים, היתרון הזה הופך לסוג של חסרון – כפי שגילה דיוויד קולומבו, חוקר אבטחה בן 19 מגרמניה, שממש במקרה גילה פגם אבטחה שהוא לא בדיוק באשמת טסלה, אלא יותר באשמת הנהגים.

חוץ מלנהוג ברכב, הוא יכול לעשות הכל

ב-11 בינואר הודיע קולומבו כי הצליח להשתלט מרחוק על יותר מ-25 טסלות ב-13 מדינות בלי שהבעלים שלהן יודע על כך. למרבה המזל הוא אמנם לא הצליח להשתלט על ההגה או ההאצה כמו בתרחיש האימה של רבים, אבל הוא כן הצליח לדבריו לנטרל את ה-Sentry Mode, לפתוח דלתות וחלונות, להניע את הרכב מרחוק, להפעיל תכנים במערכת המולטימדיה, לשלוט על הפנסים, לצפור, להפעיל ולשנות את מיזוג האוויר ואף למצוא את המיקום של הרכב – בכך, פוטנציאלית, הוא יכל לגנוב את הרכב או לאמלל את חייו של נהג על כביש מהיר ולהוות סכנה לסביבה. אם במקרה אותו נהג גם קישר את רכב הטסלה שלו לשער החניה (באמצעות Homelink), הוא גם יכול היה לשלוט בו. לטענת חוקרים אחרים, הוא אף הצליח להפעיל את פיצ׳ר ה-Summon של טסלה, שמזמן את הרכב למיקום מסוים.


קולומבו דיווח באופן מאוד מעורפל על הממצאים שלו בטוויטר והדגיש כי לא מדובר בחולשת אבטחה מצידה של טסלה, אלא מצד הנהגים עצמם וכלי צד-שלישי שמשמשים אותם, עם זאת, רבים זילזלו וטענו כי הוא משקר ומנסה לתפוס כותרות בלי הוכחות. כעת, קולומבו טוען כי התקלה תוקנה, ועל כן הוא יכול לפרסם את כל הממצאים שלו.

האפליקציה שיצרה את הבלאגן הזה נקראת TeslaMate, והיא מאפשרת למשתמשים למשוך מידע מהרכב ולהציג אותו בדאשבורד מסודר. במסגרת בדיקה שביצע עבור חברת SaaS ששכרה את שירותיו, גילה קולומבו את הפרטים של רכב הטסלה של ה-CTO, ובאמצעות התחברות כאורח ל-TeslaMate לפורט פתוח, הוא הצליח לראות בדיוק לאן הוא נסע, איפה הוא עצר להטעין, ופחות או יותר את כל מה שאפשר לגלות על הרכב עצמו. הבעיה העיקרית, כך נראה, טמונה במשתמשים שהתקינו את TeslaMate שלא על הרשת הביתית הפנימית והמאובטחת שלהם, ובכך חשפו את המידע לרשת הכללית.

הרכב של ה-CTO מטייל. מתוך הפוסט של קולומבו

הכינו את הפייספאלם

קולומבו הסתקרן ורצה לגלות האם הוא יכול לא רק לשלוף מידע, אלא גם לשלוח מידע באמצעות TeslaMate, והוא חקר את קוד המקור של השירות וגילה איך ההרשאות השונות של טסלה זורמות באפליקציה, וגילה שמפתח ה-API נותר חשוף לחלוטין ללא הצפנה. אבל בכל זאת, הוא היה צריך גישת אדמין כדי לבצע פעולות שכאלו, ובשביל זה הוא זרק את הניחוש הראשון שלו לשם המשתמש והסיסמה הנחוצים, admin:admin. וכן, זה עבד.

ההתכתבות של קולומבו עם אחד המשתמשים.

אז אחרי שהוא הבין שהוא מסוגל להשתלט על פונקציות ברכב של ה-CTO, הוא החליט לבדוק האם הוא יכול למצוא עוד רכבי טסלה חשופים ברשת שמשתמשים ב-TeslaMate, וגילה עוד עשרות שכאלו. הבעיה העיקרית שלו הייתה שהוא אמנם יכל לדעת בדיוק לאן הם נסעו עם הרכב שלהם, אבל הוא לא יכל לדעת מי הם אותם משתמשים חשופים. לכן הוא החליט לצייץ את הציוץ שלו שיצר סערה ראשונית. בזכות אותו ציוץ, אחד מהמשתמשים ב-TeslaMate שחשד שמדובר בתוכנה הזו, יצר קשר עם קולומבו, ואיתגר אותו לנסות לצפור מרחוק ברכב ואישר כי הוא הצליח לעשות זאת.

אותו משתמש ניסה לאפס את הסיסמה של חשבון הטסלה שלו כדי לנטרל את טוקן האבטחה, אבל זה פשוט לא קרה. קולומבו יצר קשר גם עם צוות האבטחה של טסלה, שלאחר מספר ימים ניטרל את הטוקנים של אלפי נהגים ברחבי העולם, והכריח את חלקם גם לאפס את סיסמת הגישה. עם זאת, קולומבו לא הסתפק בהודעה של טסלה, וגילה שחלק מהנהגים עדיין מושפעים מהחולשה, ויצר שוב קשר עם החברה שניטרלה עוד קבוצה של טוקנים. בינתיים, קולומבו גילה חולשה אמיתית ב-API של טסלה, דיווח עליה, ותוך 3 ימים החברה כבר שיחררה תיקון. גם TeslaMate שיחררו עדכון שככל הנראה סוגר את הפירצה ומקשיח את האבטחה סביבה.

למרות שבתחילה קולומבו האשים בעיקר את הנהגים, הוא בסופו של דבר טוען כי זהו שילוב של בעיות מצד הבעלים, אפליקציית הצד-שלישי וגם טסלה – שכולן יכלו למנוע את ההשתלטות שלו על הרכבים.

אל תפספסו אף ידיעה או כתבה אל תפספסו אף ידיעה או כתבה הרשמו עכשיו לערוץ הרשמי של גיקטיים

עידן בן טובים

נולד עם ג׳ויסטיק ביד. יש לו הרבה יותר מדי גאדג׳טים והרבה פחות מדי זמן פנוי כדי לשחק עם כולם. בעל פטיש לא מוסבר לביצוע קליברציות לסוללות של מכשירים. כשהוא לא עסוק בלכתוב על טכנולוגיה, הוא אוהב לדבר עליה, והרבה

הגב

5 תגובות על "בן 19 השתלט בטעות על רכבי טסלה מרחוק"

avatar
Photo and Image Files
 
 
 
Audio and Video Files
 
 
 
Other File Types
 
 
 

* היי, אנחנו אוהבים תגובות!
תיקונים, תגובות קוטלות וכמובן תגובות מפרגנות - בכיף.
חופש הביטוי הוא ערך עליון, אבל לא נוכל להשלים עם תגובות שכוללות הסתה, הוצאת דיבה, תגובות שכוללות מידע המפר את תנאי השימוש של Geektime, תגובות שחורגות מהטעם הטוב ותגובות שהן בניגוד לדין. תגובות כאלו יימחקו מייד.

סידור לפי:   חדש | ישן | הכי מדורגים
שי3
Guest

עכשיו בשביל להכניס סיסמה צריך מחזור של יצוקה ושערה של יטי

ברדוגו תרשום
Guest

בושה שלא היה sec review.
הייתי קורא את הכתבה גם אם לא היה כתוב כל הזמן שהוא בן 19. מה הקשר? יכול להיות שיש לו 3+ שנות נסיון בדיוק כמו מישהו בן 30 שסיים תואר בגיל 27

dor
Guest

גם אתם הצטרפתם לחגיגה נגד טסלה?
מי שאשם במקרה הזה אלו אנשים ששמו את היוזר והסיסמה של החשבון של טסלה שלהם באפליקציה צד ג ומשם הדרך קלה מאוד

אבי
Guest

אולי היה כתוב שטסלה (כמעט) לא אשמה?
אולי.

עוד אחד
Guest

מפחיד

wpDiscuz

תגיות לכתבה: