חולשה ב-Waze איפשרה להאקרים לעקוב הנסיעות שלכם

מאחורי האייקונים התמימים של ווייז הסתתר גם מידע בעייתי שסיכן את פרטיות המשתמשים. החולשה דווחה על ידי חוקר האבטחה ותוקנה תוך מספר שבועות על ידי גוגל

תמונה: Waze

אחד הפיצ’רים החברתיים של Waze הוא האפשרות לצפות במשתמשי Waze אחרים (ווייזרים) בצורת אייקונים על המפה. אבל חוקר אבטחה גילה חולשה באפליקצית הפופולארית שאיפשרה לו לעקוב אחרי נהגים באמצעות אותם אייקונים ואולי בסופו של דבר גם לזהות אותם.

המהנדס התחיל לעקוב אחרי נהגת אקראית

תמונה: malgregator

פיטר גספר, מהנדס DevOps וחוקר אבטחה סלובקי, ניגש לממשק הוובי של ווייז, וגילה שכשהוא לוחץ על אותם אייקונים תמימים של משתמשים, הוא מקבל בחזרה מה-API גם מספרים מזהים של הנהגים. אם לא די בזאת, גספר גילה שלא מדובר במספרים מגובבים או רנדומליים, אלא במספרים ייחודיים וקבועים שלא משתנים לאורך הזמן.

גספר מסביר שהוא החליט לעקוב אחרי נהגת רנדומלית, ואכן ראה שהוא מסוגל לראות אותה בנקודות שונות במפה לפי ההתקדמות שלה. כדי לבדוק את הסוגיה, פיתח גספר תוסף מבוסס כרומיום שלוכד תגובות JSON מה-API. מהרגע שהריץ החוקר את התוסף שיצר, הוא גילה שהוא יכול לעקוב אחרי המיקום של אותה נהגת בכל רגע. המהנדס החליט שלא להסתפק בפיתוח המעט מקריפ, והחליט לבדוק האם הוא יכול לגלות עוד פרטים על משתמשים בווייז, וגילה עוד פרט מדאיג.

כל העדכונים מחכים לכם בערוץ הטלגרם של גיקטיים כל העדכונים מחכים לכם בערוץ הטלגרם של גיקטיים להצטרפות לערוץ הטלגרם שלנו לחץ כאן

“גיליתי שאם משתמש מגיב למכשול בדרך או לדיווח על ניידת, ה-API של ווייז מחזיר גם את ה-ID של המשתמש וגם את שם המשתמש לכל ווייזר אחר שנוסע באיזור”. בנוסף, ה-API גם משיב עם המיקום והזמן שבו המשתמש הגיב לדיווח. בסופו של דבר, אותן חולשות שגספר גילה יכלו לשמש האקר שכל שעליו לעשות הוא לבחור מיקומים עמוסים בתנועה עם דיווחים על מכשול, ולאסוף את המידע של המשתמשים שמאשרים את הדיווח, ולבנות מאגר לתקיפה בהמשך, בין אם וירטואלית או אפילו גרוע יותר – פיזית.

גספר דיווח על החולשה שמצא לווייז ובתוך קצת פחות מחודש היא תוקנה לחלוטין. בתמורה לתגלית קיבל גספר 1,337 דולר מהחברה במסגרת תוכנית ה-Bounty שלה. פנינו לווייז כדי להבין האם החולשה נוצלה לרעה בטרם התגלתה, ונעדכן כאשר תתקבל תגובה.


“האנשים שיכולים לחסום את איילון”: זה הצבא השקט שמאחורי Waze

עידן בן טובים

נולד עם ג׳ויסטיק ביד. יש לו הרבה יותר מדי גאדג׳טים והרבה פחות מדי זמן פנוי כדי לשחק עם כולם. בעל פטיש לא מוסבר לביצוע קליברציות לסוללות של מכשירים. כשהוא לא עסוק בלכתוב על טכנולוגיה, הוא אוהב לדבר עליה, והרבה

הגב

2 תגובות על "חולשה ב-Waze איפשרה להאקרים לעקוב הנסיעות שלכם"

avatar
Photo and Image Files
 
 
 
Audio and Video Files
 
 
 
Other File Types
 
 
 

* היי, אנחנו אוהבים תגובות!
תיקונים, תגובות קוטלות וכמובן תגובות מפרגנות - בכיף.
חופש הביטוי הוא ערך עליון, אבל לא נוכל להשלים עם תגובות שכוללות הסתה, הוצאת דיבה, תגובות שכוללות מידע המפר את תנאי השימוש של Geektime, תגובות שחורגות מהטעם הטוב ותגובות שהן בניגוד לדין. תגובות כאלו יימחקו מייד.

סידור לפי:   חדש | ישן | הכי מדורגים
af db creid
Guest

ריבונו של עולם! זה אפילו לא בעיית אבטחה, זה פשוט זלזול באבטחה!

אלי
Guest

לא מבין מה הWOW הגדול, אין אפשרות לדעת מי המשתמשים שעומדים מאחורי הID רק אם תפרוץ לDB של WAZE.

wpDiscuz

תגיות לכתבה: