Lỗ hổng trong cổng thông tin web của Kia cho phép các nhà nghiên cứu theo dõi, hack xe hơi

Rất may, khi các nhà nghiên cứu bảo mật trước đây tìm ra cách để chiếm quyền điều khiển các phương tiện, hệ thống kết nối Internet, các cuộc trình diễn bằng chứng về khái niệm của họ có xu hướng cho thấy rằng việc hack ô tô là khó khăn. Khai thác giống như những gì tin tặc đã sử dụng để chiếm đoạt từ xa a Chevrolet Impala năm 2010 hoặc a Xe Jeep năm 2015 phải mất nhiều năm làm việc để phát triển và yêu cầu các thủ thuật khéo léo: đảo ngược kỹ thuật mã khó hiểu trong các thiết bị viễn thông cars’, cung cấp phần mềm độc hại cho các hệ thống đó thông qua âm thanh phát qua kết nối vô tuyến hoặc thậm chí đưa một đĩa có tệp nhạc chứa phần mềm độc hại vào đĩa CD của ô tô.

Mùa hè này, một nhóm nhỏ tin tặc đã trình diễn một kỹ thuật hack và theo dõi hàng triệu phương tiện mà Lọ dễ dàng hơn đáng kể nhưng dễ dàng tìm thấy một lỗi đơn giản trên một trang web.

Ngày nay, một nhóm các nhà nghiên cứu bảo mật độc lập tiết lộ rằng họ đã tìm thấy một lỗ hổng trong một cổng web do nhà sản xuất ô tô Kia điều hành, cho phép các nhà nghiên cứu phân công lại quyền kiểm soát các tính năng kết nối Internet của hầu hết các phương tiện Kia hiện đại—hàng chục mẫu xe đại diện cho hàng triệu ô tô trên đường— từ điện thoại thông minh của chủ sở hữu ô tô đến điện thoại hoặc máy tính của hacker’. Bằng cách khai thác lỗ hổng đó và xây dựng ứng dụng tùy chỉnh của riêng họ để gửi lệnh cho ô tô mục tiêu, họ có thể quét hầu như bất kỳ biển số xe Kia nào được kết nối Internet và trong vòng vài giây có được khả năng theo dõi vị trí của chiếc xe đó, mở khóa xe, bấm còi hoặc bắt đầu đánh lửa theo ý muốn.

Sau khi các nhà nghiên cứu cảnh báo Kia về vấn đề này vào tháng 6, Kia dường như đã sửa lỗ hổng trong cổng web của mình, mặc dù họ đã nói với WIRED vào thời điểm đó rằng họ vẫn đang điều tra các phát hiện của nhóm và đã không trả lời email của WIRED kể từ đó. Nhưng bản vá của Kia còn lâu mới kết thúc các vấn đề bảo mật dựa trên web của ngành công nghiệp xe hơi, các nhà nghiên cứu cho biết. Trên thực tế, lỗi web mà họ sử dụng để hack Kias là lỗi thứ hai thuộc loại này mà họ đã báo cáo cho công ty thuộc sở hữu của Hyundai; họ đã tìm thấy một kỹ thuật tương tự để chiếm quyền điều khiển hệ thống kỹ thuật số Kias’ vào năm ngoái. Và những con bọ đó chỉ là hai trong số a hàng loạt lỗ hổng dựa trên web tương tự mà họ đã phát hiện trong vòng hai năm qua điều đó đã ảnh hưởng đến những chiếc xe được bán bởi Acura, Genesis, Honda, Hyundai, Infiniti, Toyota, và nhiều hơn nữa.

“Chúng tôi càng xem xét vấn đề này thì càng thấy rõ rằng bảo mật web cho phương tiện giao thông rất kém, Neiko ” Specters“Rivera, một trong những nhà nghiên cứu vừa tìm thấy lỗ hổng Kia mới nhất vừa làm việc với một nhóm lớn hơn chịu trách nhiệm về bộ sưu tập các vấn đề bảo mật ô tô dựa trên web trước đó được tiết lộ vào tháng 1 năm ngoái.

“Hết lần này đến lần khác, những vấn đề xảy ra một lần này liên tục xuất hiện,” Sam Curry, một thành viên khác của nhóm hack ô tô, người làm kỹ sư bảo mật cho công ty Web3 Yuga Labs nhưng cho biết anh đã thực hiện nghiên cứu này một cách độc lập. “Đã hai năm trôi qua, đã có rất nhiều công việc tốt để khắc phục vấn đề này, nhưng nó vẫn cảm thấy thực sự bị hỏng.”

Đọc biển số xe, hack xe

Trước khi cảnh báo Kia về lỗ hổng bảo mật mới nhất của mình, nhóm nghiên cứu đã thử nghiệm kỹ thuật dựa trên web của họ trên một số xe Kias—rentals, friends’, thậm chí cả ô tô trên lots— của đại lý và nhận thấy rằng nó hoạt động trong mọi trường hợp. Họ cũng đã giới thiệu kỹ thuật này cho WIRED, trình diễn nó trên Kia Soul 2020 của một nhà nghiên cứu bảo mật được giới thiệu với họ chỉ vài phút trước đó tại một bãi đậu xe ở Denver, Colorado, như đã thấy trong video trên.

Kỹ thuật hack Kia dựa trên web của nhóm không cung cấp cho tin tặc quyền truy cập vào các hệ thống lái như lái hoặc phanh, cũng như không vượt qua cái gọi là bộ cố định ngăn không cho xe bị lái đi, ngay cả khi bắt đầu đánh lửa. Tuy nhiên, nó có thể được kết hợp với các kỹ thuật đánh bại thiết bị cố định phổ biến trong số những tên trộm xe hoặc được sử dụng để đánh cắp những chiếc xe cấp thấp hơn không có thiết bị cố địnhtrong đó có một số Kias.

Ngay cả trong trường hợp khi nó không cho phép trộm cắp hoàn toàn một chiếc xe, lỗ hổng web có thể đã tạo ra cơ hội đáng kể cho hành vi trộm cắp nội dung của một chiếc xe, quấy rối tài xế và hành khách, và các mối quan tâm về quyền riêng tư và an toàn khác.

“Nếu ai đó cắt ngang giao thông của bạn, bạn có thể quét biển số xe của họ và sau đó biết họ ở đâu bất cứ khi nào bạn muốn và đột nhập vào xe của họ, ” Curry nói. “Nếu chúng tôi không chú ý đến điều này, bất kỳ ai có thể truy vấn biển số xe của ai đó về cơ bản đều có thể theo dõi họ.” Đối với những chiếc Kias được cài đặt camera 360 độ, tin tặc cũng có thể truy cập được camera đó. Curry cho biết, ngoài việc cho phép chiếm quyền điều khiển các tính năng được kết nối trong ô tô, lỗ hổng cổng web còn cho phép tin tặc truy vấn nhiều loại thông tin cá nhân về tên, địa chỉ email, số điện thoại, địa chỉ nhà và thậm chí cả các tuyến đường lái xe trong quá khứ của Kia. trường hợp—a có khả năng rò rỉ dữ liệu lớn.

Kỹ thuật hack Kia mà nhóm tìm thấy hoạt động bằng cách khai thác một lỗ hổng tương đối đơn giản trong phần phụ trợ của cổng web Kia cho khách hàng và đại lý, được sử dụng để thiết lập và quản lý quyền truy cập vào các tính năng xe được kết nối của nó. Khi các nhà nghiên cứu gửi lệnh trực tiếp đến API của trang web đó—, giao diện cho phép người dùng tương tác với dữ liệu cơ bản của nó—, họ nói rằng họ thấy rằng không có gì ngăn cản họ truy cập các đặc quyền của đại lý Kia, chẳng hạn như chỉ định hoặc chỉ định lại quyền kiểm soát các tính năng của vehicles’ tới bất kỳ tài khoản khách hàng nào họ đã tạo. “Nó thực sự đơn giản. Rivera cho biết họ không kiểm tra xem người dùng có phải là đại lý hay không. “Và đó là một vấn đề lớn.”

Cổng thông tin web của Kia cho phép tra cứu ô tô dựa trên số nhận dạng xe của họ (VIN). Nhưng các tin tặc nhận thấy họ có thể nhanh chóng tìm thấy số VIN của ô tô sau khi lấy được biển số xe bằng cách sử dụng trang web PlateToVin.com.

Nói rộng hơn, Rivera cho biết thêm, bất kỳ đại lý nào sử dụng hệ thống dường như đều được tin cậy với mức độ kiểm soát đáng kinh ngạc đối với các tính năng của xe’ được liên kết với bất kỳ tài khoản cụ thể nào. “Các đại lý có quá nhiều quyền lực, ngay cả đối với những phương tiện không chạm vào khu vực của họ,” Rivera nói.

Hàng chục trang web carmakers’, hàng triệu chiếc xe có thể hack được

Curry và Rivera, những người đã làm việc với hai nhà nghiên cứu khác để phát triển kỹ thuật hack của họ, đã báo cáo những phát hiện của họ cho Kia ngay sau khi trình diễn chúng cho WIRED vào tháng 6 và công ty đã trả lời câu hỏi từ WIRED để lưu ý rằng họ đang điều tra những phát hiện của họ. “Chúng tôi rất coi trọng vấn đề này và đánh giá cao sự hợp tác của chúng tôi với các nhà nghiên cứu bảo mật, ”, người phát ngôn đã viết.

Các nhà nghiên cứu cho biết ngay sau khi các nhà nghiên cứu báo cáo vấn đề, Kia đã thực hiện một thay đổi đối với API cổng web dường như chặn kỹ thuật của họ. Sau đó, vào tháng 8, Kia nói với các nhà nghiên cứu rằng họ đã xác nhận những phát hiện của họ nhưng vẫn đang nỗ lực thực hiện một giải pháp khắc phục vĩnh viễn cho vấn đề này. Kia đã không cập nhật các nhà nghiên cứu kể từ đó hoặc trả lời các câu hỏi của WIRED. Nhưng sau khoảng thời gian 90 ngày tiêu chuẩn được trao cho các công ty để khắc phục các vấn đề bảo mật mà các nhà nghiên cứu báo cáo, các tin tặc đã quyết định công khai phát hiện của họ—mặc dù họ chưa phát hành ứng dụng bằng chứng khái niệm hack Kia và không có kế hoạch.

Nhóm nghiên cứu hack Kia lần đầu tiên bắt đầu tập hợp xung quanh ý tưởng thăm dò các trang web và API của carmakers’ để tìm lỗ hổng vào cuối năm 2022. Một vài người trong số họ đang ở với một người bạn trong khuôn viên trường đại học và gây rối với ứng dụng cho một công ty xe tay ga di động khi họ vô tình kích hoạt tất cả các xe tay ga của công ty trên toàn khuôn viên trường để bấm còi và nháy đèn trong 15 phút. Vào thời điểm đó, nhóm “trở nên cực kỳ quan tâm đến việc thử nhiều cách hơn để khiến nhiều thứ trở nên sôi động hơn,” như Curry sẽ viết—, bao gồm cả những phương tiện quan trọng hơn xe tay ga. Ngay sau đó, Curry phát hiện ra rằng Rivera, người từ lâu đã tập trung vào việc hack xe hơi và trước đây từng làm việc tại nhà sản xuất ô tô Rivian, đã xem xét các lỗ hổng web trong viễn thông xe cộ.

Vào tháng 1 năm 2023, họ đã công bố kết quả ban đầu của công việc của mình, a bộ sưu tập khổng lồ các lỗ hổng web ảnh hưởng đến Kia, Honda, Infiniti, Nissan, Acura, Mercedes-Benz, Hyundai, Genesis, BMW, Rolls Royce và Ferrari—all mà họ đã báo cáo với các nhà sản xuất ô tô. Họ viết, đối với ít nhất nửa tá công ty trong số đó, các lỗi web mà nhóm phát hiện đã cung cấp ít nhất một số mức độ kiểm soát đối với các tính năng được kết nối cars’, giống như trong vụ hack Kia mới nhất của họ. Họ nói rằng những người khác đã cho phép truy cập trái phép vào dữ liệu hoặc các ứng dụng nội bộ của công ty’. Vẫn còn những người khác nhắm mục tiêu phần mềm quản lý đội xe cho các phương tiện khẩn cấp và thậm chí có thể ngăn những phương tiện đó khởi động, họ tin rằng—mặc dù họ không có phương tiện để thử nghiệm thủ thuật nguy hiểm tiềm tàng đó một cách an toàn.

Curry cho biết, vào tháng 6 năm nay, ông phát hiện ra rằng Toyota dường như vẫn còn một lỗ hổng tương tự trên cổng web của mình, kết hợp với thông tin xác thực đại lý bị rò rỉ mà ông tìm thấy trực tuyến, sẽ cho phép điều khiển từ xa các tính năng của Toyota và Lexus cars’ như theo dõi, mở khóa, bấm còi và đánh lửa. Ông đã báo cáo lỗ hổng đó với Toyota và cho WIRED xem một email xác nhận dường như chứng minh rằng ông đã có thể tự phân công lại quyền kiểm soát một mục tiêu các tính năng được kết nối của Toyota qua web. Curry đã không quay video về kỹ thuật hack Toyota đó trước khi báo cáo cho Toyota, tuy nhiên, và công ty đã nhanh chóng vá lỗi mà anh ta tiết lộ, thậm chí tạm thời đưa cổng web của mình ngoại tuyến để ngăn chặn việc khai thác.

“Do cuộc điều tra này, Toyota đã nhanh chóng vô hiệu hóa thông tin xác thực bị xâm phạm và đang đẩy nhanh các cải tiến bảo mật của cổng thông tin, cũng như tạm thời vô hiệu hóa cổng thông tin cho đến khi các cải tiến hoàn tất, ”, người phát ngôn của Toyota đã viết cho WIRED vào tháng 6.

Nhiều tính năng thông minh hơn, nhiều lỗi ngu ngốc hơn

Stefan Savage, giáo sư khoa học máy tính tại UC San Diego, người có nhóm nghiên cứu, cho biết số lượng lỗ hổng đặc biệt trên các trang web của carmakers’ cho phép điều khiển phương tiện từ xa là kết quả trực tiếp của việc các công ty’ thúc đẩy thu hút người tiêu dùng—, đặc biệt là những người trẻ tuổi— bằng các tính năng hỗ trợ điện thoại thông minh. người đầu tiên đến hack một chiếc xe hơi chỉ đạo và phanh qua Internet vào năm 2010. “Một khi bạn đã gắn những tính năng người dùng này vào điện thoại, thứ được kết nối với đám mây này, bạn sẽ tạo ra tất cả bề mặt tấn công mà bạn không phải lo lắng trước đây,” Savage nói.