Взлом умных автомобильных сигнализаций

Системы, призванные защищать от угона, помогали выследить, обездвижить и украсть автомобиль.

Специалистам по информационной безопасности из Pen Test Partners удалось угнать авто при помощи… сигнализации. Причем защитные системы, которые исследователи смогли взломать — Pandora и Viper SmartStart — очень популярны: по данным исследователей, они установлены в 3 миллионах автомобилей!

Умные противоугонные системы — удобно и безопасно?

В теории, умные противоугонные системы — это больше, чем просто сигнализация. Они помогут, даже если авто уже угнали: например, отследят, где ваша машина, заглушат ее двигатель и запрут двери до приезда полиции. И все это — через приложение на вашем смартфоне. Удобно? Удобно! Надежно? По задумке разработчиков, такая система в разы повышает безопасность автомобиля.

Но что если угонят ваш аккаунт в ней?

Залогинившись в приложении от вашего имени, злоумышленник получит доступ к массе данных и ко всем функциям умной сигнализации. А вот вас от них он запросто отстранит, поменяв пароль. В результате взломщик сможет:

  • Отслеживать все перемещения вашего авто.
  • Включать и отключать сигнализацию.
  • Открывать и закрывать двери машины.
  • Включать и отключать иммобилайзер — противоугонное средство, которое не дает двигателю запуститься.
  • Останавливать двигатель, в некоторых случаях прямо во время движения.

В случае с сигнализацией Pandora преступник сможет еще и прослушивать салон через микрофон противоугонной системы, предназначенный — опять же, по задумке авторов системы — для экстренных вызовов. Напомним, вы никак не сможете помешать злоумышленнику, потому что доступ останется только у него. Не очень радостная картина, не так ли?

Угнать по-умному — за несколько секунд

Эксперты обнаружили, что угнать аккаунт пользователя умной сигнализации не только возможно, но и не особенно сложно. Чтобы захватить чужой аккаунт в системе Viper или Pandora, не нужно даже покупать саму сигнализацию (а это недешевое удовольствие — ее стоимость может достигать 5000 долларов). На момент исследования для того, чтобы получить доступ к системе, достаточно было зарегистрировать собственный аккаунт на сайте или в приложении — и получить через него доступ к любому другому аккаунту.

В обеих системах проблемы похожи и кроются в технологии взаимодействия между приложением, сайтом и сервером. Механизм атаки слегка различается. В случае Viper злоумышленник может поменять логин и пароль любого пользователя, отправив специальный запрос на сервер, где хранятся данные. Система Pandora чуть более разборчива — она не позволит сбросить пароль кому попало, зато преступник может, не авторизуясь, изменить привязанный к профилю e-mail, а уже потом совершенно законно (с точки зрения системы) запросить сброс пароля через него.

Что же делать?

Во-первых, не паниковать. Исследователи, разумеется, рассказали о своих находках производителям противоугонных систем. Те отреагировали на сообщение быстро и закрыли все лазейки буквально за несколько дней.

Однако до исследования автомобили с умными сигнализациями были фактически даже менее защищены, чем без них. И далеко не все IoT-разработчики так же быстро и эффективно реагируют на замечания специалистов по кибербезопасности. Поэтому наш обычный совет вам — с осторожностью относитесь к умным решениям, тем более, когда речь идет об охранных системах.

Советы