Bir siber güvenlik araştırmacısı, yüzlerce halka açık teslamat kurulumunun, internetteki herkese GPS koordinatları, şarj kalıpları ve kişisel sürüş alışkanlıklarını ortaya çıkarmadan hassas Tesla araç verilerini ortaya çıkardığını keşfetti.
Güvenlik açığı, kapsamlı araç telemetri verilerini toplamak için Tesla’nın resmi API’sına bağlanan popüler açık kaynaklı Tesla veri kaydı aracının yanlış yapılandırılmış dağıtımlarından kaynaklanmaktadır.
Key Takeaways
1. Hundreds of TeslaMate installations leak real-time Tesla data.
2. The researcher used masscan and httpx to scan port 4000 internet-wide, mapping vulnerable vehicles on teslamap.io.
3. Tesla owners must add authentication, firewalls, and VPN access.
GPS ve Konum Veri Sızıntısı
Güvenlik araştırmacısı Seyfullah Kiliç, sofistike keşif tekniklerini kullanarak maruz kalan teslamat örneklerini tanımlamak için kapsamlı bir internet çapında tarama yaptı.
Metodoloji, Teslamate’in temel uygulama arayüzünü barındıran açık bağlantı noktası 4000 için tüm IPv4 adres alanını süpürmek için Masscan’ın birden fazla 10Gbps sunucusu boyunca dağıtılmasını içeriyordu.
İlk keşif aşamasını takiben, araştırmacı, uygulamanın kendine özgü HTTP yanıt imzalarını tespit ederek gerçek teslamat kurulumlarını filtrelemek ve tanımlamak için HTTPX kullandı:
Tarama işlemi, hassas GPS koordinatları, araç modeli bilgileri, yazılım sürümleri, şarj oturumu zaman damgaları ve ayrıntılı konum geçmişleri dahil olmak üzere gerçek zamanlı Tesla araç verilerini ortaya çıkaran yüzlerce savunmasız örneği başarıyla tanımladı.
Araştırmacı, gizlilik ihlalinin ciddiyetini gösteren maruz kalan araçların coğrafi dağılımını görselleştirmek için Teslamap.io’da bir gösteri web sitesi oluşturdu.
Hafifletme
Temel güvenlik kusuru, kritik uç noktalar için yerleşik kimlik doğrulama mekanizmalarından yoksun olan Teslamate’in varsayılan yapılandırmasında yatmaktadır.
İnternete maruz kalan 4000 bağlantı noktasına sahip bulut sunucularına dağıtıldığında, uygulama dünya çapında yetkisiz kullanıcılar tarafından hemen erişilebilir hale gelir.
Ayrıca, birçok kurulum, Varsayılan veya Zayıf Kimlik Bilgileri ile Grafana Gösterge Tabloları’nı varsayılan veya zayıf kimlik bilgileriyle çalıştırır ve birden fazla saldırı vektörü oluşturur.
Teslamate örneklerini işleten Tesla sahipleri, araç verilerini korumak için acil güvenlik önlemleri uygulamalıdır. Temel korumalar, Nginx kullanarak ters proxy kimlik doğrulamasını yapılandırmayı içerir:
Ek güvenlik önlemleri, güvenlik duvarı kuralları aracılığıyla erişimin kısıtlanması, localhost arayüzlerine bağlama hizmetleri ve VPN tabanlı erişim kontrollerinin uygulanmasını içerir.
Araştırma, Nesnelerin İnterneti (IoT) uygulamaları için güvenli dağıtım uygulamalarının, özellikle de bağlı araçlardan hassas kişisel ve konum verilerini kullananların kritik önemini vurgulamaktadır.
Boost your SOC and help your team protect your business with free top-notch threat intelligence: Request TI Lookup Premium Trial.