Güncelleme: Başlık ve içerik, Flipper Zero kullanılarak gerçekleştirilen MiTM kimlik avı saldırısı olduğunu açıklığa kavuşturmak için güncellendi ancak diğer cihazlar tarafından da gerçekleştirilebilir.
Araştırmacılar, Tesla hesaplarını ele geçirmek, arabaların kilidini açmak ve onları çalıştırmak için Ortadaki Adam (MiTM) kimlik avı saldırısını nasıl gerçekleştirebileceklerini gösterdiler. Saldırı, en son Tesla uygulamasının 4.30.6 sürümünde ve Tesla yazılımının 11.1 2024.2.7 sürümünde çalışıyor.
Bu saldırının bir parçası olarak güvenlik araştırmacıları Talal Hac Fırını Ve Tommy Musk Tesla'ya erişmek için kullanılabilecek yeni bir 'Telefon anahtarı' kaydedin.
Araştırmacılar, bir arabayı yeni bir telefona bağlamanın uygun kimlik doğrulama güvenliğinden yoksun olduğunu söyleyerek bulgularını Tesla'ya bildirdi. Ancak otomobil üreticisi raporun kapsam dışı olduğuna karar verdi.
Araştırmacılar bu kimlik avı saldırısını Flipper Zero kullanarak gerçekleştirirken, bilgisayar, Raspberry Pi veya Android telefonlar gibi diğer cihazlarla da kolaylıkla yapılabiliyor.
Kimlik avı saldırısı
Tesla süperşarj istasyonundaki bir saldırgan, Tesla servis merkezlerinde yaygın olarak bulunan ve araç sahiplerinin aşina olduğu bir SSID olan “Tesla Guest” adlı bir WiFi ağı dağıtabilir.
Mysk, WiFi ağını yayınlamak için Flipper Zero'yu kullandı ancak aynı şeyin Raspberry Pi veya WiFi erişim noktası özelliklerine sahip diğer cihazlar kullanılarak da yapılabileceğini belirtiyor.
Kurban sahte ağa bağlandığında, kendisine Tesla hesabı kimlik bilgilerini kullanarak giriş yapmasını isteyen sahte bir Tesla giriş sayfası sunulur. Kurban kimlik avı sayfasına ne girerse girsin, saldırgan Flipper Zero'da gerçek zamanlı olarak görebilir.
Kimlik avı sayfası, Tesla hesabı kimlik bilgilerini girdikten sonra, saldırganın iki faktörlü kimlik doğrulama korumasını atlamasına yardımcı olmak için hesap için tek kullanımlık şifre ister.
Saldırganın OTP'nin süresi dolmadan önce hareket etmesi ve çalınan kimlik bilgilerini kullanarak Tesla uygulamasına giriş yapması gerekiyor. Tehdit aktörü hesaba girdikten sonra aracın konumunu gerçek zamanlı olarak takip edebilir.
Yeni bir anahtar ekleme
Kurbanın Tesla hesabına erişim, saldırganın yeni bir 'Telefon Anahtarı' eklemesine olanak tanır. Bunun için arabanın çok yakınında, sadece birkaç metre uzakta olmaları gerekir.
Telefon Anahtarları, güvenli bir Bluetooth bağlantısı üzerinden aracın otomatik olarak kilitlenmesine ve kilidinin açılmasına olanak sağlamak için Tesla'nın mobil uygulamasını araç sahibinin akıllı telefonuyla birlikte kullanır.
Tesla arabaları ayrıca, aracı çalıştırmak için orta konsolun RFID okuyucusuna yerleştirilmesi gereken ince RFID kartları olan Kart Anahtarlarını da kullanır. Daha güvenli olmasına rağmen Tesla, Telefon Anahtarının kullanılamaması veya pilinin bitmesi durumunda bunları bir yedekleme seçeneği olarak değerlendirir.
Mysk, uygulama aracılığıyla yeni bir Telefon Anahtarı eklemenin, arabanın kilidinin açılmasını veya akıllı telefonun aracın içinde olmasını gerektirmediğini, bunun da önemli bir güvenlik açığı yarattığını söylüyor.
Daha da kötüsü, yeni bir Telefon Anahtarı eklendiğinde Tesla sahibi uygulama aracılığıyla bu durumla ilgili bir bildirim almıyor ve arabanın dokunmatik ekranında hiçbir uyarı gösterilmiyor.
Yeni Telefon Anahtarı ile saldırgan, arabanın kilidini açabilir ve tüm sistemlerini etkinleştirerek sanki sahibiymiş gibi arabayı sürmesine olanak tanıyabilir.
Mysk, saldırının Tesla Model 3'e başarılı olduğunu belirtiyor. Otomobil şirketine sunduğu raporda araştırmacı, ele geçirilen Tesla hesabının ana sürücüye ait olması gerektiğini ve aracın zaten bir Telefon Anahtarına bağlanmış olması gerektiğini belirtiyor.
Araştırmacılar, yeni bir Telefon Anahtarı eklerken fiziksel bir Tesla Kart Anahtarı gerektirmenin, yeni telefon için bir kimlik doğrulama katmanı ekleyerek güvenliği artıracağını öne sürüyor.
“Tesla uygulamasının yeni iPhone'daki oturumu doğrulamak için bir anahtar kartı kullanmamı istemesine gerek kalmadan yeni bir iPhone'a ikinci bir telefon anahtarı ekleyebildim. Yeni iPhone'da yalnızca kullanıcı adım ve parolamla oturum açtım ve Tommy Mysk ve Talal Haj Bakry, Tesla'ya sundukları raporda, uygulamanın konum hizmetlerine erişmesine izin verdiğim anda telefon anahtarını etkinleştirdiğini yazdı.
Şirket, soruşturmanın bunun amaçlanan davranış olduğunu belirlediğini ve Tesla Model 3 kullanım kılavuzunda telefon anahtarı eklemek için anahtar kartının gerekli olduğunu belirtmediğini söyleyerek yanıt verdi.
BleepingComputer, yukarıdaki sorular ve bu saldırıları önlemek için güvenlik önlemleri getiren bir OTA güncellemesi yayınlamayı planlayıp planlamadıkları konusunda Tesla ile temasa geçti, ancak henüz bir yanıt alamadık.