Розумну автомийку можна перетворити в пастку для автомобіля і пасажира

Заїхати на мийку легко, але зловмисники можуть сильно ускладнити виїзд

Технології продовжують розвиватися, мобільні пристрої, побутова техніка та промислові системи стають все «розумніші». Керувати багатьма такими системами можна віддалено, так само, як і отримувати важливу інформацію про їх стан в режимі реального часу. Все це дуже зручно, але одночасно, і небезпечно. Фахівці з інфобезу досить давно обговорюють питання про необхідність надійного захисту для систем і пристроїв, які припускають можливість віддаленого управління.

І мова не про комп'ютери або розумних холодильниках, з яких формують ботнети. Зловмисники, при належному вмінні, можуть зламувати і інші об'єкти, про які відразу і не скажеш, що ними можна керувати віддалено. Які це об'єкти? Ну наприклад, автомийки. Днями група фахівців з інформаційної безпеки показала можливість злому автомийки з перетворенням її в пастку для водія і пасажирів машини.
Уразливості такої системи дозволяють управляти дверцятами мийки, маніпуляторами і іншими елементами. Теоретично, все це дозволяє завдати шкоди не тільки автомобілю, а й людям, що знаходяться всередині. «Ми вважаємо, що це перший випадок експлуатації уразливості системи, яка дозволяє здійснити напад фізично», - говорить Біллі Райос, засновник компанії Whitescope security. Насправді, це не зовсім так, оскільки нашкодити можна і за допомогою злому автомобілів, дронів (з переслідуванням потенційної жертви або падінням їй на голову) і інших систем.

Але дійсно, про злом розумної автомийки раніше ніхто не розповідав. Результати своєї роботи хакери (в позитивному розумінні цього терміна) продемонструють на конференції Black Hat, яка незабаром пройде в Лас-Вегасі.

Це не перший проект такого роду райоти і його колег. Раніше вони показали, що уразливими до зовнішніх дій хакерів є медичні апарати, від яких залежить життя пацієнтів, системи «просвічування» багажу, встановлені в аеропортах, автоматика житлових і промислових будівель, яка управляє закриттям дверей, сигналізацією, освітленням, ескалаторами і т.п .

Що стосується мийки, то фахівці з кібербезпеки вивчали одну з моделей таких систем, а саме - PDQ LaserWash. Тут все повністю автоматизовано, немає обертових щіток, немає нічого, що стосувалося б машини в процесі мийки, крім струменів води і миючого засобу. Такого роду мийки популярні в США, оскільки не вимагають участі оператора або водія. У ряду таких моєї є дверцята, які закриваються при в'їзді автомобіля. Замовлення проводиться за допомогою спеціального автомата з сенсорним дисплеєм. Працюють такі системи на Windows CE. Для їх налаштування використовується вбудований веб-сервер, з яким можна з'єднатися через Інтернет. І ось тут якраз і виявилася проблема.

Біллі Райот ще кілька років тому почув від свого друга історію про те, що одна з цих мийок пошкодила його автомобіль і залила всю сім'ю всередині водою. Проблема була в тому, що технічний фахівець, який обслуговував систему, неправильно її налаштував.

Отримати доступ до управління мийкою виявилося не так складно. Так, система запитує логін і пароль, але реалізація аутентифікації містить помилки, завдяки яким вдалося знайти спосіб обійти необхідність аутентифікації. У США, за словами фахівців, далеко не всі мийки зазначеного типу підключені до Інтернету. Але за допомогою пошукового сервісу Shodan вдалося знайти більше 150 таких мийок.

Хакери, вивчивши вразливість, написали скрипт, який в автоматичному режимі отримує доступ до управління системою, чекає, поки автомобіль почне виїжджати з мийки і вдаряє дверцятами мийки по машині, коли та вже на виході. Справа в тому, що програмне забезпечення мийки веде моніторинг процесу очищення авто і записує поточний стан мийки в базу. Відповідно, за всім цим можна стежити віддалено. Тому найпростіший спосіб завдати шкоди - наголос дверцятами автомобіля, поки переляканий водій намагається покинути оскаженілу мийку.

Все це складно назвати машиною вбивства, звичайно, але певної шкоди автомобілю, його водієві та пасажирам зламана система цілком може нанести. Результати своєї роботи дослідники відправили як виробнику мийок, як і в Департамент національної безпеки США.