전 세계 대부분 지역에서 X 브랜드의 어떤 차량이든 잠금 해제하기

익명 처리된 자동차 제조사의 커넥티드카 시스템 취약점을 연결해, 호주에서 차량 번호판만으로 두 브랜드 차량에 원격 명령을 보낼 수 있었음 공개된 관리 도구의 JavaScript에 담긴 하드코딩된 API 키와 관리자 자격 증명으로 차량 소유자 정보와 중앙 신원 관리 시스템에 접근할 수 있었음 WAF 우회와 계정 비밀번호 변경을 결합했으며, 호주 환경의 인증 설정 오류로 다중 인증도 건너뛰고 모바일 앱용 토큰을 발급받을 수 있었음 실제 차량의 문 잠금 해제에 성공했으며, 검증은 연구진이 소유하거나 명시적으로 접근 허가를 받은 차량에서만 수행함 별도로 공개된 연구까지 합치면 호주, 미국, 캐나다에서 해당 제조사 차량의 잠금 해제와 엔진 시동 등 원격 명령이 가능했음 모바일 앱에서 관리 도구까지 Shubham Shah는 2023년 구매한 SUV의 커넥티드카 기능을 계기로, 7월 Sam Curry와 함께 제조사의 시스템을 조사함 기존 자동차 플랫폼 보안 연구 경험을 바탕으로 조사에 나섬 하드웨어 대신 인터넷에 노출된 웹 애플리케이션과 인프라에 집중해, 원격 잠금 해제 시 앱이 통신하는 대상을 추적함 Android APK를 디컴파일하고 API 요청을 재구성한 결과, 소비자 앱의 거의 모든 기능이 redacted-telematics.com.au 아래 서비스와 통신했음 admintool.redacted-telematics.com.au에서 TEST HARNESS라는 관리 도구를 발견함 로그인 화면에서도 전체 JavaScript 번들을 내려받을 수 있어 관리 기능과 API 구조를 분석할 수 있었음 직원용 API는 고객 계정과 실제 운영 차량을 폭넓게 조작할 수 있었고, 상당수는 번들에 하드코딩된 API 키 외에 별도 인증을 요구하지 않았음 번호판을 계정 정보로 연결 관리 API에서 이메일 주소로 사용자 계정을 조회할 수 있었지만, 번호판만으로 차량을 제어하려면 차량과 계정 사이의 연결 정보가 추가로 필요했음 호주에서는 주별 차량 등록 조회 사이트를 통해 번호판으로 VIN을 쉽게 확인할 수 있음 VIN 조회 자체는 보안 결함이 아니며, 중고차 구매 전 수리 및 보험 이력을 확인하는 등 정당한 용도가 있음 다른 관리 API로 VIN에서 가입자 GUID를 얻고, /v1/account에서 이메일을 포함한 전체 계정 정보를 조회할 수 있었음 번호판 → VIN → 가입자 GUID → ForgeRock OpenIDM에 등록된 사용자 개인정보...