Сижу в отпуске, пытаюсь забыть логи, инциденты и алерты. Но профессиональная деформация...
Сижу в отпуске, пытаюсь забыть логи, инциденты и алерты. Но профессиональная деформация — штука коварная. Она не спрашивает, отдыхаешь ты или нет. Рядом парукуется электрокар. Их тех, что тихие, гладкие, и напичканные датчиками. Водитель вышел за кофе. Двери закрыты, система спит. Тишина. Я замечаю парня с ноутбуком. Подошёл, сел на лавочку, пальцы летают по клавиатуре. Не просто печатает, а именно долбит. Рядом с ним стоит тот самый электрокар. На экране бортового компьютера мигает какое-то служебное меню, которое обычный юзер даже не увидит. Я затаил дыхание. Вот оно! Вспомнил старую школу. Раньше, чтобы угнать машину, нужна была монтировка, лом или «скрипка» (набор отвёрток для любителей). Сейчас угонщик — это не гопник с района, это чувак в худи, который знает разницу между CAN-шиной и Ethernet’ом лучше, чем свой день рождения. Современный автопром — это просто IoT-устройство на колесах. Камеры, микрофоны, GPS, Bluetooth, Wi-Fi, подключение к облаку. Это не машина, это смартфон с четырьмя колесами и плохой защитой. Производители гонятся за фичами: «подключи телефон», «обнови ПО по воздуху», «управляй климатом из приложения». А безопасность? Лучше промолчу. Я подошёл. Он даже бровью не повел. — Что ломаем? — спрашиваю я, сдвинув брови. — Да вот, API шлюза тестирую, — бурчит он, не отрываясь от экрана. — Нашёл интересную уязвимость в протоколе аутентификации. Можно теоретически перехватить команду на открытие дверей. «Какой ты молодец», — подумал я и приготовился звонить в полицию, но из кафе вышел тот самый хозяин электрокара. Подходит к нам, улыбается. — Ну что, получилось? — спрашивает он «хакера». — Ага, — отвечает тот, закрывая ноутбук. — Токен сессии не инвалидируется после выхода из зоны действия брелока. Нужно патчить. Оказалось, этот парень — пентестер. Его нанял сам владелец автомобиля (крупный чел, владеющий сетью каршеринга), чтобы тот регулярно проверял его личный транспорт и флот на прочность. Они тут проводили «полевые учения». Никакого криминала, только чистый аудит безопасности. Владелец угостил нас обоих кофе. Мы обсудили, почему производители до сих пор используют дефолтные пароли в диагностических портах и как сложно объяснить маркетологам, что «удобство» не должно стоить цены взлома всей сети. Так что мир меняется. Монтировки и груши сменились эксплойтами, а угонщики стали востребованными специалистами по кибербезопасности. Все придумал, как обычно #злой_леший 😠😠😠😠😠