👩🏾‍🏭 🎈 🛥️ निसान लीफ को इंटरनेट पर चलाया जा सकता है, इसके VIN को जानकर 👨‍👨‍👦‍👦 👊🏼 👨🏾‍🎨

यदि आप इंटरनेट के माध्यम से अपनी कार चला सकते हैं, तो एक मौका है कि कोई और इसे कर सकता है। कम से कम अगर निसान जैसी फर्में सुरक्षा प्रणालियों में इस तरह के सकल मिसकल्चुलेशन बनाती हैं।

VIN (वाहन पहचान संख्या) और निसान सर्वर तक पहुंचने के लिए वेब पता, आप सभी को केबिन में जलवायु नियंत्रण प्रणाली के लिए दूरस्थ पहुँच प्राप्त करने के लिए निसान लीफ कार के बारे में जानना आवश्यक था, साथ ही साथ स्थिति की जानकारी कार और आंकड़े। स्टीयरिंग के लिए अच्छा नहीं है।

बुधवार की शाम तक, जब निसान ने साथी मोबाइल ऐप के लिए एपीआई बंद कर दिया था । एक प्रसिद्ध सुरक्षा विशेषज्ञ ट्रॉय हंट के एक महीने बाद निसान को एक बग रिपोर्ट भेजी। उन्होंने आम जनता को सूचना प्रकाशित करने से पहले ईमानदारी से इंतजार किया।

ट्रॉय लिखते हैं कि उस समय तक बाहरी लोगों ने भेद्यता का दोहन करना शुरू कर दिया था, मंचों पर संदेशों को देखते हुए।

एप्लिकेशन सर्वर से जानकारी का अनुरोध करने के लिए GET विधि का उपयोग करता है, जो सीधे ब्राउज़र के माध्यम से अनुरोध भेजने की अनुमति देता है।

GET https://[redacted].com/orchestration_1111/gdc/BatteryStatusRecordsRequest.php?RegionCode=NE&lg=no-NO&DCMID=&VIN=SJNFAAZE0U60XXXXX&tz=Europe/Paris&TimeFrom=2014-09-27T09:15:21

सर्वर से कार प्रणाली और आंकड़ों पर डेटा के साथ ऐसी JSON प्रतिक्रिया आती है।

एक और अनुरोध।

GET https://[redacted].com/orchestration_1111/gdc/RemoteACRecordsRequest.php?RegionCode=NE&lg=no-NO&DCMID=&VIN=SJNFAAZE0U60XXXXX

जलवायु नियंत्रण स्थिति की जानकारी के साथ प्रतिक्रिया देता है।

उसी समय, ऐसी तस्वीर मोबाइल एप्लिकेशन की स्क्रीन पर दिखाई देती है जिसमें बटन ऑन / ऑफ क्लाइमेट कंट्रोल होता है।

एक और अधिक अनुरोध पर / बंद बटन "धक्का" कर सकते हैं।

GET https://[redacted].com/orchestration_1111/gdc/ACRemoteRequest.php?RegionCode=NE&lg=no-NO&DCMID=&VIN=SJNFAAZE0U60XXXXX&tz=Europe/Paris

इसके अतिरिक्त, स्वामी के बारे में कुछ व्यक्तिगत जानकारी भेजी जाती है।

ट्रॉय हंट इस बात पर जोर देता है कि यह सुरक्षा व्यवस्था में भी गलत नहीं है, लेकिन सामान्य रूप से इसकी पूर्ण अनुपस्थिति है। कार और सर्वर चलाने के लिए मोबाइल एप्लिकेशन के बीच कोई भी प्राधिकरण नहीं था: मालिकाना एपीआई पूरी तरह से गुमनाम रूप से काम करता है, प्राधिकरण टोकन के बिना।

स्थिति इस तथ्य से बढ़ी है कि सभी निसान लीफ कारों में VIN कोड केवल अंतिम पांच वर्णों में भिन्न होते हैं, इसलिए GET अनुरोध को कोड के अनुसार क्रमबद्ध करके भेजा जा सकता है, उदाहरण के लिए, बर्प प्रोग्राम से ।

ट्रॉय हंट खुद निसान लीफ के मालिक हैं, इसलिए उन्होंने उम्मीद जताई कि कंपनी इस बग को ठीक नहीं करेगी और मोबाइल एप्लिकेशन से कार की रिमोट मॉनिटरिंग सेवा के संचालन को फिर से शुरू करेगी।

निसान लीफ को इंटरनेट पर चलाया जा सकता है, इसके VIN को जानकर

More articles: