십대 해커가 전 세계 Tesla에 원격 액세스 권한을 얻은 방법을 설명합니다.
어떻게든 전 세계에 퍼져 있는 수십 개의 Tesla에 원격 액세스 권한을 얻은 19세 독일 보안 연구원이 어떻게 했는지에 대해 이야기했습니다.
Medium 게시물 에서 David Colombo는 원격으로 명령(예: 차량의 스테레오 볼륨 조정, 문과 창 조작, Tesla의 "Keyless Driving" 도구 사용)을 실행할 수 있다고 주장한 이전 실험에 대한 심층적인 설명과 타임라인을 제공했습니다. , 잠재적으로 운전자가 알지 못하는 경우. Colombo는 TeslaMate라는 오픈 소스 로깅 도구의 보안 결함을 통해 차량에 액세스할 수 있었다고 밝혔습니다. 이 도구를 사용하면 Tesla 소유자는 Tesla API를 활용하여 차량의 에너지 소비 및 위치 기록과 같은 보다 세분화된 데이터를 모니터링할 수 있습니다. 그러나 Colombo는 자신의 명령을 실행하기 위해 Tesla의 API 키(TeslaMate에 의해 암호화되지 않은 상태로 저장되어 있음)의 용도를 변경할 수 있다고 말했습니다.
Colombo는 "Tesla 소유자를 짜증나게 하는 명령을 실행할 수 있으며 Tesla를 훔칠 수도 있습니다."라고 썼습니다. 이 글은 Tesla의 보안 팀에 제출된 Colombo의 공식 책임 공개 보고서의 일부였습니다.
Colombo는 “ 13개국에서 25개 이상의 Tesla [ 원문 그대로 ]를 몇 시간 내에 찾았습니다.”라고 말합니다. 테슬라 차량이 위치한 국가에는 "독일, 벨기에, 핀란드, 덴마크, 영국, 미국, 캐나다, 이탈리아, 아일랜드, 프랑스, 오스트리아, 스위스가 포함된다"고 그는 덧붙였다. 중국에서 온 30대 이상이지만 중국의 사이버 보안법을 어지럽히고 싶지 않아 완전히 건드리지 않았습니다.”
Tesla가 나중에 "수천 개의 키"를 취소했기 때문에 이 문제가 그의 연구에서 밝혀진 것보다 훨씬 더 광범위했을 가능성이 있다고 Colombo는 말했습니다.
Colombo는 충격적인 양의 자동차 기능을 조작할 수 있었지만 원격으로 자동차를 움직이거나 스티어링이나 브레이크를 조작할 수 있었을 것이라고는 생각하지 않습니다. Colombo는 Tesla와 TeslaMate 모두에 연락했으며 수정 사항이 발표되었다고 말했습니다.
이벤트 타임라인에서 연구원은 2021년 10월에 단일 차량에서 취약점을 처음 발견한 후 이달 초에 20대에서 더 발견했다고 말했습니다. 블로그 게시물의 이미지는 영향을 받는 여러 차량의 운전 이력을 섬뜩한 정밀도로 문서화한 상세한 지도를 보여줍니다. Colombo는 또한 자신과 영향을 받은 Tesla 소유자 중 한 사람 간의 문자 메시지 교환 이미지도 포함했습니다. 이 경우 소유자는 Colombo에게 원격으로 자동차 경적을 울리는 권한을 부여했습니다.
Colombo는 또한 이번에 Tesla의 디지털 자동차 키에서 운전자의 이메일 주소를 얻을 수 있었던 추가 결함에 대한 세부 정보를 제공했습니다. Colombo는 이전에 영향을 받은 운전자에게 차량에 영향을 미치는 타사 결함에 대해 경고하기 위한 진지한 노력의 일환으로 운전자의 이메일 주소를 쿼리할 수 있는 결함을 발견했다고 말했습니다. Colombo는 특히 영향을 받는 차량 소유자의 이메일을 검색했지만 소프트웨어 결함을 악용하여 다른 Tesla 소유자와 관련된 이메일을 찾을 수 있습니다.
" , 나는 소유자 식별 정보를 찾을 수 있는 방법이 없었고 이제는 액세스 권한이 취소된 상태에서도 이메일 주소를 쿼리할 수 있습니다."라고 Colombo는 썼습니다. "아이러니합니다!"
Colombo는 나중에 Bloomberg 와의 인터뷰 에서 Tesla의 디지털 자동차 키용 API에서 결함이 발견되었다고 밝혔습니다. 연구원은 이메일 결함에 대해 Tesla의 보안 팀에 즉시 알렸고 문제를 해결하기 위한 패치를 신속하게 배포했음을 확인했다고 말했습니다.
Colombo는 "누군가가 소유하지 않은 Tesla에게 말 그대로 걸어가서 운전할 수 있는 방법은 전혀 없어야 합니다."라고 썼습니다.
