Які загрози несе встановлення додатку Tesla?

AUTO-Consulting вже розповідав як Tesla за півроку вдалось стати “золотим стандартом” серед зарядних роз’ємів для електромобілів в США. Як і раніше, широко розповсюджені в Північній Америці майданчики з зарядними станціями Tesla Supercharger, безкоштовні лише для власників новеньких Tesla. Ціни можуть коливатись, але в середньому зарядка на станції Supercharger може коштувати приблизно 25-30 центів за кіловатт-годину в США. Це не супер-дешево, але тепер власники інших електромобілів теж зможуть користуватися швидкою зарядкою.

Як за півроку Tesla вдалося змусити майже всіх автовиробників перейти на власний стандарт

Допоки всі нові електромобілі сторонніх марок не обзавелися роз’ємами NACS, їх власникам пропонують придбати перехідники. А от Ford власникам електромобілів F-150 Lightning та Mustang Mach-E пропонує замовити їх для себе безкоштовно. Але акція щедрості діє лише до кінця червня. Потім адаптер буде коштувати $230.

Крім адаптеру, щоб зарядитися на Supercharger, потрібно скачати відповідний фірмовий додаток. Не маючи доступу до мережі Tesla Supercharger ми в AUTO-Consulting не можемо провести повноцінний тест, але певними думками з приводу переходу на Північноамериканський стандарт зарядки, поділитись можемо.

Tesla виграла війну серед зарядних стандартів

“Діряве” програмне забезпечення?
Закохатися в електромобіль Tesla можна з першого натискання на “педаль току” – захоплююча динаміка та чудова керованість підкупають навіть досвідчених драйверів. Але спеціалісти з кібербезпеки неодноразово попереджали про слабкий захист Tesla-додатку, який відчиняє автомобіль та має доступ до багатьох інших функцій.

Tesla – не лише символ нової «електрифікації» автомобільного ринку, але й один з найяскравіших прикладів Інтернету речей, який стає частиною повсякденного життя.

Мобільний додаток Tesla – це віддалений центр керування автомобілем. Він дозволяє перевіряти рівень заряду акумулятора, місцезнаходження автомобіля. Він також може керувати кондиціонером, сигналити, відкривати багажник або навіть розблокувати і заводити автомобіль. Може здатися, що з такими можливостями додаток має бути таким же захищеним, як президентський бункер. Але, нажаль, це далеко не так!

Доступ до автомобіля Tesla, який коштує десятки тисяч доларів, захищений лише паролем. Вам потрібен лише пароль, і ви можете викрасти автомобіль та поїхати геть. Або ще гірше – сторонні особи можуть використовувати додаток для відстеження автомобіля без відома власника. Принаймні так було ще кілька років тому. Нагадаємо, що Tesla Model S з’явилась 15 років тому.

На що звертали увагу сторонні IT-специ з безпеки?
Було виявлено, що справжня проблема безпеки полягає не в неправильній реалізації, а в невірних рішеннях щодо безпеки, прийнятих під час проектування та розробки додатку та веб-сайту Tesla. Це може мати серйозні наслідки, пов’язані з екосистемою сторонніх додатків. В тому числі, фірмових додатків від Ford, GM або Stellantis.

В Україні з’явився перший автомобіль, надрукований на 3D-принтері
Сім автогігантів запускають масштабну мережу зарядних станцій

Отже, які функції він повинен мати з точки зору безпеки?

По-перше, багатофакторна автентифікація
Сьогодні одного пароля вважається недостатньо, оскільки це типовий випадок «єдиної точки відмови» (Single Point of Failure). Для запобігання несанкціонованому доступу до всіх видів ІТ-систем зазвичай використовується багатофакторна автентифікація (MFA), також відома як двофакторна автентифікація (2FA). Ви будете стикатися з MFA всюди: наприклад, коли треба зняти гроші в банкоматі або заплатити за щось, треба мати при собі картку, а також знати PIN-код.

Якщо ви хочете, щоб ваш обліковий запис електронної пошти був безпечнішим, ви можете увімкнути 2FA у вигляді SMS-кодів або спеціального додатку. Насправді це є стандартом у наш час, який щоденно використовують такі компанії, як Google, Facebook, Microsoft, Apple та Dropbox. Що робить позицію Tesla ще більш дивною.

У додатку Tesla немає жодної форми MFA, навіть як додаткової функції. Що це означає? Знову ж таки, це означає, що, отримавши лише один пароль, ви можете отримати повний контроль над автомобілем. Досить дивно, що ви можете захистити свою електронну поштову скриньку за допомогою 2FA, але не можете зробити те ж саме для додатку, який керує дорогим високотехнологічним автомобілем.

І це стосується не лише мобільного додатку, якому бракує MFA. Доступ до екаунту через офіційний веб-сайт також не вимагає і не пропонує жодного додаткового рівня безпеки. Потрібен лише той самий пароль, що й для додатку. Незважаючи на те, що через сайт неможливо керувати авто, особистий кабінет користувача містить конфіденційні дані, такі як рахунки-фактури та кредитна інформація.

По-друге, перевірка нового пристрою
Якщо двофакторна верифікація не використовується, то принаймні нові пристрої потрібно буде верифікувати. Наприклад, щоб увійти до свого акаунта Steam на новому комп’ютері, вам потрібно спочатку авторизувати новий пристрій. Інакше не вийде користуватися своїм акаунтом. Крім того, ви отримаєте електронний лист із повідомленням про спробу входу через новий пристрій, що містить IP-адресу пристрою. Просто, зручно та безпечно.

Коли ж у вас є логін і пароль до облікового запису Tesla, цього вже достатньо, щоб увійти в додаток на новому смартфоні та отримати повний контроль над автомобілем. Tesla не цікавиться кількістю пристроїв, синхронізованих з вашим обліковим записом. Ви також не отримаєте повідомлення про те, що хтось увійшов у ваш обліковий запис з іншого пристрою.

Цю проблему можна було б вирішити, додавши до облікового запису Tesla нову функцію підтвердження пристрою. Це не вплинуло б на простоту і комфорт використання додатку, але могло б значно підвищити контроль користувача над обліковим записом і його безпеку.

По-третє, контроль активності користувача
Можливо Tesla вирішила застосувати певну форму класифікації активності користувачів і, наприклад, відмовляти в доступі, якщо виявлено ненормальну активність?

Експерти з кібербезпеки протестували й цю функцію, входили в один і той самий обліковий запис, використовуючи кілька різних пристроїв одночасно. І це вдалося зробити, навіть якщо автомобіль знаходився за сотні кілометрів від користувачів. Без проблем вдалось використовувати весь спектр функцій додатку і, з точки зору власника, це не викликало жодних сповіщень системи безпеки.

Тобто, або функція виявлення нестандартної активності не реалізована або, принаймні, працює не так, як потрібно.

По-четверте, недостатня система сповіщень
Незважаючи на те, що додаток Tesla пропонує систему сповіщень, вони підтримують лише стандартну активність користувача, наприклад, сповіщення, пов’язані із зарядкою. Єдині, які можна віднести до «безпекових», – це сповіщення про автосигналізацію та оновлення програмного забезпечення. Будемо відверті, цього недостатньо.

Беручи до уваги всі вищезгадані недоліки додатку, мають бути сповіщення, пов’язані з безпекою, зокрема, про вхід на новий пристрій, увімкнення та вимкнення мобільного доступу або перемикання режиму парковки. Ці кілька простих заходів підвищили б безпеку користувачів і не дозволили б іншим особам перебрати контроль без дозволу.

Яким буде авторинок, коли почнуть домінувати електромобілі. Приклад Норвегії
В 2023 році в Україну ввезли рекордну кількість електрокарів

Небезпечна екосистема
Tesla офіційно не ділиться API, що дозволяє спілкуватися із зовнішніми додатками. Однак на практиці API, що використовується офіційним додатком, досить добре задокументований спільнотою і наразі широко використовується користувачами – переважно через зовнішні, неофіційні додатки.

Користувачі, ймовірно, використовують ці додатки, тому що вони пропонують функції, які не доступні в офіційному додатку Tesla. Tesla не несе відповідальності за зовнішні додатки, але в той же час має можливість впливати на те, як виглядає і працює екосистема.

Відсутність безпечної автентифікації
Ще одна проблема полягає у відсутності безпечного методу автентифікації та управління дозволами. Додатки використовують єдиний доступний метод: облікові дані користувачів. Це, в свою чергу, практично позбавляє користувачів будь-якого контролю над ними і дає можливість сторонній особі отримати повний контроль над автомобілем.

Користувачі, які дбають про безпеку, навряд чи нададуть свої дані для входу в систему невідомому зовнішньому додатку, але ті, хто менш обізнаний, можуть це зробити.

Що може зробити Tesla в цій ситуації? Компанія може покращити екосистему і заохотити її розвиток у більш безпечному напрямку. Для цього можна використати щонайменше два механізми.

API-ключі
Один з варіантів – дозволити генерацію ключів API, які могли б використовуватися користувачами у зовнішніх додатках. Поєднуючи це з контролем дозволів, користувачі зможуть використовувати зовнішні додатки, надаючи їм доступ лише до певних прав (наприклад, отримувати інформацію без дозволу на виконання будь-яких дій). Однак ключі API можуть бути недостатньо зручними для звичайного використання.

OAuth 2.0 – «Tesla Sign-In»
Замість типових ключів API може бути зручніше використовувати OAuth 2.0, як, наприклад, у сервісах Google Sign-In або Slack Sign-In. Таким чином, користувач міг би безпечно увійти на сайт Tesla, а потім побачити, який доступ очікує додаток, і дозволити йому доступ до облікового запису Tesla лише з певними дозволами. Було б корисно, якби користувач міг контролювати авторизовані додатки.

Скільки потрібно зарядних станцій для електрокарів в Україні
Як розвивалася мережа зарядних станцій в Україні. Підсумки 2023 року

Як зробити додаток Tesla більш безпечним
У 21 столітті питання безпеки програмного забезпечення є однією з найгарячіших тем. Скандал з даними Facebook і Cambridge Analytica показав, що недбале ставлення до приватності та безпеки даних користувачів є неприпустимим. Додатки, що використовують персональні дані, повинні відповідати найсуворішим стандартам безпеки.

На жаль, додаток і веб-сайт Tesla мають дуже низький рівень безпеки, коли йдеться про захист конфіденційних даних. І не через технічні вразливості, а через недотримання базових принципів безпеки додатку. Відсутність MFA або контролю авторизації нових пристроїв у випадку з продуктом, який дає доступ до автомобіля та можливість відстежувати його місцезнаходження, є жахливою недбалістю.

Спеціалісти з кібербезпеки, які фанатіють від електромобілів Tesla, пропонували Ілону Маску зробити його додаток безпечним – безкоштовно. Хоча у нього є свій штат програмістів, які постійно оновлюють як додатки, так і функціонал автомобілів.

З тих пір, напевно, ситуація покращилась, але напевно вразливостей вистачає й зараз. Тим більше, нові користувачі станцій швидкої зарядки Tesla Supercharger, піддаються небезпеці через електромобілі сторонніх виробників, які можуть конфліктувати з додатком від Tesla на програмному рівні під час під’єднання до станції.

Чому змагання BYD vs Tesla є таким важливим для світового автопрому
Чотири автовиробники утворили альянс по створенню батарей для електромобілів і протистоянню з Tesla

Висновок
Електромобілі часто покладаються на дані, програмне забезпечення та датчики, щоб координувати операційні системи, полегшувати та покращувати досвід водіння. Цей зв’язок створює небезпеку для кібербезпеки.

Заряджання електромобіля на громадській станції, де він підключений до електромережі, підвищує вразливість до цих атак. Хакери можуть загрожувати життю людей, вимикаючи світло, відключаючи гальма та блокуючи зв’язок з кермом. Особиста конфіденційність також може опинитися під загрозою, якщо ключ-ідентифікатор буде продубльовано і використано для здійснення транзакцій або зламу мобільних додатків, пов’язаних з електромобілями.

Чомусь саме автомобілі Tesla автори фільму “Залиште світ позаду” вибрали на роль таких, що піддались глобальній кібер-атаці та “зійшли з розуму”. До речі, під час написання цього матеріалу “лягли” такі популярні онлайн-мережі як Facebook, Instagram, TikTok тощо. Їх відновлять, але це вже суттєвий дзвіночок для того, щоб задуматись над власною кібер-безпекою всерйоз.

Ілон Маск продовжує ставити експерименти над клієнтами