С подачи BasicAppleGuy народ ностальгирует по временам, когда коробки с Маками были пусть не столь «зелеными» и компактными, зато в них чувствовалась мощь, стиль и... уют. Ну вот вы можете представить себе, чтобы в коробке с новым Макбуком был постер громадного размера?

Не очень понятно насколько функционально, но завораживающе монументально. Новая станция от Adam Elements стоит 89 долларов, содержит магнитные площадки для зарядки айфона, наушников и часов, которые выдвигаются из корпуса-башни.

Пока не определились, уже хотим купить себе или все же сперва маленького Яндекс-робота взять?

Подробнее.

Издание 9to5mac.com на правах пятницы на радость параноикам (и специалистам по кибербезопасности) рассказывает, как пара пытливых умов легко и непринужденно взломали систему Subaru и могли дистанционно управлять миллионами автомобилей. Это к вопросу об умных замках, которые вряд ли скоро придут полноценно на смену старым добрым... засовам!

Исследователь безопасности Сэм Карри заключил необычную сделку со своей матерью: он купит Subaru, но при условии, что та позволит ему взломать ее. Ранее до этого Карри уже экспериментировал с автомобилями других марок, но опыта работы с «субариками» у него не было.

Он начал с поиска недостатков в мобильном приложении MySubaru, но — удивительное дело — не смог их найти. Что ж, пришлось расширить географию поисков.

Из своего прошлого опыта работы с автомобильными компаниями я знал, что могут существовать общедоступные приложения для сотрудников с более широкими полномочиями, чем приложения для клиентов. Учитывая это, я решил сменить фокус и начал искать другие сайты, связанные с Subaru, чтобы протестировать их.

Друг помог ему найти многообещающий субдомен. Конечно, он требовал логина сотрудника, но, покопавшись в каталоге Javascript, была обнаружена процедура небезопасного сброса пароля. Все, что было нужно — это действительный адрес электронной почты сотрудника, который они нашли с помощью быстрого веб-поиска. Они сбросили пароль и смогли войти в систему.

Единственным препятствием оставалась защита 2FA, но ее оказалось легко обойти, поскольку она работала на стороне клиента и могла быть удалена локально. В этот момент они вошли в систему.

На левой панели навигации было множество различных функций, но самой интересной оказалась «Последнее известное местоположение». Я ввел фамилию и почтовый индекс моей мамы. В результатах поиска высветилась ее машина. Я нажал на нее и увидел все места, где моя мама побывала за последний год.

Оказалось, что они также могут удаленно взять под контроль любую Subaru с установленной системой Starlink, и они проверили это, получив разрешение на машину подруги.

Она прислала нам свой номерной знак, мы нашли ее автомобиль в панели администратора и добавили себя в ее машину. Мы подождали несколько минут, а затем увидели, что наша учетная запись успешно создана.

Теперь, когда у нас был доступ, я спросил, могут ли они выглянуть наружу и посмотреть, не происходит ли что-нибудь с их машиной. Я отправил команду «разблокировать».

Они не только получили контроль над автомобилем, но и его владелец даже не получил сообщения о том, что в его аккаунт был добавлен авторизованный пользователь.

Карри отправил сообщение в Subaru, и компания устранила уязвимость уже на следующий день, подтвердив также, что нет никаких доказательств того, что кто-то еще получил доступ.

Пожалуй, самой тревожной частью этой истории является вывод Карри — ему было трудно написать эту статью, потому что... он не думал, что чем-то из этого удивит других представителей индустрии безопасности.

Большинство читателей этого блога уже работают в сфере безопасности, поэтому я действительно не думаю, что техники сброса пароля или обхода 2FA будут для кого-то новыми. Мне показалось, что стоит рассказать о влиянии самой ошибки и о том, как на самом деле работают подключенные автомобильные системы.

Автомобильная индустрия уникальна тем, что 18-летний сотрудник из Техаса может запросить биллинговую информацию автомобиля в Калифорнии, и это не вызовет никаких тревожных сигналов. Это часть их обычной повседневной работы. Все сотрудники имеют доступ к огромному количеству личной информации, и все это основано на доверии.

По-видимому, очень трудно по-настоящему защитить эти системы, когда такой широкий доступ встроен в них по умолчанию.