સુબારુની નબળી સુરક્ષાને કારણે, વાહનના ડેટાની સંપત્તિ સરળતાથી સુલભ ન હતી.

સુબારુએ એક મોટી સુરક્ષા ખામીને ખુલ્લી છોડી દીધી છે, જે નિશ્ચિત હોવા છતાં, આધુનિક વાહનો સાથે અસંખ્ય ગોપનીયતા સમસ્યાઓનો પર્દાફાશ કર્યો છે. સુરક્ષા સંશોધકો સેમ કરી અને શુભમ શાહે તેમના તારણોની જાણ કરી (માર્ગે). વાયર્ડ) સરળતાથી હેક કરી શકાય તેવા કર્મચારી વેબ પોર્ટલ વિશે. ઍક્સેસ મેળવ્યા પછી, તેઓ પરીક્ષણ વાહનને દૂરસ્થ રીતે નિયંત્રિત કરવામાં અને એક વર્ષના મૂલ્યના સ્થાન ડેટાને જોવા માટે સક્ષમ હતા. તેમણે ચેતવણી આપી હતી કે સુબારુ વાહનના ડેટાની આસપાસ ઢીલી સુરક્ષામાં એકલો નથી.

સુરક્ષા વિશ્લેષકોએ સુબારુને સૂચિત કર્યા પછી, કંપનીએ તરત જ શોષણને પેચ કર્યું. સદભાગ્યે, સંશોધકો કહે છે કે ઓછા નૈતિક હેકરો દ્વારા તેનો અગાઉ ભંગ કરવામાં આવ્યો નથી. પરંતુ તેઓ કહે છે કે અધિકૃત સુબારુ કર્મચારીઓ હજુ પણ નીચેની માહિતીના માત્ર એક ભાગ સાથે માલિકોના સ્થાન ઇતિહાસને ઍક્સેસ કરી શકે છે: માલિકનું છેલ્લું નામ, પિન કોડ, ઇમેઇલ સરનામું, ફોન નંબર અથવા લાઇસન્સ પ્લેટ.

એન્ગેજેટે ટિપ્પણી માટે સુબારુને ઇમેઇલ કર્યો, અને જો અમને પાછા સાંભળવામાં આવશે તો અમે આ વાર્તા અપડેટ કરીશું.

હેક થયેલ એડમિન પોર્ટલ સુબારુના કનેક્ટિવિટી ફીચર્સના સ્ટારલિંક સ્યુટનો એક ભાગ હતો. (સમાન નામની સ્પેસએક્સ સેટેલાઈટ ઈન્ટરનેટ સેવા સાથે કોઈ સંબંધ નથી.) કરી અને શાહ LinkedIn પર સુબારુ સ્ટારલિંકના કર્મચારીનું ઈમેલ એડ્રેસ શોધીને અને બે જરૂરી સુરક્ષા પ્રશ્નોને બાયપાસ કર્યા પછી કર્મચારીનો પાસવર્ડ રીસેટ કરીને અંદર આવ્યા — કારણ કે આ છેલ્લી ઘટના બની હતી. વપરાશકર્તાના વેબ બ્રાઉઝરમાં, સુબારુના સર્વર્સમાં નહીં. તેઓએ “અમે વિચારી શકીએ તે સૌથી સરળ વસ્તુ: UI માંથી ક્લાયંટ-સાઇડ ઓવરલે દૂર કરીને” કરીને દ્વિ-પરિબળ પ્રમાણીકરણને અટકાવ્યું.

જો કે સંશોધકોના પરીક્ષણોએ એક વર્ષ પહેલાં પરીક્ષણ વાહનનું સ્થાન શોધી કાઢ્યું હતું, તેમ છતાં તેઓ એવી શક્યતાને નકારી શકતા નથી કે અધિકૃત સુબારુ કર્મચારીઓએ વધુ પાછળની જાસૂસી કરી હશે. તે એટલા માટે કારણ કે ટેસ્ટ કાર (2023 સુબારુ ઇમ્પ્રેઝા કરી તેની માતા માટે તે શરતે ખરીદી હતી કે તેણી તેને હેક કરી શકે છે) ફક્ત આટલા લાંબા સમય સુધી ઉપયોગમાં હતી. સ્થાનના ડેટાને જમીનના કેટલાક વિશાળ વિસ્તાર સુધી સામાન્ય કરવામાં આવ્યો ન હતો: તે 17 ફૂટથી ઓછા સચોટ હતો અને જ્યારે પણ એન્જિન શરૂ કરવામાં આવે ત્યારે તેને અપડેટ કરવામાં આવતો હતો.

“ડેશબોર્ડમાં મારું વાહન શોધ્યા અને શોધ્યા પછી, મેં પુષ્ટિ કરી કે સ્ટારલિંક એડમિન ડેશબોર્ડ યુનાઇટેડ સ્ટેટ્સ, કેનેડા અને જાપાનમાં કોઈપણ સુબારુ માટે ઍક્સેસિબલ હોવું જોઈએ,” કરીએ લખ્યું. “અમે ખાતરી કરવા માગતા હતા કે અમે કંઈ ખૂટ્યું ન હતું, તેથી અમે એક મિત્રનો સંપર્ક કર્યો અને પૂછ્યું કે શું અમે તેની કારને હેક કરીને દર્શાવી શકીએ છીએ કે ત્યાં કોઈ પૂર્વ-જરૂરીયાતો અથવા વિશેષતાઓ નથી જે વાસ્તવમાં સંપૂર્ણ વાહન સંપાદનને અટકાવે છે. તેણે અમને તેની લાઇસન્સ પ્લેટ મોકલી, અમે એડમિન પેનલમાં તેનું વાહન ખેંચ્યું, પછી અમે આખરે અમારી જાતને તેની કારમાં ઉમેરી.

તેમના સ્થાનને ટ્રૅક કરવા ઉપરાંત, એડમિનિસ્ટ્રેટર પોર્ટલ સંશોધકોને કોઈપણ સ્ટારલિંક-જોડાયેલ સુબારુ વાહનને રિમોટલી સ્ટાર્ટ, સ્ટોપ, લોક અને અનલૉક કરવાની મંજૂરી આપે છે. તેણે કહ્યું કે કરીની માતાને ક્યારેય કોઈ સૂચના પ્રાપ્ત થઈ નથી કે તેણે પોતાને અધિકૃત વપરાશકર્તા તરીકે ઉમેર્યો છે, ન તો તેણે જ્યારે તેની કારને અનલોક કર્યું ત્યારે તેને કોઈ ચેતવણી પ્રાપ્ત થઈ નથી.

તેઓ કોઈપણ ગ્રાહકની અંગત માહિતી માટે પૂછી અને પુનઃપ્રાપ્ત કરી શકે છે, જેમાં તેમના કટોકટી સંપર્કો, અધિકૃત વપરાશકર્તાઓ, ઘરનું સરનામું, તેમના ક્રેડિટ કાર્ડના છેલ્લા ચાર અંકો અને વાહનનો પિન સામેલ છે. વધુમાં, તેઓ માલિકના સપોર્ટ કૉલ ઇતિહાસ અને વાહનના અગાઉના માલિકો, ઓડોમીટર રીડિંગ્સ અને વેચાણ ઇતિહાસને ઍક્સેસ કરવામાં સક્ષમ હતા.

સુરક્ષા સંશોધકો કહે છે કે ટ્રેકિંગ અને સુરક્ષા નિષ્ફળતાઓ – “વ્યક્તિગત માહિતીનો એક ટન” ઍક્સેસ કરવાની કર્મચારીની ક્ષમતાથી ઉદ્દભવેલી – સુબારુ માટે ભાગ્યે જ અનન્ય છે. વાયર્ડ નોંધ કરો કે કરી અને શાહ દ્વારા અગાઉના કામમાં એક્યુરા, જિનેસિસ, હોન્ડા, હ્યુન્ડાઇ, ઇન્ફિનિટી, કિયા, ટોયોટા અને અન્યના વાહનોને અસર કરતી સમાન ખામીઓ બહાર આવી હતી.

આ જોડી માને છે કે ઉદ્યોગનું સ્થાન ટ્રેકિંગ અને નબળા સુરક્ષા પગલાં ગંભીર ચિંતાનું કારણ છે. “ઓટો ઉદ્યોગ અનન્ય છે કે ટેક્સાસનો 18 વર્ષનો કર્મચારી કેલિફોર્નિયામાં વાહનની બિલિંગ માહિતી માટે પૂછી શકે છે, અને તે વર્ચ્યુઅલ રીતે કોઈપણ એલાર્મ બેલ બંધ કરશે નહીં,” કરીએ લખ્યું. “તે તેમના સામાન્ય દૈનિક કાર્યનો એક ભાગ છે. બધા કર્મચારીઓ પાસે ઘણી બધી વ્યક્તિગત માહિતીની ઍક્સેસ હોય છે, અને આખી વસ્તુ વિશ્વાસ પર આધારિત છે. આ સિસ્ટમોને સુરક્ષિત કરવી ખરેખર મુશ્કેલ લાગે છે જ્યારે આવી વ્યાપક ઍક્સેસ મૂળભૂત રીતે સિસ્ટમમાં બનેલી હોય.

સંશોધકોનો સંપૂર્ણ અહેવાલ વાંચવા જેવો છે.

આ લેખ મૂળરૂપે Engadget પર https://www.engadget.com/cybersecurity/subarus-poor-security-left-troves-of-vehicle-data-easily-accessible-182514123.html?src=rss પર દેખાયો હતો.