API on Wheels: リスクの高い脆弱性のロードトリップ

最後にロードトリップをしたのはいつですか？世界のどこにいるかにもよりますが、それは最近アジェンダに戻ったばかりかもしれませんが、実際には、オープンロードで景色を変えるのに勝るものはありません。

もちろん、あなたがソフトウェアの脆弱性でない限り。

私たちは、自動車業界における緩いサイバーセキュリティ対策がもたらす危険性について、次のような人たちと長々と話し合ってきました。 テスラ そして ジープ すでにセキュリティ研究者と協力して、早期に発見して迅速に修正しないと深刻な安全上の問題につながる可能性のある悪用可能なバグを発見しています。また、ソフトウェア・セキュリティが一般的にどのようなものであるかについても話しました。 まだ ワイルドウエストで。ソフトウェアは私たちが目にするあらゆるところに存在し、多くのコネクテッドデバイス、車両、およびそれらの周辺機器について、必要なセキュリティ対策は、エンドユーザーへの教育や警戒をはるかに超えています。

APIの脆弱性は特に潜行性が高まっており、 悪意のある API トラフィックが 300% 以上増加 過去6か月だけで。現代の車両は本質的に車輪付きのAPIであることを考えると、これはむしろ懸念すべきことです。これらは接続されており、他のアプリケーションとのやり取りが非常に多く、多くの脆弱なエンドポイントの 1 つとして標的型攻撃に巻き込まれる可能性があります。

EV充電器の音が大きすぎる場合

コネクテッドカーはソフトウェアの安全性について精査されていますが、その付属品についてはどうでしょうか？ペン・テスト・パートナーズの天才クルー 複数のコードレベルの脆弱性を発見 6つの家庭用電気自動車充電ブランドだけでなく、広く普及している公共の電気自動車充電ネットワークでも使用されています。

誰が充電器を気にするの？攻撃者は何を得ることができますか？残念ながら、私たちにとってパワフルでディープな技術者が残業することのデメリットの 1 つは、一般的に、これらのデバイスには TMI という悪いケースがあることです。EV 充電器は、クラウドベースの環境で API を介してコンパニオンモバイルアプリと通信しますが、これらすべてが安全にコーディングおよび構成されていないと、悪用される恐れがあります。API は、設計上、アプリ間の通信の水門を開くものです。これらのエンドポイントを注意深く構成しないと、あまりにも多くのものが共有されてしまい、さらに悪いことに、脆弱なアプリのバックドアからアクセスされてしまう可能性があります。

Pen Test Partnersは、数百万台のEV充電器のハイジャックにつながる可能性のある非常に危険な脆弱性、アカウントの乗っ取りやアカウントへのリモート制御/アクセスを可能にするAPI認証問題の複数の事例、さらには複数のEVデバイスの同期制御による電力網の混乱の可能性を発見しました。これらの問題にはすべてパッチが適用されましたが、攻撃者の間に残ったのは数行のコードだけで、コア機能とサービスインフラストラクチャが完全に破壊されたという事実は深く懸念されています。

首謀者のようなものでもありません。例えば、Wallbox の API には安全でない直接オブジェクト参照 (IDOR) が 2 つあり、悪用されればアカウントの乗っ取りが可能でした。IDOR は認証の失敗に該当し、中でも第 2 位にランクされています。 OWASP API の脆弱性トップ 10。これはダートと同じくらいよくあることで、質の高いコードの学習と実装が失敗していることを示しています。バグの多い無数の通信経路を通じて、機密性の高いデバイスやアプリをつなぎ続けることはできません。適切に設定されていない API はまさにそのようなものです。

自動車 API を安全に扱うには、教育と忍耐が必要です

APIセキュリティでイライラするのは、それを軽減しようとするサイバーセキュリティ災害の新しい波として宣伝されていることです。実際には、Web開発で何十年も見てきたのと同じ古い問題の新しい設定に過ぎません。クロスサイトスクリプティング、インジェクション、設定ミス:聞き覚えがありますか?

NISTのような組織による最近の指標は有望であり、ソフトウェアセキュリティの規制と標準化が進んでいることを示しています。しかし、日々作成される大量のコードに対して行う必要のある保護対策の量を抑えるには、必要な専門家にはまだ十分ではありません。開発者は高いレベルのセキュリティ知識と責任を持つ必要がありますが、率先して取り組むのは開発者の責任ではありません。電化製品の組み込みシステムや、車を誰かのリモコンのおもちゃに変える可能性のある API に取り組んでいるチームがある場合は、よくある脆弱性の侵入を防ぐために必要なものが揃っていることを確認する必要があります。

たとえば、セキュアな API と XSS によって脆弱な API の違いはごくわずかですが、開発者は質の悪いコーディングパターンと良いコーディングパターンを区別する微妙な違いを示す必要があります。それに加えて、遅延型の開発プロセスは API 構成では通常どおり行われることが多く、多くの場合、設定されたタスクを実行するための最小要件を超える膨大な権限が与えられているため、脅威にさらなる領域が広がり、データ盗難の可能性が非常に高くなります。これらの要因は構築時に考慮する必要がありますが、許容できる開発手法に組み込まれていなければ、そのプロセスは引き続きリスク要因となります。

脅威アクターの新たなプレイグラウンドの回避

脅威アクターの標的となるAPIが劇的に増加していることは、目に見えない成果に注目が移っていることを示しています。今回のケースでは、潜在的な車両乗っ取りという形での生命への潜在的な脅威に加えて、多額の利益を得るためのパイプラインにもなり得ます。

API セキュリティを偶然に任せることは、後で問題を起こす確実な方法であり、最悪の場合は壊滅的な結果を招き、やり直しはイライラさせられ、せいぜいパフォーマンスが低下します。これは、ソフトウェアの通信エコシステムの一部として重要な検討事項であり、クラス最高のセキュリティプログラムのリストの上位にあるはずです。そのための鍵は、各 API を人間であるかのように扱い、どのようなアクセス権が必要かを評価することです。経理部の Jim は、会社全体の機密性の高い法的文書すべてにアクセスできるべきでしょうか?おそらくそうではないでしょうし、一般的には、実際の担当者の場合、アクセス制御は正しく決定されています。API についても同じことは言えません。API は、他のすべてと同じゼロトラスト方式で設定されていなければ、皆に秘密を知らせる強力なチャタボックスであることを覚えておくことが重要です。

組織は厳重に警戒しなければならず、開発者はこれらの脆弱なポータルから絶望させられることのない質の高いコードを作成するために、現場で目を配る必要があります。今こそ、この目標に向けた正しい考え方と、作成の重要な段階で正しい判断を下すための実践的なスキルを備えた、セキュリティ意識の高いエンジニアとして成長し、成長する機会を与える時です。