Сижу в отпуске, пытаюсь забыть логи, инциденты и алерты. Но профессиональная деформация — штука коварная. Она не спрашивает, отдыхаешь ты или нет.
Рядом парукуется электрокар. Их тех, что тихие, гладкие, и напичканные датчиками. Водитель вышел за кофе. Двери закрыты, система спит. Тишина.
Я замечаю парня с ноутбуком. Подошёл, сел на лавочку, пальцы летают по клавиатуре. Не просто печатает, а именно долбит. Рядом с ним стоит тот самый электрокар. На экране бортового компьютера мигает какое-то служебное меню, которое обычный юзер даже не увидит.
Я затаил дыхание. Вот оно!
Вспомнил старую школу. Раньше, чтобы угнать машину, нужна была монтировка, лом или «скрипка» (набор отвёрток для любителей). Сейчас угонщик — это не гопник с района, это чувак в худи, который знает разницу между CAN-шиной и Ethernet’ом лучше, чем свой день рождения. Современный автопром — это просто IoT-устройство на колесах. Камеры, микрофоны, GPS, Bluetooth, Wi-Fi, подключение к облаку. Это не машина, это смартфон с четырьмя колесами и плохой защитой. Производители гонятся за фичами: «подключи телефон», «обнови ПО по воздуху», «управляй климатом из приложения». А безопасность? Лучше промолчу.
Я подошёл. Он даже бровью не повел.
— Что ломаем? — спрашиваю я, сдвинув брови.
— Да вот, API шлюза тестирую, — бурчит он, не отрываясь от экрана. — Нашёл интересную уязвимость в протоколе аутентификации. Можно теоретически перехватить команду на открытие дверей.
«Какой ты молодец», — подумал я и приготовился звонить в полицию, но из кафе вышел тот самый хозяин электрокара. Подходит к нам, улыбается.
— Ну что, получилось? — спрашивает он «хакера».
— Ага, — отвечает тот, закрывая ноутбук. — Токен сессии не инвалидируется после выхода из зоны действия брелока. Нужно патчить.
Оказалось, этот парень — пентестер. Его нанял сам владелец автомобиля (крупный чел, владеющий сетью каршеринга), чтобы тот регулярно проверял его личный транспорт и флот на прочность. Они тут проводили «полевые учения». Никакого криминала, только чистый аудит безопасности.
Владелец угостил нас обоих кофе. Мы обсудили, почему производители до сих пор используют дефолтные пароли в диагностических портах и как сложно объяснить маркетологам, что «удобство» не должно стоить цены взлома всей сети.
Так что мир меняется. Монтировки и груши сменились эксплойтами, а угонщики стали востребованными специалистами по кибербезопасности.
Все придумал, как обычно #злой_леший
😠😠😠😠😠
