#HITB2024BKK D2 - Использование уязвимостей в бортовом браузере: новый вектор атаки в автономных ...

По мере того, как автомобильная промышленность стремительно движется к эре полностью автономных транспортных средств, сложность автомобильных развлекательных систем, особенно тех, которые интегрируют веб-браузеры в головное устройство, значительно возросла. Эта интеграция не только улучшает пользовательский опыт, но и создает значительные риски безопасности, потенциально ставя под угрозу конфиденциальность водителя и безопасность транспортного средства. Несмотря на критическую важность этих систем, существует острая нехватка ресурсов, выделяемых на исследование уязвимостей, фаззинг браузеров и создание эксплойтов, нацеленных на автомобильные браузеры. Восполняя этот критический пробел, наше исследование углубляется в неизученную область безопасности автомобильных браузеров, демонстрируя успешное выявление, отправку и устранение уязвимости браузера в головном устройстве электромобиля (EV). Сосредоточившись на кастомизированном браузере Chromium, встроенном в автомобиль одного из производителей, с которыми я работал ранее (настоящая машина), мы представляем подробное исследование по созданию эксплойта переполнения кучи. Эта демонстрация выявила уязвимость таких систем к сложным кибератакам, подчеркивая необходимость ответственного раскрытия информации и сотрудничества с производителями для повышения безопасности транспортных средств. Участникам будет представлен всесторонний обзор процесса разработки эксплойтов, начиная с первоначального исследования уязвимостей и заканчивая созданием эксплойта переполнения кучи. Мы подробно рассмотрим используемые инструменты и методы, предоставив информацию о методологии, применяемой для выявления уязвимостей в браузере Android Auto. Кроме того, презентация предоставит дорожную карту для исследователей безопасности по настройке виртуальной среды для безопасного и эффективного создания и тестирования эксплойтов, подчеркнув практические аспекты исследований в области кибербезопасности в автомобильной отрасли. Эта сессия выделяется как фундаментальное исследование нового вектора атаки в автомобильной сфере, подчеркивающее острую необходимость перехода отрасли к более надежным мерам кибербезопасности. В ходе этой дискуссии мы стремимся стимулировать разработку инновационных протоколов безопасности и способствовать сотрудничеству между производителями, исследователями и специалистами по кибербезопасности. Наша цель — вместе противостоять этим новым угрозам, обеспечивая безопасность будущего транспорта в цифровую эпоху и гарантируя безопасность и конфиденциальность пользователей в эпоху автономных транспортных средств. === Рави Раджпут — выдающийся эксперт и новатор в области кибербезопасности, известный своими глубокими знаниями в сфере телекоммуникационной и автомобильной безопасности, а также мастерством в разработке эксплойтов нулевого дня для платформ Windows, Linux и ARM. Его лидерство в сложных операциях по обеспечению безопасности и талант к разработке сложных эксплойтов сделали Рави визионером в области кибербезопасности, предлагающим прагматичные решения для самых сложных задач отрасли. Как создатель AutoHackOS, специализированной платформы для тестирования на проникновение в автомобильной промышленности, Рави оказал значительное влияние на кибербезопасность. Представленная на престижной конференции Blackhat, AutoHackOS получила мировое распространение, миллионы загрузок которой позволили исследователям расширить свои возможности по тестированию на проникновение в автомобили. Эта система получила признание за свои специализированные инструменты и скрипты, которые эффективно выявляют и устраняют уязвимости, особенно в телематике, что делает её огромным успехом в области инноваций. Кроме того, Рави играет важную роль в Telecom Village во время DEFCON, ведущей мировой конференции по хакингу. Он руководит процессами отбора заявок на участие в конференциях Capture The Flag (CTF) и Call For Papers (CFP), создавая динамичную образовательную среду для энтузиастов кибербезопасности, где они могут продемонстрировать и расширить свои навыки. Рави — известный публичный оратор, часто делящийся своими идеями на международных площадках, таких как NullCon, HITCON и Bsides, освещая темы от реверс-инжиниринга до передовых стратегий безопасности в автомобильной промышленности. Его вклад продолжает находить отклик в глобальном сообществе кибербезопасности, вдохновляя профессионалов и способствуя развитию этой области.