API auf Rädern: Ein Road Trip durch riskante Schwachstellen

Wann haben Sie das letzte Mal einen Roadtrip gemacht? Je nachdem, wo auf der Welt Sie sich befinden, ist es vielleicht erst kürzlich wieder auf die Tagesordnung gekommen, aber es gibt wirklich nichts Schöneres als die offene Straße und einen Tapetenwechsel. 

Es sei denn, Sie sind eine Software-Schwachstelle, natürlich.

Wir haben ausführlich über die Gefahren gesprochen, die von laxen Cybersicherheitsmaßnahmen in der Automobilindustrie ausgehen. Unternehmen wie Tesla und Jeep arbeiten bereits mit Sicherheitsforschern zusammen und haben ausnutzbare Fehler gefunden, die zu ernsthaften Sicherheitsproblemen hätten führen können, wenn sie nicht frühzeitig entdeckt und behoben worden wären. Wir haben auch darüber gesprochen, dass sich die Softwaresicherheit im Allgemeinen noch im Wilden Westen befindet. Software ist allgegenwärtig, und für viele vernetzte Geräte, Fahrzeuge und deren Peripheriegeräte gehen die erforderlichen Sicherheitsmaßnahmen weit über die Aufklärung und Wachsamkeit der Endnutzer hinaus.

API-Schwachstellen werden besonders heimtückisch, da der bösartige API-Verkehr allein in den letzten sechs Monaten um mehr als 300 % zugenommen hat. Dies ist ziemlich besorgniserregend, da moderne Fahrzeuge im Wesentlichen APIs auf Rädern sind. Sie sind mit anderen Anwendungen verbunden und können als einer von vielen anfälligen Endpunkten in gezielte Angriffe verwickelt werden. 

Wenn Ihr EV-Ladegerät zu viel sagt

Vernetzte Fahrzeuge sind hinsichtlich ihrer Softwaresicherheit unter die Lupe genommen worden, aber was ist mit ihrem Zubehör? Das geniale Team von Pen Test Partners hat mehrere Schwachstellen auf Code-Ebene in sechs Marken für das Aufladen von Elektrofahrzeugen zu Hause sowie in einem weit verbreiteten öffentlichen EV-Ladenetz aufgedeckt.

Wer interessiert sich für ein Ladegerät? Was könnte ein Angreifer davon haben? Leider ist eine der Kehrseiten von leistungsstarker, tiefgreifender Technologie, die Überstunden für uns macht, dass diese Geräte im Allgemeinen einen schweren Fall von TMI haben. EV-Ladegeräte kommunizieren über eine API in einer cloudbasierten Umgebung mit den zugehörigen mobilen Anwendungen, und all das kann ausgenutzt werden, wenn es nicht sicher kodiert und konfiguriert ist. APIs sind so konzipiert, dass sie der Kommunikation zwischen Apps Tür und Tor öffnen, und wenn diese Endpunkte nicht sorgfältig konfiguriert sind, könnte zu viel geteilt werden - oder schlimmer noch - es könnte über eine anfällige App-Hintertür zugegriffen werden.

Pen Test Partners entdeckte extrem gefährliche Schwachstellen, die dazu hätten führen können, dass Millionen von Ladestationen gekapert worden wären, mehrere Fälle von API-Autorisierungsproblemen, die die Übernahme von Konten und die Fernsteuerung/den Fernzugriff auf ein Konto ermöglicht hätten, und sogar die Möglichkeit, das Stromnetz durch die synchronisierte Steuerung mehrerer Elektrogeräte zu unterbrechen. Diese Probleme wurden zwar alle behoben, aber die Tatsache, dass nur einige wenige Codezeilen zwischen den Angreifern und einer vollständigen Unterbrechung der Kernfunktionen und der Serviceinfrastruktur standen, ist äußerst besorgniserregend. 

Es ist auch nicht so, dass es sich um ein Superhirn handelt. Wallbox zum Beispiel hatte zwei unsichere direkte Objektreferenzen (IDOR) in ihrer API, die bei Ausnutzung eine Kontoübernahme ermöglicht hätten. IDOR fällt unter unsichere Authentifizierung, die auf Platz zwei der OWASP Top 10 API-Schwachstellen steht. Diese Schwachstelle ist weit verbreitet, was auf ein Versagen beim Erlernen und Implementieren von Qualitätscode hinweist. Wir können nicht weiterhin sensible Geräte und Anwendungen über eine Vielzahl fehlerhafter Kommunikationswege miteinander verbinden, und schlecht konfigurierte APIs sind genau das. 

Sicheres Arbeiten mit Automobil-APIs erfordert Ausbildung und Geduld

Das Frustrierende an der API-Sicherheit ist, dass sie als eine neue Welle von Cybersecurity-Katastrophen angepriesen wird, die es zu entschärfen gilt, obwohl sie in Wirklichkeit nur ein neuer Rahmen für die gleichen alten Probleme ist, die wir seit Jahrzehnten in der Webentwicklung beobachten. Cross-Site-Scripting, Injektion, Fehlkonfiguration: Kommt Ihnen das bekannt vor?

Jüngste Indikatoren von Organisationen wie NIST sind vielversprechend und zeigen, dass die Softwaresicherheit immer stärker reguliert und standardisiert wird. Allerdings verfügen wir immer noch nicht über die erforderlichen Experten, um die Flut von Code, die täglich geschrieben wird, auch nur annähernd zu schützen. Die Entwickler müssen in ihren Sicherheitskenntnissen und ihrer Verantwortung gestärkt werden, und es ist nicht an ihnen, die Initiative zu ergreifen. Wenn Sie ein Team haben, das an eingebetteten Systemen in Haushaltsgeräten oder an APIs arbeitet, die ein Auto in ein ferngesteuertes Spielzeug verwandeln könnten, dann müssen Sie sicherstellen, dass sie mit dem nötigen Wissen ausgestattet sind, um die Einführung allgemeiner Schwachstellen zu verhindern. 

Die Unterschiede zwischen einer sicheren API und einer durch XSS anfälligen API sind beispielsweise minimal, aber den Entwicklern müssen die Nuancen aufgezeigt werden, die ein schlechtes Codierungsmuster von einem guten unterscheiden. Hinzu kommt, dass faule Entwicklungsprozesse bei API-Konfigurationen oft zur Tagesordnung gehören, da viele von ihnen über die Mindestanforderungen hinausgehende Berechtigungen erhalten, um ihre Aufgaben zu erfüllen, was eine große zusätzliche Angriffsfläche und potenziellen Datendiebstahl eröffnet. Diese Faktoren müssen bei der Erstellung berücksichtigt werden, aber wenn sie nicht in akzeptablen Entwicklungspraktiken verankert sind, wird der Prozess auch weiterhin ein Risikofaktor sein.

Die neue Spielwiese der Bedrohungsakteure meiden

Die drastische Zunahme von APIs als Ziel von Bedrohungsakteuren zeigt, dass die Aufmerksamkeit auf eine vermeintlich niedrig hängende Frucht gerichtet ist... und in diesem Fall ist es eine, die eine Pipeline zu einer bedeutenden Beute sein könnte, zusätzlich zu den potenziellen Bedrohungen für das Leben in Form einer potenziellen Fahrzeugübernahme. 

Die API-Sicherheit dem Zufall zu überlassen, ist ein todsicherer Weg, um später Probleme zu verursachen, die schlimmstenfalls verheerende Folgen haben können und bestenfalls zu frustrierender Nacharbeit und geringer Leistung führen. Sie sollte als Teil des Kommunikations-Ökosystems von Software eine wichtige Rolle spielen und ganz oben auf der Liste eines erstklassigen Sicherheitsprogramms stehen. Der Schlüssel dazu ist, jede API wie einen Menschen zu behandeln und zu beurteilen, welchen Zugriff sie haben sollte. Sollte Jim aus der Buchhaltung Zugriff auf alle sensiblen Rechtsdokumente für das gesamte Unternehmen haben? Wahrscheinlich nicht, und im Allgemeinen wird die Zugriffskontrolle im Falle von echten Mitarbeitern korrekt festgelegt. Das Gleiche gilt für APIs, und es ist wichtig, daran zu denken, dass sie mächtige Plaudertaschen sind, die jedem Ihre Geheimnisse verraten, wenn sie nicht mit den gleichen Null-Vertrauens-Methoden wie alles andere konfiguriert werden.

Das Unternehmen muss in höchster Alarmbereitschaft sein, und die Entwickler sind die Augen, die vor Ort gebraucht werden, um Qualitätscode zu erstellen, der frei von diesen anfälligen Portalen der Verzweiflung ist. Es ist an der Zeit, ihnen die Möglichkeit zu geben, als sicherheitsbewusste Ingenieure zu wachsen und zu gedeihen, mit der richtigen Einstellung zu diesem Ziel und den praktischen Fähigkeiten, um in kritischen Phasen der Entwicklung die richtigen Entscheidungen zu treffen.