API on Wheels: Ein Roadtrip durch riskante Schwachstellen

Wann haben Sie das letzte Mal einen Roadtrip gemacht? Je nachdem, wo auf der Welt Sie sich befinden, mag das erst kürzlich wieder ein Thema geworden sein, aber es gibt wirklich nichts Besseres als die offene Straße und einen Tapetenwechsel.

Außer natürlich, Sie sind eine Software-Schwachstelle.

Wir haben ausführlich über die Gefahren durch nachlässige Cybersicherheitsmaßnahmen in der Automobilindustrie gesprochen. Unternehmen wie Tesla und Jeep arbeiten bereits mit Sicherheitsforschern zusammen, um ausnutzbare Fehler zu finden, die bei einer späten Entdeckung zu ernsthaften Sicherheitsproblemen hätten führen können. Wir haben auch darüber gesprochen, dass sich die Softwaresicherheit generell noch im Wilden Westen befindet. Software ist überall, und für viele vernetzte Geräte, Fahrzeuge und deren Peripheriegeräte gehen die erforderlichen Sicherheitsmaßnahmen weit über die Aufklärung und Wachsamkeit der Endnutzer hinaus.

API-Schwachstellen werden zunehmend tückischer, wobei der bösartige API-Datenverkehr allein in den letzten sechs Monaten um mehr als 300 % gestiegen ist. Das ist ziemlich besorgniserregend, wenn man bedenkt, dass moderne Fahrzeuge im Grunde APIs auf Rädern sind. Sie sind vernetzt, kommunizieren intensiv mit anderen Anwendungen und könnten als einer von vielen anfälligen Endpunkten Ziel von Angriffen werden.

Wenn Ihr E-Auto-Ladegerät zu viel verrät

Vernetzte Fahrzeuge stehen wegen ihrer Softwaresicherheit unter Beobachtung, aber was ist mit ihrem Zubehör? Das geniale Team von Pen Test Partners deckte mehrere Schwachstellen auf Code-Ebene bei sechs Marken für Elektroauto-Ladestationen sowie in einem weit verbreiteten öffentlichen Ladenetzwerk auf.

Wen interessiert schon ein Ladegerät? Was könnte ein Angreifer gewinnen? Leider ist einer der Nachteile leistungsstarker, tiefgreifender Technologie, die Überstunden für uns leistet, dass diese Geräte im Allgemeinen zu viel preisgeben. E-Auto-Ladegeräte kommunizieren über APIs in einer Cloud-Umgebung mit mobilen Begleit-Apps, und all das kann anfällig für Exploits sein, wenn es nicht sicher programmiert und konfiguriert ist. APIs öffnen konstruktionsbedingt Tür und Tor für die Kommunikation zwischen Apps. Wenn diese Endpunkte nicht sorgfältig konfiguriert sind, könnten zu viele Informationen geteilt oder – noch schlimmer – über eine anfällige App-Hintertür darauf zugegriffen werden.

Pen Test Partners entdeckte extrem gefährliche Schwachstellen, die dazu hätten führen können, dass Millionen von E-Auto-Ladegeräten gekapert werden. Es gab mehrere Fälle von API-Autorisierungsproblemen, die eine Kontoübernahme und Fernsteuerung bzw. den Fernzugriff auf ein Konto ermöglichten, sowie die Möglichkeit, das Stromnetz durch die synchronisierte Steuerung mehrerer E-Auto-Geräte zu stören. Diese Probleme wurden zwar behoben, aber die Tatsache, dass nur wenige Zeilen Code zwischen Angreifern und der vollständigen Störung der Kernfunktionalität und der Service-Infrastruktur standen, ist zutiefst besorgniserregend.

Es ist auch nicht so, als wäre das ein Hexenwerk. Wallbox hatte zum Beispiel zwei unsichere direkte Objektverweise (IDOR) in ihrer API, die bei einer Ausnutzung eine Kontoübernahme ermöglicht hätten. IDOR fällt unter fehlerhafte Authentifizierung, die auf Platz zwei der OWASP Top 10 API-Schwachstellen steht. Das ist ein alltägliches Problem, das auf ein Versagen bei der Vermittlung und Implementierung von Qualitätscode hindeutet. Wir können nicht weiterhin sensible Geräte und Apps über eine Vielzahl fehlerhafter Kommunikationswege verbinden, und genau das sind schlecht konfigurierte APIs.

Sicheres Arbeiten mit Automotive-APIs erfordert Bildung und Geduld

Das Frustrierende an der API-Sicherheit ist, dass sie als neue Welle der Cybersicherheitskatastrophe angepriesen wird, die es zu entschärfen gilt, während es sich in Wirklichkeit nur um ein neues Umfeld für dieselben alten Probleme handelt, die wir seit Jahrzehnten in der Webentwicklung sehen. Cross-Site Scripting, Injection, Fehlkonfiguration: Kommt Ihnen das bekannt vor?

Aktuelle Indikatoren von Organisationen wie dem NIST sind vielversprechend und zeigen, dass Softwaresicherheit stärker reguliert und standardisiert wird. Wir haben jedoch immer noch bei weitem nicht genug Experten, um auch nur einen Bruchteil der notwendigen Absicherungen für die Flut an Code zu leisten, die täglich geschrieben wird. Entwickler müssen in ihrem Sicherheitswissen und ihrer Verantwortung gestärkt werden, und es liegt nicht an ihnen, die Initiative zu ergreifen. Wenn Sie ein Team haben, das an eingebetteten Systemen in Geräten arbeitet oder an APIs, die ein Auto in das ferngesteuerte Spielzeug von jemandem verwandeln könnten, dann müssen Sie sicherstellen, dass sie mit dem ausgestattet sind, was sie brauchen, um die Einführung gängiger Schwachstellen zu verhindern.

Die Unterschiede zwischen einer sicheren API und einer, die aufgrund von XSS anfällig ist, sind beispielsweise minimal, aber Entwicklern müssen die Nuancen aufgezeigt werden, die ein schlechtes Codierungsmuster von einem guten unterscheiden. Darüber hinaus sind nachlässige Entwicklungsprozesse bei API-Konfigurationen oft an der Tagesordnung, wobei vielen weitreichende Berechtigungen eingeräumt werden, die weit über das für die Erfüllung ihrer Aufgaben erforderliche Minimum hinausgehen. Dies eröffnet eine riesige zusätzliche Angriffsfläche und das Potenzial für Datendiebstahl. Diese Faktoren müssen während der Erstellung berücksichtigt werden, aber wenn sie nicht in akzeptierten Entwicklungspraktiken verankert sind, wird der Prozess weiterhin ein Risikofaktor bleiben.

Vermeidung des neuen Spielplatzes für Bedrohungsakteure

Die dramatische Zunahme von APIs als Ziel von Bedrohungsakteuren zeigt, dass sich die Aufmerksamkeit auf vermeintlich leicht erreichbare Ziele verlagert... und in diesem Fall könnte dies ein Weg zu bedeutender Beute sein, zusätzlich zu potenziellen Lebensgefahren in Form einer möglichen Fahrzeugübernahme.

Die API-Sicherheit dem Zufall zu überlassen, führt zwangsläufig zu späteren Problemen – im schlimmsten Fall mit verheerenden Folgen, im besten Fall mit frustrierender Nacharbeit und geringer Performance. Sie sollte eine entscheidende Überlegung innerhalb des Kommunikations-Ökosystems von Software sein und ganz oben auf der Liste eines erstklassigen Sicherheitsprogramms stehen. Der Schlüssel dazu ist, jede API so zu behandeln, als wäre sie ein Mensch, und zu bewerten, welchen Zugriff sie haben sollte. Sollte Jim aus der Buchhaltung Zugriff auf alle sensiblen Rechtsdokumente des gesamten Unternehmens haben? Wahrscheinlich nicht, und im Allgemeinen wird die Zugriffskontrolle bei realem Personal korrekt bestimmt. Das Gleiche lässt sich nicht für APIs sagen, und es ist wichtig, sich daran zu erinnern, dass sie mächtige Plaudertaschen sind, die jedem Ihre Geheimnisse verraten, wenn sie nicht mit denselben Zero-Trust-Methoden wie alles andere konfiguriert werden.

Das Unternehmen muss in höchster Alarmbereitschaft sein, und Entwickler sind die Augen vor Ort, die benötigt werden, um Qualitätscode zu erstellen, der frei von diesen anfälligen Portalen in den Abgrund ist. Es ist an der Zeit, ihnen die Möglichkeit zu geben, als sicherheitsbewusste Ingenieure zu wachsen und zu gedeihen, mit der richtigen Einstellung für dieses Ziel und den praktischen Fähigkeiten, um in kritischen Phasen der Erstellung die richtigen Entscheidungen zu treffen.