번호판만 알면 문이 열린다: 샤브스와 샘 커리가 찾은 자동차 브랜드 백엔드 인증 우회

글에 박힌 영상 소리 진짜 크니까 스피커 줄이고 봐라. 비프음이 장난 아님.

위에 사람 말 맞음. 작성자가 조용한 버전으로 다시 올렸다고 댓글에 썼더라.

제목이 왜 저렇게 꼬였는지 모르겠는데 뜻은 '대형 제조사 차량을 전 세계에서 원격 해제'라는 거고 브랜드는 안 밝혔음.

브랜드 숨기는 건 이해가 안 된다. 클릭베이트 할 거면 차라리 글 중간에라도 까지.

샘 커리 쪽 글 보면 지금까지 혼다, 닛산, 현대, 제네시스, 포드, 포르쉐, 스바루 다 건드려봤는데 Automaker #1/#2는 처음이라고 하더라. 포지락 경로 혼동에 RCE까지 붙음.

관리자 패널 색감 보면 토요타 쪽 같던데.

LLM한테 물어봤더니 오픈소스 대체 클라이언트 문서에 같은 API가 적혀 있어서 토요타/렉서스라고 2분 만에 답하더라. 확인까지 되고 좀 무서움.

영상 배경 파란 차는 5세대 RAV4 페이스리프트임. 미러랑 헤드램프 모양이 딱 그렇다.

'아무 차나'는 과장임. 내 2009 캠리는 해당 없고 형네 4세대 힐럭스도 아님.

데모 영상 올린 건 좀 아쉽다. 잠금음만 들어도 차종 맞추는 사람은 있음.

정보 숨긴다고 보안이 좋아지는 건 아니지. 자물쇠도 숙련된 사람 앞에서는 그냥 열림.

보안 엔지니어 뽑아서 제자리에 앉히는 건 지옥인데 해커는 널렸다. 정부가 차 부품 중앙 등록제 같은 걸 만들어야 도난 부품이 추적된다고 본다.

애초에 커넥티드카가 필요한지부터 다시 봐야 하는 거 아님?

차가 인터넷에 붙는 순간 보안은 끝난 거임. 20년 전 서버 사이드 CRUD 앱은 인증 안 된 요청을 그냥 쳐냈는데 지금은 다 클라이언트로 밀어서 API가 노출된다.

블로그에 책임 공개 얘기가 없어서 이상했는데, 샘 커리 쪽 글에는 신고하고 몇 시간 만에 고쳤다고 적혀 있더라.

몇 주에 여러 명 붙어야 되는 공격이면 일상 도둑 상대로는 크게 걱정 안 해도 됨. 그쪽은 그냥 창문 깨고 가져감.