Хакер утверждает, что стоит за отзывом Tesla доступа к своим автомобилям для сторонних приложений
Многие владельцы Tesla, использующие сторонние приложения для мониторинга, обнаружили, что последние несколько дней они не работают, поскольку Tesla, по-видимому, отозвала многие токены входа – хакер утверждает, что он стоит за этим действием после того, как якобы получил доступ к нескольким учетным записям Tesla.
У Tesla нет официального набора для разработчиков или магазина приложений, но у нее есть неофициальный API, который привел к появлению рынка сторонних приложений. Эти приложения предоставляют владельцам Tesla дополнительные функции, которых нет в стандартных, такие как журналы поездок и сеансов зарядки, отчеты о состоянии аккумулятора и многое другое.
Чтобы эти приложения получили доступ к вашим данным, им либо требуются данные для входа в вашу учетную запись Tesla, либо токен аутентификации, связанный с вашей учетной записью.
Вчера несколько владельцев Tesla, использующих эти приложения, например Tezlab, сообщили, что они больше не работают.
Tesla, по-видимому, отозвала множество токенов аутентификации досрочно:
Приблизительно в 6:30 UTC мы наблюдали одновременную отмену нескольких тысяч токенов аутентификации Tesla со стороны Tesla. Многим участникам TezLab потребуется снова войти в систему, чтобы восстановить связь со своими автомобилями. Приносим извинения за возможные неудобства!
— TezLab (@TezLabApp) January 12, 2022
Тайлер Корсаир, который управляет Teslascope, еще одним сторонним приложением, говорит, что Tesla, по-видимому, перешла на новую версию своего токена (через Twitter):
Похоже, Tesla только что аннулировала свои токены V2, что фактически приведет к прекращению работы всех экземпляров TeslaMate, поскольку они еще не перешли на V3 (OAuth/SSO).
Решение так же просто, как повторное подключение вашей учетной записи Tesla к любым используемым вами сторонним приложениям. Однако это, похоже, не затрагивает всех владельцев Tesla, использующих сторонние приложения, а в основном новые токены.
Дэвид Коломбо утверждает, что именно он стоит за отзывом токена Tesla и досрочным переходом на токен V3:
Просто для уточнения: этот комментарий был сделан в шутку, потому что мой отчет команде безопасности Tesla, по-видимому, привел к отзыву множества токенов.@TezLabApp здесь вообще не участвует и не является источником каких-либо утечек токенов авторизации.
— David Colombo (@david_colombo_) January 12, 2022
Ранее Коломбо заявлял, что ему удалось получить доступ к нескольким учетным записям владельцев Tesla, что позволяет ему входить в их приложение Tesla и осуществлять некоторый контроль над их автомобилями.
Он туманно выражался о том, как ему удалось получить доступ, но сказал, что это произошло не из-за собственной безопасности Tesla, что заставило многих предположить, что он получил доступ к учетной записи через стороннее приложение.
Это служит хорошим напоминанием о том, что нужно быть осторожным с тем, кому вы предоставляете свою информацию и как вы это делаете.
