{"id":19494,"date":"2022-05-30T11:29:12","date_gmt":"2022-05-30T14:29:12","guid":{"rendered":"https:\/\/www.kaspersky.com.br\/blog\/?p=19494"},"modified":"2022-05-30T11:29:12","modified_gmt":"2022-05-30T14:29:12","slug":"automotive-apps-security","status":"publish","type":"post","link":"https:\/\/www.kaspersky.com.br\/blog\/automotive-apps-security\/19494\/","title":{"rendered":"Apps em autom\u00f3veis: quem est\u00e1 com a chave do seu carro?"},"content":{"rendered":"

Qualquer carro nos dias atuais \u00e9 basicamente um computador sobre rodas. E muitos tamb\u00e9m est\u00e3o conectados \u00e0 internet. Como resultado, al\u00e9m dos pr\u00f3prios ve\u00edculos, as montadoras agora est\u00e3o desenvolvendo aplicativos para control\u00e1-los remotamente. Eles podem ser usados \u200b\u200bpara verificar a localiza\u00e7\u00e3o do carro, ligar o aquecimento ou o ar condicionado com anteced\u00eancia, travar e destravar as portas e muito mais.<\/p>\n

No entanto, usu\u00e1rios diferentes t\u00eam necessidades muito diferentes e n\u00e3o \u00e9 poss\u00edvel unificar todos os recursos em um \u00fanico aplicativo. Assim, al\u00e9m do software das montadoras, tamb\u00e9m existem aplicativos de terceiros para todos os gostos e carteiras. Claro, isso \u00e9 bastante pr\u00e1tico. Mas \u00e9 seguro? Nossos pesquisadores decidiram investigar<\/a>\u2026<\/p>\n

Quem est\u00e1 no comando do seu carro?<\/h2>\n

Para que o carro saiba que \u00e9 realmente voc\u00ea que est\u00e1 usando o aplicativo, \u00e9 necess\u00e1rio inserir um nome de usu\u00e1rio e uma senha. Se voc\u00ea usa o pr\u00f3prio aplicativo da montadora, suas credenciais n\u00e3o s\u00e3o passadas para terceiros, o que \u00e9 algo positivo. E existem padr\u00f5es de seguran\u00e7a para fabricantes de autom\u00f3veis nos quais seus produtos devem atender.<\/p>\n

Se voc\u00ea escolher um aplicativo de terceiros com alguns recursos exclusivos que n\u00e3o existem no aplicativo oficial, de alguma forma ele precisar\u00e1 acessar o ve\u00edculo ou seus dados de telemetria. Alguns aplicativos usam solu\u00e7\u00f5es especialmente desenvolvidas pela montadora para esse fim, que n\u00e3o exigem suas credenciais e t\u00eam acesso limitado ao ve\u00edculo, permitindo que voc\u00ea use suas funcionalidades, mas impedindo-os de fazer coisas perigosas, como destravar as portas. Esses aplicativos s\u00e3o mais ou menos seguros, mas ainda s\u00e3o poucos.<\/p>\n

A maioria dos aplicativos de carros conectados exige o nome de usu\u00e1rio e a senha da sua conta com o fabricante; ou seja, eles obt\u00eam acesso total \u00e0 sua conta. Ao mesmo tempo, os requisitos de seguran\u00e7a aplic\u00e1veis \u200b\u200b\u00e0s montadoras n\u00e3o se estendem a esses aplicativos, e \u00e9 a\u00ed que surge o problema.<\/p>\n

Confian\u00e7a \u00e9 tudo<\/h2>\n

O foco principal do estudo foi nos aplicativos m\u00f3veis de terceiros que usam a conta do propriet\u00e1rio do ve\u00edculo com o fabricante. Infelizmente, mais da metade dos desenvolvedores de aplicativos n\u00e3o alertam sobre os riscos de compartilhar a conta. Aqueles que avisam os usu\u00e1rios, garantem que eles n\u00e3o armazenar\u00e3o as credenciais ou as armazenar\u00e3o de forma criptografada. Alguns deles enfatizam que o nome de usu\u00e1rio e a senha s\u00e3o necess\u00e1rios apenas para obter um token de autoriza\u00e7\u00e3o. No entanto, um token permite que qualquer pessoa use a conta em seu nome, assim como com suas credenciais de login, e tamb\u00e9m pode vazar se armazenado incorretamente. Al\u00e9m disso, n\u00e3o h\u00e1 como verificar como suas credenciais s\u00e3o realmente tratadas: voc\u00ea confia nos desenvolvedores ou n\u00e3o usa o aplicativo.<\/p>\n

Al\u00e9m disso, os desenvolvedores de 14% dos aplicativos que nossos pesquisadores investigaram se mostraram imposs\u00edveis de serem contatados em caso de problemas: os detalhes de contato em seus sites estavam ausentes ou apontavam para p\u00e1ginas de m\u00eddia social exclu\u00eddas.<\/p>\n

\u00c9 uma situa\u00e7\u00e3o semelhante com os web services: o usu\u00e1rio entrega suas credenciais sem saber ao certo como elas ser\u00e3o armazenadas e processadas. As solu\u00e7\u00f5es de c\u00f3digo aberto s\u00e3o mais transparentes a esse respeito: usu\u00e1rios experientes em tecnologia podem pelo menos estudar o c\u00f3digo. No entanto, para pessoas comuns sem forma\u00e7\u00e3o t\u00e9cnica, ser\u00e1 extremamente dif\u00edcil descobrir isso.<\/p>\n

Outro problema \u00e9 que tamb\u00e9m existem servi\u00e7os intermedi\u00e1rios que conectam os sistemas da montadora a aplicativos de terceiros. Eles s\u00e3o usados \u200b\u200bpor desenvolvedores de aplicativos para carros e servi\u00e7os online, mas podem ser algo que os usu\u00e1rios n\u00e3o t\u00eam a menor ideia. E \u00e9 importante entender que, se o aplicativo automotivo de terceiros escolhido funcionar por meio de um servi\u00e7o intermedi\u00e1rio, os desenvolvedores de ambos obter\u00e3o suas credenciais.<\/p>\n

Apps de terceiros que acessam seu carro: qual \u00e9 o risco?<\/h2>\n

Se suas credenciais n\u00e3o forem armazenadas com muita seguran\u00e7a, os invasores poder\u00e3o acess\u00e1-las. Eles provavelmente n\u00e3o conseguir\u00e3o roubar seu carro, mas podem controlar remotamente os v\u00e1rios sistemas: portas e janelas, controle clim\u00e1tico, buzina, far\u00f3is, etc. pode ser desagrad\u00e1vel, e at\u00e9 bastante perigoso.<\/p>\n

Isso pode parecer um cen\u00e1rio do tipo James Bond: quem iria querer acabar com voc\u00ea de uma maneira t\u00e3o elaborada? Mas se esses dados vazarem para o dom\u00ednio p\u00fablico, podem cair nas m\u00e3os de \u201cengra\u00e7adinhos\u201d em qualquer lugar do mundo, que s\u00e3o muitos, que s\u00f3 querem se divertir e nem percebem quais podem ser as consequ\u00eancias.<\/p>\n

Al\u00e9m disso, se um aplicativo for hackeado, os invasores ter\u00e3o acesso a todos os dados coletados, incluindo geolocaliza\u00e7\u00e3o. E isso pode ser usado para rastrear os movimentos dos propriet\u00e1rios de carros \u2013 novamente, de qualquer lugar do mundo.<\/p>\n

Aqui est\u00e1 um exemplo recente. N\u00e3o muito tempo atr\u00e1s, o especialista em seguran\u00e7a de 19 anos David Colombo descobriu<\/a> acidentalmente uma vulnerabilidade no aplicativo TeslaMate para coletar, armazenar e visualizar dados de telemetria de ve\u00edculos Tesla. Ele conseguiu descobrir onde os propriet\u00e1rios dos carros moravam, onde dirigiam e a que velocidade, onde os ve\u00edculos estavam estacionados, onde pagavam ped\u00e1gios e quais atualiza\u00e7\u00f5es foram instaladas nesses carros.<\/p>\n

Embora o aplicativo em si tenha sido projetado apenas para coletar dados \u2013 n\u00e3o para controlar o carro, Colombo conseguiu fazer exatamente isso. E tudo porque o armazenamento contendo as credenciais do usu\u00e1rio era acess\u00edveis com a senha padr\u00e3o, enquanto algumas informa\u00e7\u00f5es podiam ser recuperadas sem autoriza\u00e7\u00e3o alguma. Colombo relatou o problema aos desenvolvedores do aplicativo e eles o corrigiram de forma relativamente r\u00e1pida. Apesar do final feliz, a hist\u00f3ria mostra que aplicativos terceirizados de carros podem n\u00e3o ser t\u00e3o confi\u00e1veis \u200b\u200bquanto afirmam os desenvolvedores.<\/p>\n

Ent\u00e3o, eu devo parar de usar apps de terceiros?<\/h2>\n

Tudo isso n\u00e3o quer dizer que aplicativos de terceiros nunca devam ser usados \u200b\u200bem nenhuma circunst\u00e2ncia. De forma alguma todos os desenvolvedores s\u00e3o indiferentes \u00e0 seguran\u00e7a dos dados do usu\u00e1rio. Como observamos, os criadores do TeslaMate responderam rapidamente ao relat\u00f3rio de vulnerabilidade e corrigiram o problema. E, como mencionado, existem aplicativos que n\u00e3o exigem acesso total \u00e0 sua conta com a montadora.<\/p>\n

Dito isso, se voc\u00ea deseja usar recursos que faltam no aplicativo nativo do seu ve\u00edculo, tenha cuidado ao escolher: se poss\u00edvel, escolha um aplicativo de um desenvolvedor confi\u00e1vel, que pelo menos n\u00e3o oculte seus dados de contato e respeite o conceito de transpar\u00eancia. Procure relat\u00f3rios de especialistas em seguran\u00e7a e feedback de usu\u00e1rios experientes em tecnologia que entendem como tudo funciona e quais s\u00e3o os riscos.<\/p>\n

Se voc\u00ea j\u00e1 est\u00e1 usando um aplicativo de terceiros, mas deseja abandon\u00e1-lo, observe que simplesmente desinstal\u00e1-lo do seu smartphone pode n\u00e3o ser suficiente\u2026<\/p>\n