Атака Rolling-PWN позволяет удалённо разблокировать автомобили Honda

Атака Rolling-PWN позволяет удалённо разблокировать автомобили Honda

Атака Rolling-PWN позволяет удалённо разблокировать автомобили Honda

Команда специалистов в области кибербезопасности нашла уязвимость в нескольких современных моделях автомобилей Honda. Как отметили исследователи, выявленная брешь позволяет удалённо разблокировать машины и даже запустить двигатель.

Этот вектор атаки назвали Rolling-PWN; он подразумевает, что злоумышленник перехватит команды от брелока к машине и с их помощью разблокирует или запустит двигатель автомобиля.

По словам специалистов, им удалось протестировать вектор на моделях Honda 2021-2022 годов, включая популярные:

  • Honda Civic 2012
  • Honda X-RV 2018
  • Honda C-RV 2020
  • Honda Accord 2020
  • Honda Odyssey 2020
  • Honda Inspire 2021
  • Honda Fit 2022
  • Honda Civic 2022
  • Honda VE-1 2022
  • Honda Breeze 2022

Система разблокировки машин без ключей полагается на технологию «скользящего кода» и генератор псевдослучайных чисел. Это обеспечивает использование уникальных строк при каждом нажатии кнопки брелока. «Скользящий код» был создан в ответ на уязвимости в статичной реализации, когда условный злоумышленник проводит атаку вида «Человек посередине».

Однако проблема в автомобилях Honda, на которую указали эксперты Уисли Ли и Kevin2600, приводит к тому, что счётчик повторно синхронизируется при получении команд блокировки и разблокировки. То есть машина принимает коды предыдущего сеанса, которые уже должны быть недействительными.

Если у атакующего будет программно определяемая радиосистема, он сможет «поймать» последовательность кодов и позже воспроизвести их для разблокировки автомобиля и запуска двигателя.

Проблему Rolling-PWN специалисты описали в нескольких видео (MP4). Соответствующая уязвимость отслеживается под идентификатором CVE-2021-46145.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Айтишники чаще других приукрашивают свои навыки в резюме

Почти две трети российских компаний сталкивались с недостоверными данными в резюме соискателей. Чаще всего преувеличивают свои навыки топ-менеджеры, административный персонал и ИТ-специалисты. По данным hh.ru, кандидаты нередко скрывают реальный возраст, причины увольнений, частую смену работы и периоды безработицы, а также завышают уровень образования.

Как сообщили «Известия» со ссылкой на рекрутинговые сервисы, за последний год около двух третей российских работодателей выявили ложные сведения о кандидатах.

В SuperJob уточнили, что соискатели чаще всего приукрашивают уровень владения иностранными языками или специализированным программным обеспечением. Некоторые указывают в резюме несуществующие курсы, искажают информацию о наградах и поощрениях. Наиболее склонны embellish свои достижения соискатели младше 31 года, тогда как среди старших кандидатов подобное встречается значительно реже.

Как правило, обман быстро вскрывается — чаще всего во время собеседования, реже при проверке данных из трудовой книжки или обращении к предыдущим работодателям. По данным hh.ru, каждый шестой работодатель узнавал правду после проверки службой безопасности, а 9% — при анализе социальных сетей кандидата.

«Если кандидат указал в резюме недостоверные сведения, ему трудно подробно и последовательно описать реальные рабочие процессы. Конкретные вопросы позволяют быстро выявить несоответствия, — отметили в кадровом агентстве ProfiStaff. — Те, кто действительно участвовал в проектах, уверенно оперируют фактами: объемами продаж, сроками, количеством клиентов, метриками эффективности. А те, кто приукрашивает достижения, часто путаются или не могут назвать точные данные».

Больше всего склонны приписывать себе лишние заслуги управленцы, административный персонал и представители ИТ-сферы. Среди ИТ-специалистов чаще других преувеличивают программисты и разработчики, руководители проектов и тестировщики. Несколько реже приукрашивают опыт менеджеры продукта, дизайнеры, UX-специалисты и тимлиды.

Подобная практика также встречается у системных администраторов, технических писателей, аналитиков, дата-сайентистов, ИТ-директоров и руководителей аналитических подразделений.

Карьерный консультант Елена Рагозина в беседе с «Известиями» подтвердила, что ИТ-специалисты действительно нередко embellish свои резюме: «Некоторые карьерные консультанты сами советуют, что можно немного приукрасить: на чём сделать акцент, а что опустить. Но откровенная ложь может иметь уголовные последствия — прежде всего для тех, кто приобретает поддельные дипломы или лицензии».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru