ટાટાની કાર હેકર્સના નિશાના પર? iRA એપમાં મળી 4 ગંભીર ખામીઓ, CERT-Inની ચેતવણીથી ગ્રાહકો સાવધાન!

Tata Motors iRA Apps Security Flaws: ટાટા મોટર્સની કાર ચલાવતા ગ્રાહકો માટે મહત્વપૂર્ણ સાયબર સુરક્ષા ચેતવણી સામે આવી છે. ભારતીય કમ્પ્યુટર ઇમરજન્સી રિસ્પોન્સ ટીમ (CERT-In)એ કંપનીની કનેક્ટેડ વ્હીકલ એપ્લિકેશન્સ iRA 2.0 અને iRA.evના કેટલાક જૂના વર્ઝનમાં ચાર સુરક્ષા નબળાઈઓ ઓળખી છે. એજન્સીએ આ ખામીઓને ઉચ્ચ ગંભીરતાની શ્રેણીમાં મૂકી છે અને ગ્રાહકોને એપ્લિકેશન્સ તાત્કાલિક અપડેટ કરવાની સલાહ આપી છે. આ સુરક્ષા ખામીઓનો દુરુપયોગ થાય તો સાયબર હુમલાખોરો યુઝરના સંવેદનશીલ ઓળખપત્રો મેળવી શકે છે, વાહન સંબંધિત માહિતી અને કનેક્ટેડ સેવાઓ સુધી અનધિકૃત પહોંચ મેળવી શકે છે તેમજ એપ્લિકેશનના ડેટામાં ફેરફાર કરી શકે છે. જોકે, આ ચેતવણીનો અર્થ એવો નથી કે દરેક ટાટા કાર હેક થઈ ગઈ છે અથવા દરેક કારને સીધો રિમોટ કંટ્રોલ કરી શકાય છે. જોખમ અસરગ્રસ્ત એપ્લિકેશનના જૂના વર્ઝન અને તેમાં રહેલી નબળાઈઓ સાથે સંબંધિત છે.

ટાટાની કઈ એપ્લિકેશન્સમાં મળી સુરક્ષા ખામી?
CERT-Inએ ટાટા મોટર્સની બે કનેક્ટેડ વ્હીકલ એપ્લિકેશન્સ iRA 2.0 અને iRA.evમાં સુરક્ષા નબળાઈઓની ઓળખ કરી છે. આ બંને એપ્સ સ્માર્ટફોન દ્વારા કારની વિવિધ સુવિધાઓ અને માહિતીનો ઉપયોગ કરવાની સગવડ આપે છે. iRA 2.0 ટાટા મોટર્સનાં પેટ્રોલ અને ડીઝલ એટલે કે ICE વાહનો માટેની કનેક્ટેડ વ્હીકલ એપ છે. જ્યારે iRA.ev કંપનીનાં ઇલેક્ટ્રિક વાહનો માટે ઉપયોગમાં લેવાય છે. આ એપ્સની મદદથી ગ્રાહકો કારનું લોકેશન જાણી શકે છે, વાહનની સ્થિતિ અને હેલ્થ ચકાસી શકે છે, ટ્રિપની વિગતો જોઈ શકે છે તેમજ ઇંધણ અથવા બેટરીનું સ્ટેટસ મોનિટર કરી શકે છે. કેટલીક સુવિધાઓમાં સ્માર્ટફોનથી રિમોટ કમાન્ડ આપીને કારના દરવાજા લોક અને અનલોક કરવાની સગવડ પણ સામેલ છે.

કયા એપ વર્ઝન જોખમમાં છે? જાણો જરૂરી અપડેટ
CERT-Inની ચેતવણી મુજબ, iRA 2.0 અને iRA.evના ચોક્કસ જૂના વર્ઝન અસરગ્રસ્ત છે. ગ્રાહકોએ નવા વર્ઝન પર અપગ્રેડ કરવું જોઈએ. iRA 2.0નું વર્ઝન 26.7.3 અને તેનાથી જૂનાં વર્ઝન અસરગ્રસ્ત છે. તેના માટે વર્ઝન 26.8.2 અપડેટ કરવાની સલાહ આપવામાં આવી છે. iRA.evનું વર્ઝન 26.7.2 અને તેનાથી જૂનાં વર્ઝન અસરગ્રસ્ત છે. તેના માટે વર્ઝન 26.9.1 અપડેટ ઉપલબ્ધ છે. એટલે જો તમે ટાટાની પેટ્રોલ-ડીઝલ કારમાં iRA 2.0 અથવા ઇલેક્ટ્રિક કારમાં iRA.evનો ઉપયોગ કરો છો, તો તમારા સ્માર્ટફોનમાં ઇન્સ્ટોલ કરેલી એપનું વર્ઝન તપાસવું અને જરૂરી અપડેટ કરવું મહત્વપૂર્ણ છે.

એપમાં મળી આવેલી ચાર સુરક્ષા ખામીઓ કેવી રીતે જોખમ ઊભું કરી શકે?
CERT-Inએ આ એપ્લિકેશન્સમાં ચાર પ્રકારની સુરક્ષા નબળાઈઓ ઓળખી છે. આ ખામીઓનો દુરુપયોગ કરીને હુમલાખોરો યુઝરની માહિતી અને એપ્લિકેશનની સુરક્ષા સાથે ચેડાં કરી શકે છે.

1. એપમાં પહેલેથી જ રહેલા ઓળખપત્રો (Hardcoded Credentials)
પ્રથમ ખામી એપ્લિકેશનના કોડમાં જ સર્વિસ એકાઉન્ટના ઓળખપત્રો, API કી અને ઓથોરાઇઝેશન ટોકન્સ રાખવામાં આવ્યા હોવા સાથે સંબંધિત છે. જો હુમલાખોર એપનું પેકેજ મેળવીને તેમાં રહેલી આ સંવેદનશીલ માહિતી શોધી કાઢે, તો તેનો ઉપયોગ બેકએન્ડ સેવાઓ સુધી અનધિકૃત પહોંચ મેળવવાના પ્રયાસમાં થઈ શકે છે.

2. WebViewમાં URLની યોગ્ય ચકાસણીનો અભાવ
બીજી ખામી એપના WebView ઘટકમાં છે. તેમાં URL અને વેબ કન્ટેન્ટના મૂળ સ્ત્રોતની યોગ્ય ચકાસણી ન થતી હોવાની સમસ્યા દર્શાવવામાં આવી છે. આ ખામીનો ઉપયોગ કરીને હુમલાખોર દૂષિત વેબ કન્ટેન્ટ મારફતે યુઝરના લાઇવ ઓથોરાઇઝેશન ટોકન્સ મેળવવાનો પ્રયાસ કરી શકે છે. આવા ટોકન્સનો દુરુપયોગ કરીને યુઝરની ઓળખ ધારણ કરી કનેક્ટેડ સેવાઓ સુધી પહોંચવાનો પ્રયાસ થઈ શકે છે.

3. ડિબગિંગ લોગમાં ઓથોરાઇઝેશન ટોકન્સ સંગ્રહિત થવા
ત્રીજી ખામી એપના ડેવલપમેન્ટ અને ડિબગિંગ લોગ સાથે સંબંધિત છે. તેમાં યુઝરના ઓથેન્ટિકેશન અથવા સેશન ટોકન્સ નોંધાઈ શકે છે. જો કોઈ હુમલાખોરને આ લોગ્સ સુધી પહોંચ મળે, તો તેમાંથી ટોકન્સ મેળવી યુઝરની ઓળખનો દુરુપયોગ કરવાનો પ્રયાસ કરી શકે છે.

4. SSL Certificate Pinningનું અયોગ્ય અમલીકરણ
ચોથી ખામી નેટવર્ક સુરક્ષા સાથે સંબંધિત છે. એપ અને બેકએન્ડ સર્વર વચ્ચેના સંચારને સુરક્ષિત રાખવા માટે ઉપયોગમાં લેવાતી SSL Certificate Pinning વ્યવસ્થામાં ખામી હોવાની ચેતવણી આપવામાં આવી છે. તેનો દુરુપયોગ કરીને હુમલાખોર નેટવર્ક ટ્રાફિક અટકાવી શકે છે અથવા એપ અને સર્વર વચ્ચે થતા સંચારમાં ફેરફાર કરવાનો પ્રયાસ કરી શકે છે.

ટાટાની કનેક્ટેડ કારના ગ્રાહકોને શું જોખમ થઈ શકે?
જો આ નબળાઈઓનો સફળતાપૂર્વક દુરુપયોગ થાય, તો યુઝરના ઓળખપત્રો અને સંવેદનશીલ માહિતી જોખમમાં આવી શકે છે. હુમલાખોરો વાહન સંબંધિત માહિતી અને કનેક્ટેડ સેવાઓ સુધી અનધિકૃત પહોંચ મેળવવાનો તેમજ એપ્લિકેશનના ડેટામાં ફેરફાર કરવાનો પ્રયાસ કરી શકે છે. કનેક્ટેડ કારમાં સ્માર્ટફોન અને વાહન વચ્ચે ડિજિટલ કનેક્શન હોવાથી એપ્લિકેશનની સુરક્ષા અત્યંત મહત્વપૂર્ણ છે. જો કોઈ હુમલાખોર યુઝરની ઓળખ અથવા ઓથોરાઇઝેશન ટોકનનો દુરુપયોગ કરવામાં સફળ થાય, તો તે યુઝરના અધિકારોનો ઉપયોગ કરીને કેટલીક કનેક્ટેડ સેવાઓ સુધી પહોંચવાનો પ્રયાસ કરી શકે છે. જોકે, આ ખામીઓનો અર્થ એવો નથી કે દરેક ટાટા કારના દરવાજા હેકર્સ દૂરથી ખોલી શકે છે અથવા તમામ વાહનોનું નિયંત્રણ મેળવી શકે છે. વાસ્તવિક અસર હુમલાની રીત, એપના વર્ઝન અને સંબંધિત સુરક્ષા વ્યવસ્થાઓ પર આધારિત રહેશે.

ટાટા કારના માલિકોએ હવે શું કરવું જોઈએ?
CERT-Inએ ગ્રાહકોને અસરગ્રસ્ત એપ્લિકેશન્સના સુરક્ષિત નવા વર્ઝન પર અપગ્રેડ કરવાની સલાહ આપી છે. iRA 2.0ના વપરાશકર્તાઓએ વર્ઝન 26.8.2 અને iRA.evના વપરાશકર્તાઓએ વર્ઝન 26.9.1 પર અપડેટ કરવું જોઈએ. ગ્રાહકોએ પોતાના સ્માર્ટફોનમાં એપનું વર્તમાન વર્ઝન તપાસવું, ઉપલબ્ધ અપડેટ ઇન્સ્ટોલ કરવું અને એપ્લિકેશન તથા વાહનની કનેક્ટિવિટી સંબંધિત સોફ્ટવેરને સમયાંતરે અપડેટ રાખવું જોઈએ. એપ્સને જૂના વર્ઝન પર ચલાવવાનું ટાળવું જોઈએ. આ ઘટના ફરી એકવાર દર્શાવે છે કે આધુનિક કાર માત્ર એન્જિન, બેટરી અને મિકેનિકલ ટેક્નોલોજી પૂરતી મર્યાદિત નથી. સ્માર્ટફોન કનેક્ટિવિટી, રિમોટ કમાન્ડ અને ડિજિટલ સેવાઓ સાથે કાર હવે સાયબર સુરક્ષાનો પણ મહત્વપૂર્ણ વિષય બની ગઈ છે. તેથી ટાટા સહિત તમામ કનેક્ટેડ કારના ગ્રાહકો માટે સોફ્ટવેર અપડેટ અને ડિજિટલ સુરક્ષા અંગે સાવચેત રહેવું જરૂરી છે.