FIA’nın Sürücü Kategorizasyon Platformunda Güvenlik Açığı Tespit Edildi

Uluslararası Otomobil Federasyonu (FIA), bu yılın başlarında etik hackerlar tarafından sürücü kategorizasyon platformunda kısa süreli bir güvenlik açığı tespit edildiğini kabul etti. Bu güvenlik zafiyeti, bazı sürücülerin, aralarında Max Verstappen’in pasaport bilgilerinin de bulunduğu verilerinin geçici olarak açığa çıkmasına neden oldu ancak araştırmacıların iş birliğiyle sorun hızla kontrol altına alınıp çözüldü.

Siber güvenlik uzmanları Gal Nagli, Sam Curry ve Ian Carroll tarafından yaz aylarında keşfedilen bu açık, büyük kuruluşlarda sorumluluk bilinciyle güvenlik açıklarını bildirmeleriyle tanınıyor. Üçlü, FIA’nın sürücü lisans seviyelerini (Altın, Gümüş, Bronz gibi) yöneten sürücü kategorizasyon web sitesine erişim sağladı.

Araştırmacılar, keşiflerini birkaç ay önce yapmalarına rağmen bulgularını bu hafta sosyal medyada paylaştı. Grup, eylemlerinin etik amaçlı olduğunu ve FIA’nın dijital altyapısındaki zayıflıkları tespit edip raporlamayı hedeflediğini belirtti.

FIA’nın çevrimiçi portalına normal bir kullanıcı gibi kayıt olan araştırmacılar, sitenin JavaScript kodlarını inceleyerek hesap izinlerini değiştirebilecekleri bir yöntem keşfetti. HTTP PUT isteği göndererek rollerini yöneticiye çevirdiler ve sadece FIA yetkililerine açık olan farklı bir arayüze erişim sağladılar. Bu yönetici paneli, sürücü sınıflandırmalarının yönetildiği sistemi içeriyordu.

Bir sürücü kaydını inceleyerek açığın doğruluğunu teyit ettiklerinde, parola karma değerleri, iletişim bilgileri ve pasaport bilgileri gibi veri alanlarını görüntülediler. Verstappen’in bilgilerine erişim mümkün olsa da, araştırmacılar hassas dosyaları görüntülemediklerini veya indirmediklerini açıkladı.

FIA’nın Tepkisi

Araştırmacılar, 3 Haziran’da FIA’ya güvenlik açığını bildirdikten sonra, FIA aynı gün portalı çevrimdışı hale getirdi. Sistem üzerinde doğrudan araştırmacılarla çalışarak 10 Haziran’a kadar tam bir güvenlik düzeltmesi uygulandı.

Formula 1 Meksika Grand Prix’si hafta sonunda FIA sözcüsü olayı doğruladı ve resmi bir açıklama yaptı: “FIA, yaz aylarında FIA Sürücü Kategorizasyon web sitesinde bir siber olayın farkına vardı. Sürücü verilerinin güvenliği için derhal önlemler alındı ve FIA, bu durumu ilgili veri koruma otoritelerine bildirdi. Etkilenen az sayıda sürücü bilgilendirildi. Başka FIA dijital platformları bu olaydan etkilenmedi.”

“Siber güvenlik ve dayanıklılık önlemlerine dijital altyapımızda büyük yatırımlar yaptık. Tüm paydaşlarımızı korumak için dünya standartlarında veri güvenliği tedbirleri uyguluyor ve yeni dijital projelerde güvenlik tasarımını önceliklendiriyoruz.”

Olay hakkında sorulan Lewis Hamilton, Motorsport Week dahil medya kuruluşlarına henüz haberi duymadığını belirtti: “Bu nedir? Bilmiyorum.” Hack’lerin FIA sistemlerine kısa süreli erişim sağladığı söylendiğinde ise, “Gerçekten mi? İlk defa duyuyorum.” dedi. Sürücü bilgilerinin açığa çıkması konusunda ise, “Zaten bende çok fazla bilgi yok, sorun değil.” yorumunu yaptı.

Daha fazla bilgi için: Alex Albon: McLaren, Max Verstappen’in F1 şampiyonluk tehdidini tek bir sürücüye öncelik vererek ‘kolayca kapatabilir’

trf1.net