myAudi permettaient de localiser un véhicule à partir de son code VIN
Le numéro VIN de votre voiture est visible sur le bas du pare-brise et récupérable par n’importe qui qui passe à côté. Et croyez le ou non, mais c’est pourtant sur ce numéro, visible de tous, que repose en partie le modèle de sécurité de myAudi, l’application connectée pour contrôler son véhicule Audi à distance.
Un chercheur qui se présente sous le pseudo
Decoder
a décidé de regarder ça de plus près. Son setup c’est un émulateur Android Pixel 7, Burp Suite en proxy pour intercepter le trafic réseau ainsi que
Frida Server
et Objection pour contourner le
certificate pinning
de l’app. Des outils et du boulot classique de pentest mobile, pas particulièrement sophistiqué donc…
