ટાટા મોટર્સની iRA એપ્સમાં સુરક્ષાની ગંભીર ખામીઓ: તમારી સ્માર્ટ કાર પર હેકિંગનું જોખમ અને બચવાના ઉપાયો

આજના આધુનિક યુગમાં કાર માત્ર લોખંડ અને એન્જિનનું મશીન નથી રહી, પરંતુ તે પૈડાં પર ચાલતું એક મોટું કમ્પ્યુટર બની ગઈ છે. ટાટા મોટર્સ (Tata Motors) જેવી અગ્રણી કંપનીઓ તેમની ગાડીઓમાં કનેક્ટેડ કાર (connected car) ટેકનોલોજી આપે છે, જેનાથી તમે સ્માર્ટફોન દ્વારા ગાડીને લોક-અનલોક કરી શકો છો અથવા તેની સ્થિતિ જાણી શકો છો. જોકે, તાજેતરમાં ભારત સરકારની સાયબર સુરક્ષા એજન્સી CERT-In (ઇન્ડિયન કમ્પ્યુટર ઇમરજન્સી રિસ્પોન્સ ટીમ) એ આ ટેકનોલોજીમાં ગંભીર સુરક્ષા ખામીઓ હોવાની ચેતવણી આપી છે. આ ખામીઓ ટાટા મોટર્સની iRA 2.0 અને iRA.ev એપ્લિકેશન્સમાં જોવા મળી છે, જે લાખો ગ્રાહકોના ડેટા અને તેમની ગાડીઓની સુરક્ષાને જોખમમાં મૂકી શકે છે.

કનેક્ટેડ કાર એ એક એવું વાહન છે જે બહારની સિસ્ટમો સાથે દ્વિ-માર્ગી સંચાર (bidirectional communication) કરી શકે છે. વિકિપીડિયાના જણાવ્યા મુજબ, આ કનેક્ટિવિટીનો ઉપયોગ મુસાફરોને સંગીત, નેવિગેશન અને સોફ્ટવેર અપડેટ જેવી સેવાઓ પૂરી પાડવા માટે થાય છે. ટાટા મોટર્સ તેના પેટ્રોલ-ડીઝલ વાહનો માટે iRA 2.0 અને ઇલેક્ટ્રિક વાહનો (EV) માટે iRA.ev એપનો ઉપયોગ કરે છે. આ એપ્સ દ્વારા યુઝર્સ રિમોટ કમાન્ડ આપી શકે છે, વાહનની હેલ્થ મોનિટર કરી શકે છે અને ટ્રિપની વિગતો જોઈ શકે છે. પરંતુ જો આ એપ પોતે જ અસુરક્ષિત હોય, તો તે હેકર્સ માટે એક ખુલ્લો દરવાજો બની જાય છે.

CERT-In એ ૫ નવેમ્બર ૨૦૨૬ ના રોજ જારી કરેલી એડવાઇઝરીમાં આ ખામીઓને 'હાઈ' (High) એટલે કે અત્યંત ગંભીર શ્રેણીમાં મૂકી છે. એજન્સીના અહેવાલ મુજબ, આ એપ્સના જૂના વર્ઝનમાં ચાર મુખ્ય સુરક્ષા નબળાઈઓ (vulnerabilities) છે. આ નબળાઈઓનો ઉપયોગ કરીને કોઈ પણ કુશળ હેકર યુઝરના ક્રેડેન્શિયલ્સ (credentials) એટલે કે લોગિન વિગતો ચોરી શકે છે. આટલું જ નહીં, તે યુઝરની ઓળખ ધારણ કરીને (impersonation) ગાડીની ડિજિટલ સેવાઓ પર અનધિકૃત કબજો પણ મેળવી શકે છે. આ સમાચાર ટાટાની કાર વાપરતા લાખો લોકો માટે ચિંતાનો વિષય છે કારણ કે તે સીધી રીતે તેમની અંગત માહિતી અને વાહનની સુરક્ષા સાથે જોડાયેલ છે.

પહેલી મોટી ખામી એપની અંદર 'હાર્ડકોડેડ ક્રેડેન્શિયલ્સ' (hardcoded credentials) હોવાને કારણે છે. આનો અર્થ એ છે કે એપના પ્રોગ્રામિંગ કોડમાં જ કેટલીક મહત્વપૂર્ણ ડિજિટલ ચાવીઓ, જેમ કે API કી (API keys) અને ઓથોરાઈઝેશન ટોકન (authorization token) કાયમી ધોરણે લખેલી હતી. આ એક એવી ભૂલ છે જેવી રીતે કોઈ ઘરના મુખ્ય દરવાજાની ચાવી મેટની નીચે જ છુપાવી રાખે. જો કોઈ હેકર એપના કોડને ઉકેલી નાખે, તો તેને આ ચાવીઓ મળી જાય છે. આ ચાવીઓનો ઉપયોગ કરીને તે કંપનીના બેકએન્ડ સર્વર સુધી પહોંચી શકે છે અને સંવેદનશીલ ડેટામાં ફેરફાર કરી શકે છે.

બીજી ખામી એપના 'વેબવ્યુ' (WebView) ફીચરમાં જોવા મળી છે. વેબવ્યુ એ એક એવી ટેકનોલોજી છે જેના દ્વારા મોબાઈલ એપની અંદર જ કોઈ વેબ પેજ ખોલી શકાય છે. CERT-In ના જણાવ્યા મુજબ, ટાટાની એપમાં આ વેબવ્યુ કયા યુઆરએલ (URL) કે સોર્સમાંથી કન્ટેન્ટ લોડ કરી રહ્યું છે તેની પૂરતી તપાસ કરવામાં આવતી નહોતી. આનો ફાયદો ઉઠાવીને હેકર યુઝરને કોઈ નકલી લિંક મોકલી શકે છે અને તેના દ્વારા લાઈવ ઓથેન્ટિકેશન ટોકન ચોરી શકે છે. એકવાર આ ટોકન હેકરના હાથમાં આવી જાય, પછી તે અસલી યુઝર બનીને એપમાં લોગિન કરી શકે છે.

ત્રીજી સમસ્યા એપના 'ડેવલપમેન્ટ અને ડિબગિંગ લોગ્સ' (logs) સાથે જોડાયેલી છે. સામાન્ય રીતે જ્યારે કોઈ એપ ડેવલપ કરવામાં આવતી હોય ત્યારે તેની પ્રક્રિયાની નોંધ રાખવા માટે લોગ્સ બનાવવામાં આવે છે. ટાટાની આ એપ્સમાં યુઝરના ઓથેન્ટિકેશન ટોકન્સ આ લોગ્સમાં સેવ થઈ રહ્યા હતા. જો કોઈ સ્થાનિક હુમલાખોર (local attacker) યુઝરના ફોનનો એક્સેસ મેળવી લે, તો તે આ લોગ ફાઈલો વાંચીને ટોકન મેળવી શકે છે. આનાથી તે યુઝરના એકાઉન્ટનો દુરુપયોગ કરી શકે છે અને ગાડીની વિગતો જાણી શકે છે.

ચોથી અને અંતિમ ખામી 'એસએસએલ સર્ટિફિકેટ પિનિંગ' (SSL Certificate Pinning) ના અયોગ્ય અમલીકરણની છે. આ ટેકનોલોજીનું કામ એ ખાતરી કરવાનું છે કે એપ માત્ર કંપનીના સુરક્ષિત સર્વર સાથે જ વાત કરી રહી છે. અમર ઉજાલાના અહેવાલ મુજબ, આ સુરક્ષા વ્યવસ્થા બરાબર રીતે લાગુ ન હોવાને કારણે હેકર નેટવર્ક ટ્રાફિકને વચ્ચેથી અટકાવી (intercept) શકે છે. આને 'મેન-ઈન-ધ-મિડલ' એટેક કહેવામાં આવે છે, જેમાં હેકર એપ અને સર્વર વચ્ચે થતા સંવાદને વાંચી શકે છે અથવા તેમાં ફેરફાર કરી શકે છે.

ઘણા લોકોના મનમાં પ્રશ્ન થશે કે શું હેકર ખરેખર ગાડી ચલાવી શકે છે? આજતકના અહેવાલ મુજબ, અત્યાર સુધી એવી કોઈ ઘટના બની નથી જેમાં હેકરે ચાલતી ગાડીનો કંટ્રોલ લીધો હોય. જોકે, આ એપ્સ દ્વારા રિમોટ કમાન્ડ આપી શકાતા હોવાથી, હેકર ગાડીના દરવાજા ખોલી (unlock) શકે છે અથવા તેને લોક કરી શકે છે. તે ગાડીનું લાઈવ લોકેશન ટ્રેક કરી શકે છે અને બેટરી કે ફ્યુઅલની સ્થિતિ જાણી શકે છે. આ બાબત પ્રાઈવસી અને સુરક્ષા બંને દ્રષ્ટિએ જોખમી છે. ખાસ કરીને જ્યારે ગાડીમાં કિંમતી સામાન હોય અથવા તે કોઈ અસુરક્ષિત જગ્યાએ પાર્ક કરેલી હોય.

ટાટા મોટર્સના હેડક્વાર્ટર મુંબઈમાં સ્થિત છે અને કંપનીએ આ ખામીઓને દૂર કરવા માટે તાત્કાલિક પગલાં લીધાં છે. CERT-In એ સલાહ આપી છે કે તમામ યુઝર્સે તેમની એપ્સને લેટેસ્ટ વર્ઝન પર અપડેટ કરવી જોઈએ. iRA 2.0 વાપરતા ગ્રાહકોએ વર્ઝન ૨૬.૮.૨ અને iRA.ev વાપરતા ગ્રાહકોએ વર્ઝન ૨૬.૯.૧ કે તેનાથી ઉપરના વર્ઝન પર અપગ્રેડ થવું અનિવાર્ય છે. જૂના વર્ઝન વાપરવાનું ચાલુ રાખવું એ હેકર્સને આમંત્રણ આપવા જેવું છે.

કનેક્ટેડ કારનો ઇતિહાસ ઘણો જૂનો છે. જનરલ મોટર્સ (General Motors) એ ૧૯૯૬ માં 'OnStar' નામની સિસ્ટમ સાથે પ્રથમ કનેક્ટેડ કાર ફીચર્સ રજૂ કર્યા હતા. શરૂઆતમાં આ ટેકનોલોજી માત્ર અકસ્માત સમયે ઈમરજન્સી મદદ મેળવવા માટે હતી. ૨૦૦૧ માં રિમોટ ડાયગ્નોસ્ટિક્સ અને ૨૦૧૪ માં ઓડી (Audi) દ્વારા 4G LTE વાઈ-ફાઈ હોટસ્પોટની શરૂઆત થઈ. જેમ જેમ ટેકનોલોજી વધી, તેમ તેમ હેકિંગના જોખમો પણ વધ્યા છે. ૨૦૧૬ માં સંશોધકોએ સાબિત કર્યું હતું કે લગભગ ૧૦ કરોડ ફોક્સવેગન (Volkswagen) કારને રિમોટલી અનલોક કરી શકાય છે.

ભારતમાં પણ હવે કનેક્ટેડ કારનું ચલણ વધી રહ્યું છે. ટાટાની અલ્ટ્રોઝ (Altroz), નેક્સન (Nexon) અને સફારી (Safari) જેવી લોકપ્રિય કારોમાં આ ફીચર્સ મળે છે. સ્માર્ટ કાર હોવાનો અર્થ એ છે કે તમારે માત્ર તેના ટાયર અને એન્જિનનું જ ધ્યાન નથી રાખવાનું, પણ તેના સોફ્ટવેરને પણ અપડેટ રાખવાનું છે. સાયબર સુરક્ષા નિષ્ણાતો કહે છે કે યુઝર્સે ક્યારેય અજાણી લિંક પર ક્લિક ન કરવું જોઈએ અને એપમાં કોઈ પણ શંકાસ્પદ પ્રવૃત્તિ જણાય તો તરત જ કંપનીનો સંપર્ક કરવો જોઈએ.

ભવિષ્યમાં V2X (વ્હીકલ ટુ એવરીથિંગ) ટેકનોલોજી આવવાની છે, જેમાં ગાડીઓ રસ્તાના ઇન્ફ્રાસ્ટ્રક્ચર અને અન્ય ગાડીઓ સાથે પણ વાત કરશે. આનાથી અકસ્માતો ઘટશે, પણ સાયબર સુરક્ષાના પડકારો વધુ જટિલ બનશે. ટાટા મોટર્સની આ ઘટના આપણને યાદ અપાવે છે કે ટેકનોલોજી જેટલી સુવિધા આપે છે, તેટલી જ સાવધાની પણ માંગે છે. જો તમે ટાટાની કનેક્ટેડ કાર ચલાવો છો, તો આજે જ પ્લે સ્ટોર અથવા એપ સ્ટોર પર જઈને તમારી iRA એપનું વર્ઝન ચેક કરો અને તેને અપડેટ કરો.