Gekoppelde-motor identiteitsekuriteit: eienaarbefoegdheid en fisieke bewys

Wat hierdie video dek

• Administratiewe beheer van vertroude kliëntidentiteit kan die voertuigbefoegdheid beïnvloed wat deur stroomaf toepassingdienste toegestaan word.
• Curry beperk volledige voertuig-kettingtoetsing tot Amerikaanse rekeninge en voertuie; streeksgidsbereik en Shah se breër gekombineerde bewering het verskillende bestekke.
• Die ongeveer twee-uur respons behoort aan die Amerikaanse metgesel se openbaarmaking tydlyn. Die Australiese verslag gee geen ooreenstemmende regstellingdatum nie.
• Ondersteunde opdragte hang af van model, intekening en aktiewe gekoppelde dienste. Ry of immobiliseerder-deaktivering is nie vasgestel nie.
• Die navorsers het voertuigstatus verfris en fisiese effekte met die eienaar langs die voertuig bevestig.
• PingIDM se geoutomatiseerde produksiegids beveel aan om ontwikkelingshulpmiddels te verwyder of te beskerm en identifiseer 'n aparte konsole-verifikasiesisteem.

Vertaalde transkripsie

Vertaal uit die oorspronklike Engelse vertelling. Beskikbare klank en onderskrifte word deur YouTube beheer.

Hoe het 'n aanmelding 'n motorkleutel geword?

0:00 Jou motor se toepassing kyk of jy die eienaar is. Navorsers het sy identiteitbediener eerder vir hulle laat instaan. In hierdie video, hoe het aanmelding voertuigbevoegdheid geword? En wat het bewys 'n motor het werklik gehoorsaam? Dis Maandag, negende November, en dit is The Daily Diff. 'n Laaste kontrole skei 'n oortuigende skerm van 'n oopgesluit motor. Gekoppelde motordienste is die aanlynstelsels agter 'n eienaar se foonprogram. Shubham Shah en Sam Curry rapporteer dat administratiewe identiteitstoegang hulle toegelaat het

0:25 om dieselfde toepassingsmagtiging as 'n eienaar te verkry. Hulle het afgeleë opdragte op toegestane voertuie gedemonstreer. Hul Amerikaanse verslag sê die foute is na openbaarmaking reggestel.

Wat is nuut gepubliseer, en wat was reeds reggestel?

0:33 Albei geskrifte het op 7 November verskyn. Curry dateer sy openbaarmaking tot vroeg hierdie jaar. Shah beskryf Australiese navorsing wat in Julie begin het. Dit is verskillende tydlyne. Om dit as een wêreldwye noodgeval te lees, sou die nuusopskrif meer krag gee as die bewyse. Shah het een van die ongenoemde motorvervaardiger se SUV's in twee-duisend-drie-en-twintig gekoop. Watter internetdiens ontvang die tik wanneer ek my motor ontsluit?

0:53 Hy en Curry het twee weke bestee aan die ondersoek van die identiteitsisteem. Die sleutelhangertjie het 'n agterkant-span verkry. Die toepassing meld jou aan en laai jou motorhuis.

Watter identiteit vertrou die voertuigdiens?

1:01 Die gekoppelde diens assosieer daardie rekening met voertuie en toegelate opdragte. Daardie verhouding is die nuttige antwoord. Wie ook al die vertroude kliëntidentiteit beheer, kan vermoëns erf wat bedoel is vir die kliënt. In Australië het 'n openbare bestuurshulpmiddel kliëntinligting blootgestel deur koppelvlakke wat beskerm is deur sleutels wat in blaaier-JavaScript verskeep is. Ambisieuse definisie van geheim. Shah het ook identiteitsadministrateur-referensies in 'n verskaffersbundel gevind,

1:24 en berig dat hulle in produksie gewerk het. Die perimeter het sensitiewe roetes geblokkeer. Maar sagtewarelae het dieselfde versoek anders geïnterpreteer. Curry sê die rand het 'n pad as statiese inhoud behandel terwyl die agterkant 'n administrasiekonsole bereik het. Die welkommat en die geslote deur het verskillende kaarte geraadpleeg.

Waarom was 'n ontwikkelingskonsole belangrik?

1:41 Daardie konsole het steeds verstek-administrateur-referensies aanvaar, volgens Curry. Die produksiegids beveel reeds operateurs aan om dit te verwyder of te beskerm, en sê dat die verifikasie daarvan apart is van die identiteitsproduk se verifikasie. Nog 'n aanmelding wat tussen die kontrolelys se kolpunte versteek is. Die blootgestelde administrasiehulpmiddels het toegelaat dat kode binne die identiteit diens loop. Die navorsers het toegang verkry tot kliëntrekords agter die openbare filter grens. 'n Perimeterfilter kontroleer verkeer wat daardie perimeter oorsteek.

2:06 'n Proses wat reeds binne die diens is, het 'n ander verhouding met die data. Dit verklaar die multi-faktor probleem in die Amerikaanse rekening. Identiteitsrekords het die aanmeldinligting en bestemming verskaf vir 'n e-pos verifikasiekode. Administratiewe beheer oor daardie rekords het die navorsers toegelaat om die aanmelding te voltooi. Die stroomop definisie van die kliënt het reeds verander. Shah beskryf 'n aparte Australiese verifikasie-wanopset wat toegelaat het dat sy ketting die ekstra faktor oorgeslaan het.

2:31 Om multi-faktor verifikasie oral gebreek te noem, sou die konfigurasiebesonderhede wat ontwikkelaars benodig, uitwis. Hou jou ekstra faktor. Hou die stelsel wat sy eienaar definieer ook betroubaar. Die geloofsbriewe het verskillende take.

Wanneer word 'n sessie toepassingsbefoegdheid?

2:43 Administrateurtoegang beheer identiteitsrekords. 'n Kliëntsessie verteenwoordig 'n voltooide aanmelding. Die mobiele toepassing verkry tekens wat deur sy dienste aanvaar word. Om al hierdie 'n magiese teken te noem, verloor die grense wat eienaar-ekwivalente toegang moontlik gemaak het. Curry beskryf twee ongenoemde motorvervaardigers se identiteitsgidse oor verskeie streke. Hy beperk volledige voertuigtoetsing tot Amerikaanse rekeninge en voertuie. Shah beskryf een motorvervaardiger oor twee Australiese handelsmerke,

3:09 beweer dan breër gekombineerde bereik. Daardie verskillende bestekke gee ons geen basis om die maatskappye te identifiseer nie. Hacker News argumenteer of telefoonontsluiting moet bestaan. 'n Antwoord wys na die kontrole van 'n vergete slot en die afkoeling of verhitting van die motor. Mense hou van nuttige funksies. Om kliënte gerief te gee, gee ook die diens 'n duur taak. Dit moet sy bevoegdheid verdien.

Wat het regstelling werklik gedek?

3:29 Curry rapporteer dat beide motorvervaardigers die kwesbaarheid ongeveer twee uur nadat hulle dit ontvang het, reggestel en geaffekteerde geloofsbriewe geroteer het. Dit is die Amerikaanse metgesel se tydlyn. Shah se Julie-verslag verskaf geen ooreenstemmende regstellingstydlyn nie. Sy verslag laat Australië se huidige regstellingstatus ongespesifiseer. Ons kan nie die twee-uur respons in 'n globale herstelstophorlosie verander nie. Vir ontwikkelaars, begin met die administrasie-oppervlak. Inventariseer wat blootgestel is en watter verifikasiesisteem dit beskerm.

3:55 Verwyder ongebruikte ontwikkelingshulpmiddels. Beskerm die hulpmiddels wat jy behou. Hersien elke laag se versoekinterpretasie voordat 'n randreël as die laaste woord oor toegang beskou word. Shah sê die Australiese ketting het uiteindelik om middernag gewerk, 'n motor oopgemaak wat hulle toegelaat is om te toets. Identiteitsloodgieterwerk met 'n bevredigende einde. 'n Geskrif verdien sy gevolgtrekking deur die ander kant te kontroleer.

4:14 Die agterkant se vertroue is slegs die helfte van die gesprek. Curry se Amerikaanse verslag sê vermoëns hang af van die voertuigmodel, intekening, en aktiewe gekoppelde dienste. Ondersteunde opdragte sluit in deursluit en afgeleë enjinstart. Geen van die geskrifte bevestig wegry of die deaktivering van 'n immobiliseerder nie. Die bewyse dek spesifieke toepassingsvermoëns en toegestane fisieke demonstrasies. Vra watter diens die feite waarop jou magtiging staatmaak, kan verander. Wagwoordterugstellings en kontakveranderings is belangrik omdat ander stelsels

4:41 dit as waarheid aanvaar. 'n Geldige aanmelding kan op 'n herskrewe identiteit rus. Hierdie motorverhaal word jou toepassingsverhaal daar.

Wat het bewys die motor het werklik gehoorsaam?

4:48 Die finale kontrole het langs die motor gebeur. Curry sê 'n aanvaarde API-opdrag alleen het niks bewys oor die motor se gedrag nie. Hulle het sy status verfris en die fisiese resultaat bevestig met die eienaar wat langs dit gestaan het. Shah het die voertuig ontsluit en gestart, toe gestop en weer gesluit. Die bewys het die oprit bereik. As jy dit eerder wil lees as om my dit te hoor sê, land die verskil elke oggend gratis in jou posbus by the daily diff dot dev, skakel hieronder.

Watter grens het OORSIEN nodig?

5:10 So, vandag se uitspraak, OORSIEN NODIG. Ek sou administratiewe paaie in kliëntidentiteit ouditeer voordat ek dit met fisiese kontroles vertrou. Die gerapporteerde Amerikaanse oplossing verdien erkenning. Wie kan die eienaar herdefinieer wat elke stroomaf diens glo? En dis die verskil vir vandag. Ek is Niko van Axrisi. Voeg verantwoordelik saam.

Bronne

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip