Bağlı avtomobil identifikasiya təhlükəsizliyi: sahib səlahiyyəti və fiziki sübut

Bu videoda nələr əhatə olunur

• Etibarlı müştəri identifikasiyasının inzibati nəzarəti aşağı axın tətbiq xidmətləri tərəfindən verilən avtomobil səlahiyyətinə təsir edə bilər.
• Karri tam avtomobil zəncir sınağını ABŞ hesabları və avtomobilləri ilə məhdudlaşdırır; regional kataloq əhatəsi və Şahın daha geniş birləşdirilmiş iddiası fərqli əhatə dairələrinə malikdir.
• Təxminən iki saatlıq cavab ABŞ yoldaşının ifşa zaman qrafikinə aiddir. Avstraliya hesabatı uyğun düzəliş tarixi vermir.
• Dəstəklənən əmrlər modeldən, abunədən və aktiv bağlı xidmətlərdən asılıdır. Sürmə və ya imobilayzerin aradan qaldırılması müəyyən edilməyib.
• Tədqiqatçılar avtomobilin yanında sahiblə birlikdə avtomobilin statusunu yenilədilər və fiziki təsirləri təsdiq etdilər.
• PingIDM-in versiyalı istehsal təlimatı inkişaf vasitələrinin çıxarılmasını və ya qorunmasını tövsiyə edir və ayrıca konsol identifikasiya sistemini müəyyən edir.

Tərcümə olunmuş transkript

Orijinal ingilis dilindəki nəqldən tərcümə edilmişdir. Mövcud audio və subtitrlər YouTube tərəfindən idarə olunur.

Giriş necə avtomobil açarı oldu?

0:00 Avtomobilinizin tətbiqi sizin sahib olduğunuzu yoxlayır. Tədqiqatçılar bunun əvəzinə onun identifikasiya serverinin onlara zəmanət verməsini təmin etdilər. Bu videoda giriş necə avtomobil səlahiyyətinə çevrildi? Və avtomobilin əslində itaət etdiyini nə sübut etdi? Bu, bazar ertəsi, doqquz noyabr, və bu The Daily Diff-dir. Bir son yoxlama inandırıcı ekranı açıq avtomobildən ayırır. Bağlı avtomobil xidmətləri sahibin telefon tətbiqinin arxasında dayanan onlayn sistemlərdir. Şubham Şah və Sem Karri bildirirlər ki, inzibati identifikasiya girişi onlara imkan verdi ki,

0:25 sahib kimi eyni tətbiq səlahiyyətini əldə etsinlər. Onlar icazəli avtomobillərdə uzaqdan əmrləri nümayiş etdirdilər. Onların ABŞ hesabatında qüsurların ifşa edildikdən sonra düzəldildiyi deyilir.

Yenilə nəşr olundu və əvvəlcədən nə düzəldilmişdi?

0:33 Hər iki məqalə noyabrın yeddisində ortaya çıxdı. Karri ifşasının bu ilin əvvəllərinə təsadüf etdiyini bildirir. Şah iyul ayında başlayan Avstraliya tədqiqatlarını təsvir edir. Bunlar fərqli zaman qrafikləridir. Onları bir dünya miqyasında fövqəladə hal kimi oxumaq başlıqda daha çox at gücü verəcək sübutlardan daha çox. Şah adı açıqlanmayan avtomobil istehsalçılarından birinin SUV-unu iyirmi iyirmi üçüncü ildə aldı. Avtomobilimi açdığım zaman hansı internet xidməti tapşırığı qəbul edir?

0:53 O və Karri iki həftə ərzində identifikasiya sistemini araşdırdılar. Açar pultu bir arxa uç komandası qazandı. Tətbiq sizi daxil edir və qarajınızı yükləyir.

Avtomobil xidməti hansı identifikasiyaya etibar edir?

1:01 Bağlı xidmət həmin hesabı avtomobillər və icazəli əmrlərlə əlaqələndirir. Bu əlaqə faydalı cavabdır. Etibarlı müştəri identifikasiyasına nəzarət edən hər kəs müştəri üçün nəzərdə tutulmuş imkanları miras ala bilər. Avstraliyada ictimai idarəetmə vasitəsi müştəri məlumatlarını brauzer JavaScript-də göndərilən açarlarla qorunan interfeyslər vasitəsilə ifşa etdi. Sirrin iddialı tərifi. Şah həmçinin satıcı paketində identifikasiya administratoru etimadnamələrini tapdı,

1:24 və onların istehsalda işlədiyini bildirdi. Perimetr həssas marşrutları blokladı. Lakin proqram təminatı qatları eyni tələbi fərqli şərh etdi. Karri deyir ki, kənar bir yolu statik məzmun kimi qəbul etdiyi halda, arxa uç idarəetmə konsoluna çatdı. Qarşılama xalçası və qapalı qapı fərqli xəritələrlə məsləhətləşirdi.

İnkişaf konsolu niyə vacib idi?

1:41 Həmin konsol hələ də standart administrator etimadnamələrini qəbul edirdi, Karrinin sözlərinə görə. İstehsal təlimatı artıq operatorlara onu çıxarmağı və ya qorumağı tövsiyə edir, və deyir ki, onun identifikasiyası identifikasiya məhsulunun identifikasiyasından ayrıdır. Yoxlama siyahısının nöqtələri arasında gizlənən başqa bir giriş. İfşa edilmiş idarəetmə vasitələri identifikasiya xidmətinin daxilində kodun işləməsinə imkan verdi. Tədqiqatçılar ictimai filtrləmə sərhədinin arxasındakı müştəri qeydlərinə daxil oldular. Perimetr filtri bu perimetrdən keçən trafiki yoxlayır.

2:06 Xidmətin daxilində artıq olan bir prosesin məlumatlarla fərqli əlaqəsi var. Bu, ABŞ hesabındakı çoxfaktorlu problemi izah edir. İdentifikasiya qeydləri elektron poçt təsdiq kodu üçün giriş məlumatlarını və təyinatını təmin etdi. Bu qeydlər üzərində inzibati nəzarət tədqiqatçılara girişi tamamlamağa imkan verdi. Müştərinin yuxarı axın tərifi artıq dəyişmişdi. Şah ayrıca Avstraliya identifikasiya səhv konfiqurasiyasını təsvir edir ki, bu da onun zəncirinin əlavə faktoru atlamasına imkan verdi.

2:31 Çoxfaktorlu identifikasiyanın hər yerdə pozulduğunu demək inkişaf etdiricilərin ehtiyac duyduğu konfiqurasiya detallarını siləcək. Əlavə faktorunuzu saxlayın. Onun sahibini etibarlı müəyyənləşdirən sistemi də saxlayın. Etimadnamələrin fərqli işləri var.

Sessiya nə vaxt tətbiq səlahiyyətinə çevrilir?

2:43 Administrator girişi identifikasiya qeydlərini idarə edir. Müştəri sessiyası tamamlanmış girişi təmsil edir. Mobil tətbiq öz xidmətləri tərəfindən qəbul edilən tokenləri əldə edir. Bütün bunları sehrli bir token adlandırmaq, sahibə ekvivalent girişin mümkün olmasını təmin edən sərhədləri itirir. Karri bir neçə regionda iki adı açıqlanmayan avtomobil istehsalçısının identifikasiya kataloqlarını təsvir edir. O, tam avtomobil sınağını ABŞ hesabları və avtomobilləri ilə məhdudlaşdırır. Şah iki Avstraliya markasında bir avtomobil istehsalçısını təsvir edir,

3:09 sonra daha geniş birləşdirilmiş əhatə dairəsi iddia edir. Bu fərqli əhatə dairələri bizə şirkətləri müəyyən etmək üçün heç bir əsas vermir. Hacker News telefonun kilidinin açılmasının olub-olmaması barədə mübahisə edir. Bir cavab unudulmuş kilidin yoxlanılmasına və avtomobilin soyudulmasına və ya isidilməsinə işarə edir. İnsanlar faydalı xüsusiyyətləri sevirlər. Müştərilərə rahatlıq vermək, həm də xidmətə bahalı bir iş verir. O, səlahiyyətini qazanmalıdır.

Düzəliş əslində nəyi əhatə edirdi?

3:29 Karri bildirir ki, hər iki avtomobil istehsalçısı zəifliyi təxminən iki saat ərzində düzəltdilər onu aldıqdan sonra və təsirlənmiş etimadnamələri dəyişdirdilər. Bu, ABŞ yoldaşının zaman qrafikidir. Şahın iyul hesabatı uyğun düzəliş zaman qrafiki vermir. Onun hesabatı Avstraliyanın hazırkı düzəliş statusunu qeyri-müəyyən qoyur. Biz iki saatlıq cavabı qlobal təmir xronometrinə çevirə bilmərik. İnkişaf etdiricilər üçün idarəetmə səthindən başlayın. Nəyin ifşa olunduğunu və hansı identifikasiya sisteminin onu qoruduğunu inventarlaşdırın.

3:55 İstifadə olunmamış inkişaf vasitələrini çıxarın. Saxladığınız vasitələri qoruyun. Hər qatın tələb şərhini nəzərdən keçirin, kənar qaydanı girişə dair son söz kimi qəbul etməzdən əvvəl. Şah deyir ki, Avstraliya zənciri nəhayət gecə yarısına yaxın işlədi, onlara test etməyə icazə verilən bir avtomobili açaraq. Məmnun edici sonluqlu identifikasiya boruları. Bir məqalə digər tərəfi yoxlamaqla nəticəsini qazanır.

4:14 Arxa uçun etibarı söhbətin yalnız yarısıdır. Karrinin ABŞ hesabatında deyilir ki, imkanlar avtomobil modelindən, abunəlikdən və aktiv bağlı xidmətlərdən asılıdır. Dəstəklənən əmrlərə qapıların kilidinin açılması və mühərrikin uzaqdan işə salınması daxildir. Heç bir məqalə avtomobilin sürülməsini və ya imobilayzerin aradan qaldırılmasını müəyyən etmir. Sübut müəyyən tətbiq imkanlarını və icazəli fiziki nümayişləri əhatə edir. Səlahiyyətinizin əsaslandığı faktları hansı xidmətin dəyişdirə biləcəyini soruşun. Şifrə sıfırlamaları və əlaqə dəyişiklikləri vacibdir, çünki digər sistemlər onları

4:41 həqiqət kimi qəbul edirlər. Etibarlı bir giriş yenidən yazılmış bir identifikasiyaya əsaslana bilər. Bu avtomobil hekayəsi orada sizin tətbiq hekayənizə çevrilir.

Avtomobilin əslində itaət etdiyini nə sübut etdi?

4:48 Son yoxlama avtomobilin yanında baş verdi. Karri deyir ki, tək qəbul edilmiş API əmri avtomobilin davranışı haqqında heç nə sübut etmədi. Onlar onun statusunu yenilədilər və fiziki nəticəni sahibinin yanında duraraq təsdiqlədilər. Şah avtomobili açıb işə saldı, sonra dayandırdı və yenidən bağladı. Sübut avtomobil yoluna çatdı. Əgər bunu məndən eşitməkdənsə oxumağa üstünlük verirsinizsə, The Daily Diff hər səhər gəlir qutunuza pulsuz olaraq, dailydiff.dev ünvanında, link aşağıdadır.

Hansı sərhədə baxış lazımdır?

5:10 Beləliklə, bugünkü qərar, Baxış lazımdır. Fiziki nəzarət üçün etibar etməzdən əvvəl müştəri identifikasiyasına inzibati yolları yoxlayardım. Bildirilən ABŞ düzəlişi təqdirəlayiqdir. Hər aşağı axın xidmətinin inandığı sahibini kim yenidən müəyyən edə bilər? Və bugünkü fərq budur. Mən Axrisi-dən Nikonam. Məsuliyyətlə birləşdirin.

Mənbələr

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip