Бяспека ідэнтычнасці падключанага аўтамабіля: правы ўладальніка і фізічны доказ

Што ахоплівае гэта відэа

• Адміністрацыйны кантроль над даверанай ідэнтычнасцю кліента можа паўплываць на паўнамоцтвы транспартнага сродку, прадастаўленыя наступнымі службамі прыкладанняў.
• Кары абмяжоўвае поўнае тэставанне ланцуга транспартных сродкаў акаўнтамі і транспартнымі сродкамі ЗША; рэгіянальны ахоп каталогаў і больш шырокае камбінаванае патрабаванне Шаха маюць розныя сферы прымянення.
• Прыблізна двухгадзінны адказ адносіцца да часовай шкалы раскрыцця інфармацыі кампаньёна ЗША. Аўстралійскі рахунак не дае адпаведнай даты выпраўлення.
• Падтрымоўваныя каманды залежаць ад мадэлі, падпіскі і актыўных падключаных сэрвісаў. Кіраванне або адключэнне імабілайзера не было ўстаноўлена.
• Даследчыкі абнавілі статус транспартнага сродку і пацвердзілі фізічныя эфекты з уладальнікам побач з транспартным сродкам.
• Версія вытворчага кіраўніцтва PingIDM рэкамендуе выдаляць або абараняць інструменты распрацоўкі і ідэнтыфікуе асобную сістэму аўтэнтыфікацыі кансолі.

Перакладзеная стэнаграма

Перакладзена з арыгінальнай англійскай агучкі. Даступнае аўдыя і субтытры кантралююцца YouTube.

Як лагін стаў ключом ад машыны?

0:00 Прыкладанне вашага аўтамабіля правярае, ці з'яўляецеся вы ўладальнікам. Даследчыкі замест гэтага прымусілі яго сервер ідэнтычнасці ручацца за іх. У гэтым відэа, як лагін стаў паўнамоцтвамі транспартнага сродку? І што даказала, што машына сапраўды падпарадкоўвалася? Сёння панядзелак, дзевятага лістапада, і гэта The Daily Diff. Адна апошняя праверка аддзяляе пераканаўчы экран ад разблакіраванага аўтамабіля. Сэрвісы падключаных аўтамабіляў - гэта онлайн-сістэмы, якія стаяць за тэлефонным дадаткам уладальніка. Шубхам Шах і Сэм Кары паведамляюць, што адміністрацыйны доступ да ідэнтычнасці дазволіў ім

0:25 атрымаць тыя ж паўнамоцтвы прыкладання, што і ўладальнік. Яны прадэманстравалі дыстанцыйныя каманды на дазволеных транспартных сродках. Іх рахунак у ЗША кажа, што недахопы былі выпраўлены пасля раскрыцця інфармацыі.

Што новага апублікавана і што ўжо выпраўлена?

0:33 Абодва артыкулы з'явіліся сёмага лістапада. Кары датуе сваё раскрыццё інфармацыі пачаткам гэтага года. Шах апісвае аўстралійскія даследаванні, якія пачаліся ў ліпені. Гэта розныя часавыя шкалы. Чытанне іх як аднаго сусветнага надзвычайнага становішча дало б загалоўку больш магутнасці чым доказам. Шах купіў адзін з пазадарожнікаў неназванага аўтавытворцы ў 2023 годзе. Які інтэрнэт-сэрвіс атрымлівае націск, калі я разблакірую свой аўтамабіль?

0:53 Ён і Кары два тыдні вывучалі сістэму ідэнтычнасці. Брэлок набыў бэкенд-каманду. Дадатак дазваляе вам увайсці і загрузіць ваш гараж.

Якой ідэнтычнасці давярае служба транспартных сродкаў?

1:01 Падключаны сэрвіс звязвае гэты ўліковы запіс з транспартнымі сродкамі і дазволенымі камандамі. Гэтая сувязь з'яўляецца карысным адказам. Той, хто кантралюе давераную ідэнтычнасць кліента, можа атрымаць магчымасці, прызначаныя для кліента. У Аўстраліі публічны інструмент кіравання раскрываў інфармацыю аб кліентах праз інтэрфейсы, абароненыя ключамі, якія пастаўляліся ў JavaScript браўзера. Амбіцыйнае вызначэнне сакрэту. Шах таксама знайшоў уліковыя дадзеныя адміністратара ідэнтычнасці ў пакеце пастаўшчыка,

1:24 і паведаміў, што яны працавалі ў вытворчасці. Перыметр блакаваў канфідэнцыйныя маршруты. Але праграмныя слаі інтэрпрэтавалі адзін і той жа запыт па-рознаму. Кары кажа, што край апрацоўваў шлях як статычны кантэнт, у той час як бэкенд дасягаў кансолі адміністравання. Прывітальная дыванок і зачыненыя дзверы выкарыстоўвалі розныя карты.

Чаму кансоль распрацоўкі мела значэнне?

1:41 Гэтая кансоль усё яшчэ прымала ўліковыя дадзеныя адміністратара па змаўчанні, па словах Кары. Кіраўніцтва па вытворчасці ўжо загадвае аператарам выдаляць або абараняць яе, і кажа, што яе аўтэнтыфікацыя асобная ад аўтэнтыфікацыі прадукту ідэнтычнасці. Яшчэ адзін лагін, які хаваецца паміж пунктамі кантрольнага спісу. Раскрытыя інструменты адміністравання дазвалялі запускаць код у службе ідэнтычнасці. Даследчыкі атрымалі доступ да запісаў кліентаў за публічнай мяжой фільтрацыі. Фільтр перыметра правярае трафік, які перасякае гэты перыметр.

2:06 Працэс, які ўжо знаходзіцца ўнутры службы, мае іншыя адносіны з дадзенымі. Гэта тлумачыць шматфактарную праблему ў рахунку ЗША. Запісы ідэнтычнасці пастаўлялі інфармацыю для ўваходу і пункт прызначэння для кода пацверджання па электроннай пошце. Адміністрацыйны кантроль над гэтымі запісамі дазволіў даследчыкам завяршыць уваход. Вышэйшае вызначэнне кліента ўжо змянілася. Шах апісвае асобную аўстралійскую няправільную канфігурацыю аўтэнтыфікацыі, якая дазволіла яго ланцугу прапусціць дадатковы фактар.

2:31 Называць шматфактарную аўтэнтыфікацыю зламанай усюды сцерла б дэталі канфігурацыі, якія патрэбныя распрацоўшчыкам. Захоўвайце свой дадатковы фактар. Захоўвайце сістэму, якая вызначае свайго ўладальніка, таксама надзейнай. Уліковыя дадзеныя маюць розныя задачы.

Калі сесія становіцца паўнамоцтвамі прыкладання?

2:43 Доступ адміністратара кантралюе запісы ідэнтычнасці. Сесія кліента ўяўляе сабой завершаны ўваход. Мабільнае прыкладанне атрымлівае токены, прынятыя яго сэрвісамі. Называць усё гэта магічным токенам страчвае межы, якія зрабілі доступу, эквівалентнага ўладальніку, магчымым. Кары апісвае каталогі ідэнтычнасці двух неназваных аўтавытворцаў у некалькіх рэгіёнах. Ён абмяжоўвае поўнае тэставанне транспартных сродкаў акаўнтамі і транспартнымі сродкамі ЗША. Шах апісвае аднаго аўтавытворцу ў двух аўстралійскіх брэндах,

3:09 затым заяўляе аб больш шырокім камбінаваным ахопе. Гэтыя розныя сферы прымянення не даюць нам падставы для ідэнтыфікацыі кампаній. Hacker News спрачаецца аб тым, ці павінна існаваць разблакіроўка тэлефона. Адзін адказ паказвае на праверку забытага замка і астуджэнне або абаграванне аўтамабіля. Людзям падабаюцца карысныя функцыі. Прадастаўленне кліентам выгоды таксама дае сэрвісу дарагую працу. Ён павінен заслужыць свой аўтарытэт.

Што насамрэч ахапіла выпраўленне?

3:29 Кары паведамляе, што абодва аўтавытворцы выправілі ўразлівасць прыкладна праз дзве гадзіны пасля атрымання яе і памянялі закранутыя ўліковыя дадзеныя. Гэта часавая шкала кампаньёна ЗША. Ліпеньскі справаздача Шаха не дае адпаведнай часавай шкалы выпраўлення. Яго справаздача пакідае бягучы статус выпраўлення ў Аўстраліі нявызначаным. Мы не можам ператварыць двухгадзінны адказ у глабальны секундамер рамонту. Для распрацоўшчыкаў, пачніце з адміністрацыйнай паверхні. Інвентарызуйце, што выкрыта і якая сістэма аўтэнтыфікацыі гэта абараняе.

3:55 Выдаліце невыкарыстоўваемыя інструменты распрацоўкі. Абараніце інструменты, якія вы захоўваеце. Перагледзьце інтэрпрэтацыю запытаў кожнага пласта, перш чым разглядаць правіла краю як апошняе слова па доступе. Шах кажа, што аўстралійскі ланцуг нарэшце запрацаваў каля паўночы, адкрыўшы машыну, якую ім дазволілі тэставаць. Ідэнтыфікацыйная сантэхніка з задавальняючым канцом. Апісанне заслугоўвае свайго высновы, правяраючы іншы канец.

4:14 Упэўненасць бэкенда - гэта толькі палова размовы. Рахунак Кары ў ЗША кажа, што магчымасці залежаць ад мадэлі транспартнага сродку, падпіскі і актыўных падключаных сэрвісаў. Падтрымоўваныя каманды ўключаюць разблакіроўку дзвярэй і дыстанцыйны запуск рухавіка. Ні ў адным з артыкулаў не ўстаноўлена паездка або адключэнне імабілайзера. Доказы ахопліваюць канкрэтныя магчымасці прыкладання і дазволеныя фізічныя дэманстрацыі. Спытайце, якая служба можа змяніць факты, на якія абапіраецца ваша аўтарызацыя. Скід пароляў і змены кантактаў важныя, таму што іншыя сістэмы лічаць іх

4:41 праўдай. Сапраўдны лагін можа абапірацца на перапісаную ідэнтычнасць. Гэтая гісторыя пра машыну становіцца вашай гісторыяй прыкладання.

Што даказала, што машына сапраўды падпарадкоўвалася?

4:48 Канчатковая праверка адбылася побач з машынай. Кары кажа, што адна прынятая каманда API нічога не даказвае пра паводзіны машыны. Яны абнавілі яе статус і пацвердзілі фізічны вынік з уладальнікам, які стаяў побач з ёй. Шах разблакіраваў і завёў транспартны сродак, затым заглушыў яго і зноў заблакіраваў. Доказ дасягнуў пад'язной дарогі. Калі вы аддаеце перавагу чытаць гэта, чым чуць, як я гэта кажу, "diff" прыходзіць у вашу паштовую скрыню кожную раніцу, бясплатна на thedailydiff.dev, спасылка ніжэй.

Якая мяжа патрабуе перагляду?

5:10 Такім чынам, сённяшні вердыкт: NEEDS REVIEW. Я б правёў аўдыт адміністрацыйных шляхоў да ідэнтычнасці кліента, перш чым давяраць ім фізічны кантроль. Заяўленыя выпраўленні ў ЗША заслугоўваюць даверу. Хто можа перавызначыць уладальніка, у якога вераць усе наступныя сэрвісы? І гэта ўсё на сёння. Я Ніка з Axrisi. Аб'ядноўвайце адказна.

Крыніцы

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip