Сигурност на самоличността на свързани автомобили: правомощия на собственика и физическо доказателство

Какво обхваща този видеоклип

• Административният контрол върху доверената самоличност на клиента може да повлияе на оторизацията на автомобила, предоставена от услугите на приложенията надолу по веригата.
• Къри ограничава пълното тестване на веригата на автомобила до американски акаунти и автомобили; обхватът на регионалните директории и по-широкото комбинирано твърдение на Шах имат различни обхвати.
• Приблизително двучасовият отговор е част от хронологията на оповестяване на американския придружаващ доклад. Австралийският доклад не посочва съответна дата за отстраняване на проблема.
• Поддържаните команди зависят от модела, абонамента и активните свързани услуги. Не е установено шофиране или деактивиране на имобилайзер.
• Изследователите освежиха статуса на автомобила и потвърдиха физическите ефекти с присъствието на собственика до автомобила.
• Версионното ръководство за производство на PingIDM препоръчва премахване или защита на инструменти за разработка и идентифицира отделна система за удостоверяване на конзолата.

Преведен препис

Преведено от оригиналния английски разказ. Наличните аудио и субтитри се контролират от YouTube.

Как едно влизане се превърна в ключ за кола?

0:00 Приложението на колата ви проверява дали сте собственик. Изследователите накараха неговия сървър за самоличност да ги потвърди вместо това. В това видео, как едно влизане се превърна в авторитет за автомобила? И какво доказа, че една кола наистина се подчиняваше? Днес е понеделник, девети ноември, и това е The Daily Diff. Една последна проверка разделя убедителен екран от отключена кола. Услугите за свързани автомобили са онлайн системите зад телефонното приложение на собственика. Шубхам Шах и Сам Къри съобщават, че административният достъп до самоличността им е позволил да

0:25 получат същите права на приложението като собственик. Те демонстрираха дистанционни команди върху автомобили с разрешение. Техният акаунт от САЩ казва, че недостатъците са били отстранени след оповестяването.

Какво е новопубликувано и какво вече беше поправено?

0:33 И двете статии се появиха на седми ноември. Къри датира своето оповестяване от началото на тази година. Шах описва австралийски изследвания, започнали през юли. Това са различни времеви линии. Да ги четем като едно световно извънредно положение би дало на заглавието повече сила от доказателствата. Шах купи един от неназованите SUV автомобили на производителя през 2023 г. Коя интернет услуга получава докосването, когато отключа колата си?

0:53 Той и Къри прекараха две седмици в изследване на системата за самоличност. Ключодържателят е получил бекенд екип. Приложението ви влиза и зарежда вашия гараж.

На коя самоличност се доверява автомобилната услуга?

1:01 Свързаната услуга свързва този акаунт с автомобили и разрешени команди. Тази връзка е полезният отговор. Който контролира доверената самоличност на клиента, може да наследи възможности, предназначени за клиента. В Австралия, публичен инструмент за управление изложи информация за клиенти чрез интерфейси, защитени с ключове, доставени в браузърен JavaScript. Амбициозна дефиниция на тайна. Шах също така намери администраторски идентификационни данни за самоличност в пакет от доставчик,

1:24 и съобщи, че те са работили в производство. Периметърът блокира чувствителни маршрути. Но софтуерните слоеве интерпретираха една и съща заявка по различен начин. Къри казва, че крайният елемент е третирал път като статично съдържание, докато бекендът е достигнал административна конзола. Постелката за добре дошли и заключената врата се консултираха с различни карти.

Защо конзолата за разработка беше важна?

1:41 Тази конзола все още приемаше администраторски идентификационни данни по подразбиране, според Къри. Ръководството за производство вече казва на операторите да я премахнат или защитят, и казва, че нейната автентикация е отделна от автентикацията на продукта за самоличност. Друго влизане, скрито между точките в контролния списък. Разкритите административни инструменти позволяват изпълнение на код в услугата за самоличност. Изследователите са имали достъп до клиентски записи зад публичната филтрираща граница. Периметърен филтър проверява трафика, преминаващ през този периметър.

2:06 Процес, който вече е в услугата, има различно отношение към данните. Това обяснява проблема с многофакторната автентикация в акаунта от САЩ. Записите за самоличност предоставят информацията за вход и местоназначението за код за потвърждение по имейл. Административният контрол върху тези записи позволява на изследователите да завършат влизането. Горната дефиниция на клиента вече се беше променила. Шах описва отделна австралийска неправилна конфигурация на удостоверяване, която е позволила на неговата верига да пропусне допълнителния фактор.

2:31 Да се нарече многофакторното удостоверяване "разбито навсякъде" би заличило детайлите на конфигурацията, от които се нуждаят разработчиците. Запазете допълнителния си фактор. Запазете и системата, която дефинира собственика си като надежден. Идентификационните данни имат различни функции.

Кога една сесия става авторитет на приложението?

2:43 Административният достъп контролира записите за самоличност. Клиентска сесия представлява завършено влизане. Мобилното приложение получава токени, приети от неговите услуги. Да се наричат всички те "магически токени" губи границите, които направиха достъпа, равностоен на този на собственика, възможен. Къри описва директориите за самоличност на два неназовани автомобилни производители в множество региони. Той ограничава пълното тестване на автомобили до американски акаунти и превозни средства. Шах описва един автомобилен производител с две австралийски марки,

3:09 след което твърди по-широк комбиниран обхват. Тези различни обхвати не ни дават основание да идентифицираме компаниите. Hacker News спори дали отключването на телефон трябва да съществува. Един от отговорите посочва проверка на забравено заключване и охлаждане или затопляне на колата. Хората харесват полезни функции. Предоставянето на удобство на клиентите също така дава на услугата скъпа работа. Тя трябва да си заслужи авторитета.

Какво всъщност покри отстраняването на проблема?

3:29 Къри съобщава, че и двата автомобилни производителя са отстранили уязвимостта около два часа след получаването ѝ и са сменили засегнатите идентификационни данни. Това е времевата линия на американския придружаващ доклад. Юлският доклад на Шах не предоставя съответна времева линия за отстраняване на проблема. Неговият доклад оставя текущото състояние на отстраняване на проблема в Австралия неуточнено. Не можем да превърнем двучасовия отговор в глобален таймер за ремонт. За разработчиците, започнете с административния интерфейс. Инвентаризирайте какво е изложено и коя система за удостоверяване го защитава.

3:55 Премахнете неизползваните инструменти за разработка. Защитете инструментите, които запазвате. Прегледайте интерпретацията на заявките на всеки слой, преди да третирате правилото за крайния елемент като последна дума за достъп. Шах казва, че австралийската верига най-накрая е проработила около полунощ, отваряйки кола, която им е било разрешено да тестват. Идентификационна система с удовлетворяващ край. Едно описание заслужава своя извод, като проверява другия край.

4:14 Увереността на бекенда е само половината от разговора. Американският акаунт на Къри казва, че възможностите зависят от модела на автомобила, абонамента и активните свързани услуги. Поддържаните команди включват отключване на врати и дистанционно стартиране на двигателя. Нито едно от описанията не установява потегляне или деактивиране на имобилайзер. Доказателствата обхващат конкретни възможности на приложението и разрешени физически демонстрации. Попитайте коя услуга може да промени фактите, на които разчита вашата оторизация. Нулирането на пароли и промените в контактите са важни, защото други системи ги възприемат

4:41 като истина. Валидното влизане може да се основава на пренаписана самоличност. Тази история за кола става историята на вашето приложение там.

Какво доказа, че колата наистина се подчиняваше?

4:48 Последната проверка се е случила до колата. Къри казва, че само приета API команда не доказва нищо за поведението на колата. Те са освежили статуса й и са потвърдили физическия резултат със собственика, стоящ до нея. собственика, стоящ до нея. Шах отключи и стартира автомобила, след което го спря и заключи отново. Доказателството стигна до алеята. Ако предпочитате да прочетете това, вместо да го чуете от мен, "The Diff" пристига във входящата ви поща всяка сутрин, безплатно на thedailydiff.dev, линк по-долу.

Коя граница се нуждае от преглед?

5:10 И така, днешната присъда: НУЖДАЕ СЕ ОТ ПРЕГЛЕД (NEEDS REVIEW). Бих проверил административните пътища към самоличността на клиента, преди да й се доверя за физически контрол. Поправеният проблем в САЩ заслужава признание. Кой може да предефинира собственика, на когото вярват всички последващи услуги? И това е "The Diff" за днес. Аз съм Нико от Axrisi. Обединявайте отговорно.

Източници

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip