সংযুক্ত গাড়ির পরিচয় নিরাপত্তা: মালিকের কর্তৃত্ব এবং ভৌত প্রমাণ

এই ভিডিওতে যা আছে

• বিশ্বস্ত গ্রাহক পরিচয়ের প্রশাসনিক নিয়ন্ত্রণ ডাউনস্ট্রিম অ্যাপ পরিষেবাগুলি দ্বারা প্রদত্ত গাড়ির কর্তৃত্বকে প্রভাবিত করতে পারে।
• কারি সম্পূর্ণ গাড়ির চেইন পরীক্ষা মার্কিন অ্যাকাউন্ট এবং গাড়িগুলিতে সীমাবদ্ধ করেন; আঞ্চলিক ডিরেক্টরির পরিধি এবং শাহের বিস্তৃত সম্মিলিত দাবির ভিন্ন ভিন্ন সুযোগ রয়েছে।
• প্রায় দুই ঘণ্টার প্রতিক্রিয়া মার্কিন সহগামীর প্রকাশের সময়রেখার অন্তর্গত। অস্ট্রেলিয়ান অ্যাকাউন্টে কোনও মিলে যাওয়া প্রতিকার তারিখ দেওয়া নেই।
• সমর্থিত কমান্ডগুলি মডেল, সাবস্ক্রিপশন এবং সক্রিয় সংযুক্ত পরিষেবাগুলির উপর নির্ভর করে। ড্রাইভিং বা ইমোবিলাইজার নিষ্ক্রিয়তা প্রতিষ্ঠিত হয়নি।
• গবেষকরা গাড়ির অবস্থা রিফ্রেশ করেছেন এবং গাড়ির পাশে মালিকের সাথে শারীরিক প্রভাব নিশ্চিত করেছেন।
• PingIDM-এর সংস্করণকৃত উৎপাদন নির্দেশিকা ডেভেলপমেন্ট টুলস অপসারণ বা সুরক্ষার সুপারিশ করে এবং একটি পৃথক কনসোল প্রমাণীকরণ সিস্টেম সনাক্ত করে।

অনুবাদিত প্রতিলিপি

মূল ইংরেজি বর্ণনা থেকে অনূদিত। উপলব্ধ অডিও এবং ক্যাপশন YouTube দ্বারা নিয়ন্ত্রিত।

একটি লগইন কীভাবে গাড়ির চাবি হয়ে গেল?

0:00 আপনার গাড়ির অ্যাপ পরীক্ষা করে যে আপনিই মালিক কিনা। গবেষকরা এর পরিবর্তে তাদের পরিচয় সার্ভারকে তাদের জন্য যাচাই করিয়েছেন। এই ভিডিওতে, লগইন কীভাবে গাড়ির কর্তৃত্ব হয়ে উঠল? এবং কী প্রমাণ করেছে যে একটি গাড়ি আসলে মান্য করেছে? আজ সোমবার, ৯ই নভেম্বর, এবং এটি The Daily Diff। একটি চূড়ান্ত পরীক্ষা একটি বিশ্বাসযোগ্য স্ক্রিনকে একটি খোলা গাড়ি থেকে আলাদা করে। সংযুক্ত গাড়ির পরিষেবাগুলি হল মালিকের ফোন অ্যাপের পিছনের অনলাইন সিস্টেম। শুভম শাহ এবং স্যাম কারি রিপোর্ট করেছেন যে প্রশাসনিক পরিচয় অ্যাক্সেস তাদের

0:25 মালিকের মতো একই অ্যাপের কর্তৃত্ব অর্জন করতে দিয়েছে। তারা অনুমতিপ্রাপ্ত গাড়িগুলিতে দূরবর্তী কমান্ডগুলি প্রদর্শন করেছেন। তাদের মার্কিন অ্যাকাউন্টে বলা হয়েছে যে প্রকাশের পরে ত্রুটিগুলি ঠিক করা হয়েছিল।

নতুন কী প্রকাশিত হয়েছে, এবং কী ইতিমধ্যে ঠিক করা হয়েছে?

0:33 উভয় লেখা ৭ই নভেম্বর প্রকাশিত হয়েছিল। কারি তার প্রকাশনার তারিখ এই বছরের প্রথম দিকে দেন। শাহ জুলাই মাসে অস্ট্রেলিয়ান গবেষণা শুরুর বর্ণনা দেন। এগুলি ভিন্ন সময়রেখা। এগুলিকে একটি বিশ্বব্যাপী জরুরি অবস্থা হিসাবে পড়লে শিরোনামটিকে আরও বেশি ক্ষমতা দেবে প্রমাণের চেয়ে। শাহ ২০২৩ সালে একটি নামহীন গাড়ি প্রস্তুতকারকের এসইউভি কিনেছিলেন। আমি যখন আমার গাড়ি আনলক করি তখন কোন ইন্টারনেট পরিষেবা ট্যাপ পায়?

0:53 তিনি এবং কারি পরিচয় সিস্টেম পরীক্ষা করতে দুই সপ্তাহ ব্যয় করেছেন। কী ফোব একটি ব্যাকএন্ড দল অর্জন করেছে। অ্যাপ আপনাকে সাইন ইন করে এবং আপনার গ্যারেজ লোড করে।

গাড়ির পরিষেবা কোন পরিচয়কে বিশ্বাস করে?

1:01 সংযুক্ত পরিষেবা সেই অ্যাকাউন্টটিকে গাড়ি এবং অনুমোদিত কমান্ডগুলির সাথে সংযুক্ত করে। সেই সম্পর্কটি হল দরকারী উত্তর। যে কেউ বিশ্বস্ত গ্রাহক পরিচয় নিয়ন্ত্রণ করে সে গ্রাহকের জন্য উদ্দেশ্যকৃত ক্ষমতাগুলি উত্তরাধিকার সূত্রে পেতে পারে। গ্রাহকের জন্য। অস্ট্রেলিয়ায়, একটি পাবলিক ম্যানেজমেন্ট টুল ব্রাউজার জাভাস্ক্রিপ্টে পাঠানো কী দ্বারা সুরক্ষিত ইন্টারফেসের মাধ্যমে গ্রাহকের তথ্য উন্মোচন করেছে। ইন্টারফেসের মাধ্যমে গ্রাহকের তথ্য উন্মোচন করেছে। গোপনতার উচ্চাকাঙ্ক্ষী সংজ্ঞা। শাহ একটি ভেন্ডর বান্ডেলে পরিচয় প্রশাসকের শংসাপত্রও খুঁজে পেয়েছেন,

1:24 এবং রিপোর্ট করেছেন যে সেগুলি উৎপাদনে কাজ করেছে। পরিধি সংবেদনশীল রুটগুলিকে অবরুদ্ধ করেছিল। কিন্তু সফ্টওয়্যার স্তরগুলি একই অনুরোধকে ভিন্নভাবে ব্যাখ্যা করেছে। কারি বলেছেন যে প্রান্তটি একটি পথকে স্ট্যাটিক কন্টেন্ট হিসাবে বিবেচনা করেছে যখন ব্যাকএন্ড একটি প্রশাসন কনসোলে পৌঁছেছিল। স্বাগতম মাদুর এবং তালাবদ্ধ দরজা ভিন্ন ভিন্ন মানচিত্রের সাথে পরামর্শ করছিল।

একটি ডেভেলপমেন্ট কনসোল কেন গুরুত্বপূর্ণ ছিল?

1:41 সেই কনসোলটি এখনও ডিফল্ট প্রশাসক শংসাপত্র গ্রহণ করেছে, কারির মতে। উৎপাদন নির্দেশিকা ইতিমধ্যেই অপারেটরদের এটি অপসারণ বা সুরক্ষিত করতে বলে, এবং বলে যে এর প্রমাণীকরণ পরিচয় পণ্যের প্রমাণীকরণ থেকে আলাদা। চেকলিস্টের বুলেট পয়েন্টগুলির মধ্যে আরেকটি লগইন লুকানো। উন্মোচিত প্রশাসন টুলিং পরিচয় পরিষেবার ভিতরে কোড চালানোর অনুমতি দিয়েছে। গবেষকরা পাবলিক ফিল্টারিং সীমানার পিছনে গ্রাহক রেকর্ড অ্যাক্সেস করেছেন। একটি পরিধি ফিল্টার সেই পরিধি অতিক্রমকারী ট্র্যাফিক পরীক্ষা করে।

2:06 পরিষেবার ভিতরে থাকা একটি প্রক্রিয়ার ডেটার সাথে ভিন্ন সম্পর্ক থাকে। এটি মার্কিন অ্যাকাউন্টের মাল্টি-ফ্যাক্টর সমস্যার ব্যাখ্যা করে। পরিচয় রেকর্ডগুলি একটি ইমেল যাচাইকরণ কোডের জন্য লগইন তথ্য এবং গন্তব্য সরবরাহ করেছে। সেই রেকর্ডগুলির উপর প্রশাসনিক নিয়ন্ত্রণ গবেষকদের লগইন সম্পূর্ণ করতে দিয়েছে। গ্রাহকের আপস্ট্রিম সংজ্ঞা ইতিমধ্যে পরিবর্তিত হয়েছিল। শাহ একটি পৃথক অস্ট্রেলিয়ান প্রমাণীকরণ মিসকনফিগারেশনের বর্ণনা দিয়েছেন যা তার চেইনকে অতিরিক্ত ফ্যাক্টর এড়িয়ে যেতে দিয়েছে। তার চেইনকে অতিরিক্ত ফ্যাক্টর এড়িয়ে যেতে দিয়েছে।

2:31 সর্বত্র মাল্টি-ফ্যাক্টর প্রমাণীকরণ ভাঙা বলা হলে ডেভেলপারদের প্রয়োজনীয় কনফিগারেশন বিশদগুলি মুছে ফেলবে। কনফিগারেশন বিশদগুলি মুছে ফেলবে। আপনার অতিরিক্ত ফ্যাক্টর রাখুন। সিস্টেমটিকে তার মালিককে বিশ্বস্ত হিসাবে সংজ্ঞায়িত করা চালিয়ে যেতে দিন। শংসাপত্রগুলির ভিন্ন কাজ রয়েছে।

একটি সেশন কখন অ্যাপের কর্তৃত্ব হয়ে ওঠে?

2:43 প্রশাসক অ্যাক্সেস পরিচয় রেকর্ড নিয়ন্ত্রণ করে। একটি গ্রাহক সেশন একটি সম্পূর্ণ সাইন-ইন উপস্থাপন করে। মোবাইল অ্যাপ তার পরিষেবাগুলি দ্বারা গৃহীত টোকেনগুলি অর্জন করে। এগুলিকে একটি জাদু টোকেন বলা হলে সেই সীমানাগুলি হারিয়ে যায় যা মালিক-সমতুল্য অ্যাক্সেস সম্ভব করেছিল। কারি একাধিক অঞ্চলে দুটি নামহীন গাড়ি প্রস্তুতকারকের পরিচয় ডিরেক্টরিগুলির বর্ণনা দিয়েছেন। তিনি সম্পূর্ণ গাড়ির পরীক্ষা মার্কিন অ্যাকাউন্ট এবং গাড়িগুলিতে সীমাবদ্ধ করেন। শাহ দুটি অস্ট্রেলিয়ান ব্র্যান্ড জুড়ে একটি গাড়ি প্রস্তুতকারকের বর্ণনা দিয়েছেন,

3:09 তারপর বিস্তৃত সম্মিলিত পরিধি দাবি করেন। সেই ভিন্ন ভিন্ন সুযোগগুলি আমাদের কোম্পানিগুলিকে সনাক্ত করার কোনও ভিত্তি দেয় না। হ্যাকার নিউজ বিতর্ক করে যে ফোন আনলকিংয়ের অস্তিত্ব থাকা উচিত কিনা। একটি উত্তরে ভুলে যাওয়া লক পরীক্ষা করা এবং গাড়ি ঠান্ডা বা গরম করার কথা উল্লেখ করা হয়েছে। মানুষ দরকারী বৈশিষ্ট্য পছন্দ করে। গ্রাহকদের সুবিধা দেওয়া পরিষেবাটিকে একটি ব্যয়বহুল কাজও দেয়। এটি তার কর্তৃত্ব অর্জন করতে হবে।

প্রতিকার আসলে কী কভার করেছে?

3:29 কারি রিপোর্ট করেছেন যে উভয় গাড়ি প্রস্তুতকারক এটি পাওয়ার প্রায় দুই ঘন্টা পরে দুর্বলতাটি ঠিক করেছেন এবং প্রভাবিত শংসাপত্রগুলি ঘোরানো হয়েছে। এটি মার্কিন সহগামীর সময়রেখা। শাহের জুলাইয়ের অ্যাকাউন্টে কোনও মিলে যাওয়া প্রতিকার সময়রেখা দেওয়া নেই। তার অ্যাকাউন্ট অস্ট্রেলিয়ার বর্তমান প্রতিকার অবস্থা অনির্দিষ্ট রাখে। আমরা দুই ঘণ্টার প্রতিক্রিয়াকে বিশ্বব্যাপী মেরামতের স্টপওয়াচে পরিণত করতে পারি না। ডেভেলপারদের জন্য, প্রশাসন পৃষ্ঠ থেকে শুরু করুন। কী উন্মোচিত হয়েছে এবং কোন প্রমাণীকরণ সিস্টেম এটিকে রক্ষা করে তা ইনভেন্টরি করুন।

3:55 অব্যবহৃত ডেভেলপমেন্ট টুলস সরান। আপনার ধরে রাখা টুলস রক্ষা করুন। অ্যাক্সেসের বিষয়ে শেষ কথা হিসাবে একটি প্রান্তের নিয়ম বিবেচনা করার আগে প্রতিটি স্তরের অনুরোধের ব্যাখ্যা পর্যালোচনা করুন। অ্যাক্সেসের বিষয়ে শেষ কথা হিসাবে একটি প্রান্তের নিয়ম বিবেচনা করার আগে প্রতিটি স্তরের অনুরোধের ব্যাখ্যা পর্যালোচনা করুন। শাহ বলেছেন যে অস্ট্রেলিয়ান চেইনটি অবশেষে মধ্যরাতে কাজ করেছে, একটি গাড়ি খুলছে যা তারা পরীক্ষা করার অনুমতি পেয়েছিল। একটি সন্তোষজনক সমাপ্তি সহ পরিচয় প্লাম্বিং। একটি লেখা তার অন্য প্রান্ত পরীক্ষা করে তার উপসংহার অর্জন করে।

4:14 ব্যাকএন্ডের আত্মবিশ্বাস কথোপকথনের মাত্র অর্ধেক। কারির মার্কিন অ্যাকাউন্টে বলা হয়েছে যে ক্ষমতাগুলি গাড়ির মডেল, সাবস্ক্রিপশন এবং সক্রিয় সংযুক্ত পরিষেবাগুলির উপর নির্ভর করে। সমর্থিত কমান্ডগুলির মধ্যে রয়েছে দরজা আনলক এবং দূরবর্তী ইঞ্জিন স্টার্ট। কোনও লেখাই গাড়ি চালিয়ে যাওয়া বা ইমোবিলাইজার নিষ্ক্রিয় করা প্রতিষ্ঠা করে না। প্রমাণটি নির্দিষ্ট অ্যাপের ক্ষমতা এবং অনুমতিপ্রাপ্ত শারীরিক প্রদর্শনগুলিকে কভার করে। জিজ্ঞেস করুন কোন পরিষেবা আপনার অনুমোদনের নির্ভর করা তথ্যগুলি পরিবর্তন করতে পারে। পাসওয়ার্ড রিসেট এবং যোগাযোগের পরিবর্তনগুলি গুরুত্বপূর্ণ কারণ অন্যান্য সিস্টেম সেগুলিকে সত্য হিসাবে ব্যবহার করে।

4:41 সেগুলিকে সত্য হিসাবে ব্যবহার করে। একটি বৈধ লগইন একটি পুনরায় লেখা পরিচয়ের উপর নির্ভর করতে পারে। এই গাড়ির গল্পটি সেখানে আপনার অ্যাপ্লিকেশন গল্প হয়ে ওঠে।

কী প্রমাণ করেছে যে গাড়িটি আসলে মান্য করেছে?

4:48 চূড়ান্ত পরীক্ষাটি গাড়ির পাশে হয়েছিল। কারি বলেছেন যে শুধুমাত্র একটি গৃহীত API কমান্ড গাড়ির আচরণ সম্পর্কে কিছুই প্রমাণ করে না। তারা এর অবস্থা রিফ্রেশ করেছেন এবং মালিকের পাশে দাঁড়িয়ে শারীরিক ফলাফল নিশ্চিত করেছেন। মালিকের পাশে দাঁড়িয়ে শারীরিক ফলাফল নিশ্চিত করেছেন। শাহ গাড়িটি আনলক করে চালু করেছেন, তারপর থামিয়ে আবার লক করেছেন। প্রমাণটি ড্রাইভওয়েতে পৌঁছেছে। আপনি যদি এটি আমার মুখে না শুনে পড়তে চান, তাহলে ডিফারেন্স প্রতিদিন সকালে আপনার ইনবক্সে আসে, daily diff dot dev-এ বিনামূল্যে, নিচের লিঙ্কে।

কোন সীমানা পর্যালোচনা করা দরকার?

5:10 সুতরাং, আজকের রায়, NEEDS REVIEW। আমি শারীরিক নিয়ন্ত্রণগুলির সাথে বিশ্বাস করার আগে গ্রাহকের পরিচয়ে প্রশাসনিক পথগুলি অডিট করব। প্রতিবেদিত মার্কিন সমাধান প্রশংসার যোগ্য। কে মালিককে পুনরায় সংজ্ঞায়িত করতে পারে যাকে প্রতিটি ডাউনস্ট্রিম পরিষেবা বিশ্বাস করে? এবং এটিই আজকের ডিফারেন্স। আমি Axrisi থেকে নিকো। দায়িত্বের সাথে মার্জ করুন।

উৎস

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip