Sigurnost identiteta povezanog automobila: ovlašćenje vlasnika i fizički dokaz
Shubham Shah i Sam Curry izvještavaju o administrativnom pristupu identitetu koji je doveo do ovlaštenja aplikacije za povezana vozila ekvivalentnog vlasniku na ovlaštenim vozilima.
Shubham Shah i Sam Curry izvještavaju o administrativnom pristupu identitetu koji je doveo do ovlaštenja aplikacije za povezana vozila ekvivalentnog vlasniku na ovlaštenim vozilima. Njihove publikacije od 7. novembra opisuju ranija istraživanja. Pratilac iz SAD-a izvještava o otklanjanju istog dana; zasebni australski julski izvještaj ostavlja svoj trenutni status otklanjanja nespecificiranim.
Pročitajte pisano izdanje (engleski) ↗
Šta ovaj video pokriva
- Administrativna kontrola pouzdanog identiteta kupca može uticati na ovlašćenje vozila koje dodeljuju nizvodne usluge aplikacije.
- Curry ograničava potpuno testiranje lanca vozila na američke račune i vozila; regionalni doseg direktorijuma i Shahova šira kombinovana tvrdnja imaju različite opsege.
- Približno dvosatni odgovor pripada vremenskoj liniji objavljivanja američkog pratećeg izveštaja. Australijski izveštaj ne navodi odgovarajući datum rešavanja problema.
- Podržane komande zavise od modela, pretplate i aktivnih povezanih usluga. Vožnja ili onesposobljavanje imobilajzera nisu utvrđeni.
- Istraživači su osvežili status vozila i potvrdili fizičke efekte sa vlasnikom pored vozila.
- Verzija proizvodnog vodiča PingIDM-a preporučuje uklanjanje ili zaštitu razvojnih alata i identifikuje zaseban sistem autentifikacije konzole.
Pitanja i odgovori
Kako je pristup identitetnom serveru postao ovlašćenje za povezani automobil?
Administrativni pristup identitetu omogućio je istraživačima da dobiju ovlašćenje aplikacije ekvivalentno vlasniku, prema Shubham Shah-u i Samu Curry-ju. Povezana usluga je povezivala račune korisnika sa vozilima i podržanim komandama. Njihov izveštaj razlikuje administrativni pristup, završenu korisničku sesiju i tokene mobilne aplikacije koje prihvataju njene usluge. Demonstracije su koristile vozila sa dozvolama.
Šta utvrđuju prijavljeni datumi i regionalni opsezi?
Američki pratilac opisuje ranije istraživanje i popravak istog dana nakon otkrivanja. Curry ograničava potpuno testiranje lanca vozila na američke račune i vozila, dok su pogođeni direktorijumi identiteta služili više regiona. Shah zasebno opisuje australijsko istraživanje koje je počelo u julu. Njegov članak ostavlja status trenutnog rešavanja problema u Australiji neodređenim, tako da izvori ne utvrđuju jednu svetsku vremensku liniju otkrivanja ili popravke.
Šta smernice za jačanje proizvodnje kažu o razvojnim konzolama?
Uklonite ili zaštitite razvojne i alate za otklanjanje grešaka pre proizvodnje, prema verziranom sigurnosnom vodiču Ping Identity. On identifikuje konzolu kao da ima autentifikaciju odvojenu od autentifikacije proizvoda za identitet. Ta razlika čini konzolu sopstvenom granicom pregleda. Epizoda preporučuje popisivanje administrativnih površina i proveru koji sistem autentifikacije štiti svaku od njih.
Kako su istraživači potvrdili fizički rezultat vozila?
Osvežili su status vozila i proverili fizički rezultat sa vlasnikom pored vozila, prema Shah-ovom i Curry-jevom američkom pratiocu. Samo prihvatanje API-ja nije dokazalo akciju. Shah je otključao i pokrenuo vozilo, zatim ga zaustavio i ponovo zaključao. Prijavljeni dokazi obuhvataju podržane komande aplikacije; odvoženje ili onesposobljavanje imobilajzera nije utvrđeno.
Kakva je bila presuda The Daily Diff-a o granici poverenja identiteta?
Presuda The Daily Diff-a je bila POTREBAN PREGLED. Niko bi proverio administrativne putanje u pouzdan identitet kupca pre nego što se osloni na njih za fizičke kontrole, uz priznavanje prijavljenog američkog popravka. Shah-ovi i Curry-jevi izveštaji pokazuju zašto je uzvodna kontrola nad zapisima identiteta važna za nizvodnu autorizaciju. Presuda ne tvrdi da postoji tekuća svetska ranjivost.
Prevedeni transkript
Prevedeno iz originalne engleske naracije. Dostupan zvuk i titlovi kontroliše YouTube.
Kako je prijava postala ključ od automobila?
0:00 Aplikacija vašeg automobila proverava da li ste vlasnik. Istraživači su umesto toga učinili da njihov identitetni server garantuje za njih. U ovom videu, kako je prijava postala ovlašćenje vozila? I šta je dokazalo da se automobil zaista pokoravao? Ponedeljak je, deveti novembar, i ovo je The Daily Diff. Jedna konačna provera deli uverljiv ekran od otključanog automobila. Usluge povezanih automobila su online sistemi iza telefonske aplikacije vlasnika. Shubham Shah i Sam Curry izveštavaju da im je administrativni pristup identitetu omogućio
0:25 da dobiju isto ovlašćenje aplikacije kao vlasnik. Demonstrirali su daljinske komande na vozilima sa dozvolama. Njihov američki izveštaj kaže da su nedostaci otklonjeni nakon otkrivanja.
Šta je novoobjavljeno, a šta je već popravljeno?
0:33 Oba zapisa su se pojavila sedmog novembra. Curry datira svoje otkrivanje na početak ove godine. Shah opisuje australijsko istraživanje koje je počelo u julu. To su različite vremenske linije. Čitanje njih kao jedne svetske vanredne situacije dalo bi naslovu više snage nego dokaz. Shah je kupio jedan od neimenovanih SUV-ova proizvođača automobila 2023. godine. Koji internet servis prima dodir kada otključam svoj automobil?
0:53 On i Curry su proveli dve nedelje ispitujući sistem identiteta. Ključ je dobio pozadinski tim. Aplikacija vas prijavljuje i učitava vašu garažu.
Koji identitet veruje usluga vozila?
1:01 Povezana usluga povezuje taj račun sa vozilima i dozvoljenim komandama. Ta veza je koristan odgovor. Ko god kontroliše pouzdan identitet kupca može naslediti sposobnosti namenjene kupcu. U Australiji, javni alat za upravljanje je izložio informacije o kupcima putem interfejsa zaštićenih ključevima isporučenim u pregledačkom JavaScriptu. Amiciozna definicija tajne. Shah je takođe pronašao administrativne akreditive identiteta u paketu dobavljača,
1:24 i izvestio da su radili u produkciji. Perimetar je blokirao osetljive rute. Ali softverski slojevi su istu zahtev tumačili različito. Curry kaže da je ivica tretirala putanju kao statički sadržaj dok je pozadina pristupila administrativnoj konzoli. Dobrodošao otirač i zaključana vrata su konsultovali različite mape.
Zašto je razvojna konzola bila važna?
1:41 Ta konzola je i dalje prihvatala podrazumevane administrativne akreditive, prema Curryju. Vodič za proizvodnju već govori operaterima da ga uklone ili zaštite, i kaže da je njegova autentifikacija odvojena od autentifikacije proizvoda za identitet. Još jedna prijava skrivena između stavki kontrolne liste. Izloženi administrativni alati omogućavali su pokretanje koda unutar identiteta usluge. Istraživači su pristupili zapisima kupaca iza javne granice filtriranja. Perimetarski filter proverava saobraćaj koji prelazi taj perimetar.
2:06 Proces koji je već unutar usluge ima drugačiji odnos sa podacima. Ovo objašnjava problem višefaktorske autentifikacije u američkom izveštaju. Zapisi identiteta su pružali informacije za prijavu i odredište za verifikacioni kod putem e-pošte. Administrativna kontrola nad tim zapisima omogućila je istraživačima da završe prijavu. Uzgajajuća definicija kupca se već promenila. Shah opisuje zasebnu australijsku pogrešnu konfiguraciju autentifikacije koja je omogućila njegovom lancu da preskoči dodatni faktor.
2:31 Nazivanje višefaktorske autentifikacije pokvarenom svuda bi izbrisalo detalje konfiguracije koji su potrebni programerima. Zadržite svoj dodatni faktor. Takođe, neka sistem koji definiše svog vlasnika bude pouzdan. Akreditivi imaju različite poslove.
Kada sesija postaje ovlašćenje aplikacije?
2:43 Administrativni pristup kontroliše zapise identiteta. Korisnička sesija predstavlja završenu prijavu. Mobilna aplikacija dobija tokene koje prihvataju njene usluge. Nazivanje svih njih 'magičnim tokenom' gubi granice koje su omogućile pristup ekvivalentan vlasniku. Curry opisuje direktorijume identiteta dva neimenovana proizvođača automobila u više regiona. On ograničava potpuno testiranje vozila na američke račune i vozila. Shah opisuje jednog proizvođača automobila preko dva australijska brenda,
3:09 zatim tvrdi širi kombinovani doseg. Ti različiti opsezi nam ne daju osnovu za identifikaciju kompanija. Hacker News raspravlja o tome da li bi otključavanje telefona trebalo da postoji. Jedan odgovor ukazuje na proveru zaboravljene brave i hlađenje ili grejanje automobila. Ljudi vole korisne funkcije. Pružanje pogodnosti kupcima takođe daje usluzi skup posao. Mora zaslužiti svoje ovlašćenje.
Šta je rešavanje problema zapravo obuhvatilo?
3:29 Curry izveštava da su oba proizvođača automobila otklonila ranjivost oko dva sata nakon što su je primili i rotirali pogođene akreditive. To je vremenska linija američkog pratioca. Shahov izveštaj iz jula ne pruža odgovarajuću vremensku liniju rešavanja problema. Njegov izveštaj ostavlja trenutni status rešavanja problema u Australiji neodređenim. Ne možemo pretvoriti dvosatni odgovor u globalnu štopericu za popravku. Za programere, počnite sa administrativnom površinom. Popišite šta je izloženo i koji sistem autentifikacije ga štiti.
3:55 Uklonite neiskorišćene razvojne alate. Zaštitite alate koje zadržite. Pregledajte interpretaciju zahteva svakog sloja pre nego što tretiraš pravilo ivice kao poslednju reč o pristupu. Shah kaže da je australijski lanac konačno proradio oko ponoći, otvarajući automobil koji im je bilo dozvoljeno da testiraju. Sistem identiteta sa zadovoljavajućim završetkom. Napis zaslužuje svoj zaključak proveravajući drugi kraj.
4:14 Pouzdanje pozadine je samo pola razgovora. Curryjev američki izveštaj kaže da mogućnosti zavise od modela vozila, pretplate i aktivnih povezanih usluga. Podržane komande uključuju otključavanje vrata i daljinsko pokretanje motora. Nijedan zapis ne uspostavlja odvoženje ili onesposobljavanje imobilajzera. Dokazi obuhvataju određene mogućnosti aplikacije i dozvoljene fizičke demonstracije. Pitajte koja usluga može promeniti činjenice na koje se vaše ovlašćenje oslanja. Resetovanje lozinki i promene kontakta su važni jer ih drugi sistemi koriste
4:41 kao istinu. Validna prijava može počivati na prepisanom identitetu. Ova priča o automobilu postaje vaša priča o aplikaciji tamo.
Šta je dokazalo da se automobil zaista pokoravao?
4:48 Konačna provera se desila pored automobila. Curry kaže da samo prihvaćena API komanda nije dokazala ništa o ponašanju automobila. Osvežili su njegov status i potvrdili fizički rezultat sa vlasnikom koji je stajao pored njega. Shah je otključao i pokrenuo vozilo, zatim ga zaustavio i ponovo zaključao. Dokaz je stigao do prilaza. Ako biste radije ovo pročitali nego čuli od mene, diff stiže u vaše sanduče svakog jutra, besplatno na daily diff dot dev, link ispod.
Koja granica treba pregled?
5:10 Dakle, današnja presuda, POTREBAN PREGLED. Ja bih proverio administrativne putanje u identitet kupca pre nego što im verujem sa fizičkim kontrolama. Prijavljeni američki popravak zaslužuje priznanje. Ko može redefinisati vlasnika u koga veruje svaka nizvodna usluga? I to je diff za danas. Ja sam Niko iz Axrisi. Spojite odgovorno.
Izvori
- Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
- unlocking any car from X brand in most of the worldShubham Shah
- Remove or protect development and debug tools — PingIDM 7.2Ping Identity
- Connected-car disclosure discussionHacker News
- Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
- Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
- Sam Curry's official About page corroborates portrait identitySam Curry
- Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
- GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
- Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip
