Zabezpečení identity propojeného vozu: oprávnění majitele a fyzický důkaz

Co toto video pokrývá

• Administrativní kontrola důvěryhodné zákaznické identity může ovlivnit oprávnění vozidla udělené navazujícími aplikačními službami.
• Curry omezuje kompletní testování vozidlového řetězce na účty a vozidla v USA; dosah regionálního adresáře a Shahovo širší kombinované tvrzení mají odlišné rozsahy.
• Přibližně dvouhodinová odezva patří k časové ose zveřejnění v doprovodné zprávě z USA. Australský účet neuvádí odpovídající datum nápravy.
• Podporované příkazy závisí na modelu, předplatném a aktivních propojených službách. Jízda nebo deaktivace imobilizéru nebyly prokázány.
• Výzkumníci aktualizovali stav vozidla a potvrdili fyzické účinky s majitelem stojícím vedle vozidla.
• Verzovaný produkční průvodce PingIDM doporučuje odstranit nebo chránit vývojové nástroje a identifikuje samostatný autentizační systém konzole.

Přeložený přepis

Přeloženo z původního anglického vyprávění. Dostupné audio a titulky jsou řízeny YouTube.

Jak se z přihlášení stal klíč od auta?

0:00 Aplikace vašeho auta ověřuje, že jste majitelem. Výzkumníci místo toho přiměli její identitní server, aby za ně ručil. V tomto videu, jak se z přihlášení stalo oprávnění k vozidlu? A co prokázalo, že auto skutečně poslechlo? Je pondělí, devátého listopadu, a toto je The Daily Diff. Jedna poslední kontrola odděluje přesvědčivou obrazovku od odemčeného auta. Služby propojených automobilů jsou online systémy za telefonní aplikací majitele. Shubham Shah a Sam Curry hlásí, že administrativní přístup k identitě jim umožnil

0:25 získat stejné oprávnění aplikace jako majitel. Demonstrovali vzdálené příkazy na povolených vozidlech. Jejich americký účet uvádí, že chyby byly opraveny po zveřejnění.

Co je nově publikováno a co už bylo opraveno?

0:33 Oba texty se objevily sedmého listopadu. Curry datuje své zveřejnění na začátek letošního roku. Shah popisuje australský výzkum začínající v červenci. To jsou odlišné časové osy. Číst je jako jednu celosvětovou nouzovou situaci by dodalo titulku více síly než důkazům. Shah koupil jedno z nejmenovaných SUV výrobce v roce 2023. Která internetová služba přijme klepnutí, když odemknu auto?

0:53 On a Curry strávili dva týdny zkoumáním identitního systému. Klíčenka získala tým backendu. Aplikace vás přihlásí a načte vaši garáž.

Které identitě služba vozidla důvěřuje?

1:01 Propojená služba spojuje tento účet s vozidly a povolenými příkazy. Tento vztah je užitečnou odpovědí. Kdokoli, kdo kontroluje důvěryhodnou zákaznickou identitu, může zdědit schopnosti určené pro zákazníka. V Austrálii veřejný nástroj pro správu odhalil zákaznické informace prostřednictvím rozhraní chráněných klíči dodávanými v prohlížeči JavaScript. Ambiciózní definice tajemství. Shah také našel přihlašovací údaje administrátora identity v balíčku dodavatele,

1:24 a nahlásil, že fungovaly v produkci. Perimetr blokoval citlivé cesty. Ale softwarové vrstvy interpretovaly stejný požadavek odlišně. Curry říká, že okraj zacházel s cestou jako se statickým obsahem, zatímco backend dosáhl administrační konzole. Rohožka a zamčené dveře konzultovaly odlišné mapy.

Proč byla důležitá vývojová konzole?

1:41 Tato konzole stále přijímala výchozí administrátorské přihlašovací údaje, podle Curryho. Produkční průvodce již operátorům říká, aby ji odstranili nebo chránili, a uvádí, že její ověřování je oddělené od ověřování produktu identity. Další přihlášení skrývající se mezi odrážkami kontrolního seznamu. Odkryté administrační nástroje umožnily spouštění kódu uvnitř služby identity. Výzkumníci získali přístup k záznamům zákazníků za veřejnou hranicí filtrování. Perimetrový filtr kontroluje provoz procházející tímto perimetrem.

2:06 Proces již uvnitř služby má odlišný vztah k datům. To vysvětluje problém více faktorů v americkém účtu. Záznamy identity poskytly přihlašovací informace a cíl pro e-mailový ověřovací kód. Administrativní kontrola nad těmito záznamy umožnila výzkumníkům dokončit přihlášení. Definice zákazníka upstream se již změnila. Shah popisuje samostatnou australskou chybnou konfiguraci ověřování, která umožnila jeho řetězci přeskočit dodatečný faktor.

2:31 Nazvat vícefaktorové ověřování všude nefunkčním by smazalo konfigurační detaily, které vývojáři potřebují. Zachovejte svůj dodatečný faktor. Udržujte také systém definující jeho důvěryhodného vlastníka. Přihlašovací údaje mají odlišné úkoly.

Kdy se sezení stane oprávněním aplikace?

2:43 Administrátorský přístup řídí záznamy identity. Zákaznická relace představuje dokončené přihlášení. Mobilní aplikace získává tokeny přijímané jejími službami. Nazvat všechny tyto magické tokeny znamená ztratit hranice, které umožnily přístup rovnocenný s majitelem. Curry popisuje adresáře identit dvou nejmenovaných výrobců automobilů napříč několika regiony. Úplné testování vozidel omezuje na účty a vozidla v USA. Shah popisuje jednoho výrobce automobilů napříč dvěma australskými značkami,

3:09 pak tvrdí širší kombinovaný dosah. Tyto odlišné rozsahy nám nedávají žádný základ pro identifikaci společností. Hacker News se dohaduje, zda by odemykání telefonu vůbec mělo existovat. Jedna odpověď poukazuje na kontrolu zapomenutého zámku a chlazení nebo ohřívání auta. Lidé mají rádi užitečné funkce. Poskytování pohodlí zákazníkům také dává službě nákladnou práci. Musí si zasloužit svou autoritu.

Co skutečně pokryla náprava?

3:29 Curry hlásí, že oba výrobci automobilů opravili zranitelnost asi dvě hodiny po jejím obdržení a otočili postižené přihlašovací údaje. To je časová osa amerického doprovodu. Shahův červencový účet neposkytuje odpovídající časovou osu nápravy. Jeho účet ponechává aktuální stav nápravy v Austrálii nespecifikovaný. Nemůžeme z dvouhodinové odezvy udělat globální stopky na opravu. Pro vývojáře začněte s administrativní plochou. Inventarizujte, co je vystaveno a který autentizační systém to chrání.

3:55 Odstraňte nepoužívané vývojové nástroje. Chraňte nástroje, které si ponecháte. Předtím, než budete s hraničním pravidlem zacházet jako s posledním slovem ohledně přístupu, zkontrolujte interpretaci požadavků každé vrstvy. Shah říká, že australský řetězec nakonec fungoval kolem půlnoci, otevřel auto, které směli testovat. Identitní infrastruktura s uspokojivým koncem. Zápis si zaslouží svůj závěr kontrolou druhého konce.

4:14 Důvěra backendu je jen polovina konverzace. Curryho americký účet uvádí, že možnosti závisí na modelu vozidla, předplatném a aktivních propojených službách. Podporované příkazy zahrnují odemykání dveří a vzdálené startování motoru. Ani jeden zápis neprokazuje odjezd nebo deaktivaci imobilizéru. Důkazy pokrývají konkrétní možnosti aplikace a povolené fyzické demonstrace. Zeptejte se, která služba může změnit fakta, na která se vaše autorizace spoléhá. Resetování hesla a změny kontaktů jsou důležité, protože jiné systémy je považují

4:41 za pravdu. Platné přihlášení může spočívat na přepsané identitě. Tento příběh o autě se stává vaším příběhem aplikace.

Co prokázalo, že auto skutečně poslechlo?

4:48 Finální kontrola proběhla vedle auta. Curry říká, že samotný přijatý API příkaz nic neprokázal o chování auta. Aktualizovali jeho stav a potvrdili fyzický výsledek s majitelem stojícím vedle něj. Shah odemkl a nastartoval vozidlo, poté ho zastavil a znovu zamkl. Důkaz dorazil na příjezdovou cestu. Pokud si to raději přečtete, než abyste mě slyšeli říkat, diff vám přistane ve schránce každé ráno, zdarma na thedailydiff dot dev, odkaz níže. Takže, dnešní verdikt, NEEDS REVIEW.

Která hranice potřebuje prověřit?

5:10 Předtím, než se na ni spolehnu pro fyzické ovládání, bych zkontroloval administrativní cesty do zákaznické identity. Nahlášená oprava v USA si zaslouží uznání. Kdo může předefinovat vlastníka, kterému věří každá navazující služba? A to je dnešní diff. Jsem Niko z Axrisi. Spojujte zodpovědně. Spojujte zodpovědně.

Zdroje

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip