Ασφάλεια ταυτότητας συνδεδεμένου αυτοκινήτου: εξουσιοδότηση ιδιοκτήτη και φυσική απόδειξη

Τι καλύπτει αυτό το βίντεο

• Ο διοικητικός έλεγχος της αξιόπιστης ταυτότητας πελάτη μπορεί να επηρεάσει την εξουσία οχήματος που παρέχεται από υπηρεσίες εφαρμογών.
• Ο Curry περιορίζει την πλήρη δοκιμή της αλυσίδας οχήματος σε λογαριασμούς και οχήματα των ΗΠΑ. η περιφερειακή εμβέλεια καταλόγου και η ευρύτερη συνδυασμένη απαίτηση του Shah έχουν διαφορετικά πεδία εφαρμογής.
• Η απόκριση περίπου δύο ωρών ανήκει στο χρονοδιάγραμμα αποκάλυψης του συνοδευτικού των ΗΠΑ. Ο αυστραλιανός λογαριασμός δεν δίνει αντίστοιχη ημερομηνία αποκατάστασης.
• Οι υποστηριζόμενες εντολές εξαρτώνται από το μοντέλο, τη συνδρομή και τις ενεργές συνδεδεμένες υπηρεσίες. Δεν διαπιστώθηκε οδήγηση ή απενεργοποίηση του immobilizer.
• Οι ερευνητές ανανέωσαν την κατάσταση του οχήματος και επιβεβαίωσαν τις φυσικές επιπτώσεις με τον ιδιοκτήτη δίπλα στο όχημα.
• Ο οδηγός παραγωγής με έκδοση του PingIDM συνιστά την αφαίρεση ή την προστασία εργαλείων ανάπτυξης και προσδιορίζει ένα ξεχωριστό σύστημα ελέγχου ταυτότητας κονσόλας.

Μεταφρασμένη μεταγραφή

Μεταφράστηκε από την πρωτότυπη αγγλική αφήγηση. Ο διαθέσιμος ήχος και οι υπότιτλοι ελέγχονται από το YouTube.

Πώς μια σύνδεση έγινε κλειδί αυτοκινήτου;

0:00 Η εφαρμογή του αυτοκινήτου σας ελέγχει ότι είστε ο ιδιοκτήτης. Οι ερευνητές έκαναν τον διακομιστή ταυτότητας να εγγυηθεί γι' αυτούς αντ' αυτού. Σε αυτό το βίντεο, πώς μια σύνδεση έγινε εξουσία οχήματος; Και τι απέδειξε ότι ένα αυτοκίνητο υπάκουσε πραγματικά; Είναι Δευτέρα, εννιά Νοεμβρίου, και αυτό είναι το The Daily Diff. Ένας τελευταίος έλεγχος χωρίζει μια πειστική οθόνη από ένα ξεκλείδωτο αυτοκίνητο. Οι υπηρεσίες συνδεδεμένων αυτοκινήτων είναι τα διαδικτυακά συστήματα πίσω από την εφαρμογή τηλεφώνου ενός ιδιοκτήτη. Οι Shubham Shah και Sam Curry αναφέρουν ότι η διοικητική πρόσβαση στην ταυτότητα τους επέτρεψε

0:25 να αποκτήσουν την ίδια εξουσία εφαρμογής με έναν ιδιοκτήτη. Επέδειξαν απομακρυσμένες εντολές σε οχήματα με άδεια. Ο λογαριασμός τους στις ΗΠΑ αναφέρει ότι τα ελαττώματα διορθώθηκαν μετά την αποκάλυψη.

Τι δημοσιεύτηκε πρόσφατα και τι είχε ήδη διορθωθεί;

0:33 Και οι δύο αναφορές εμφανίστηκαν στις επτά Νοεμβρίου. Ο Curry χρονολογεί την αποκάλυψή του στις αρχές του τρέχοντος έτους. Ο Shah περιγράφει την αυστραλιανή έρευνα που ξεκίνησε τον Ιούλιο. Αυτά είναι διαφορετικά χρονοδιαγράμματα. Η ανάγνωσή τους ως μια παγκόσμια έκτακτη ανάγκη θα έδινε στον τίτλο περισσότερη δύναμη από τα στοιχεία. Ο Shah αγόρασε ένα από τα SUV του ανώνυμου κατασκευαστή το 2023. Ποια υπηρεσία διαδικτύου λαμβάνει το πάτημα όταν ξεκλειδώνω το αυτοκίνητό μου;

0:53 Αυτός και ο Curry αφιέρωσαν δύο εβδομάδες εξετάζοντας το σύστημα ταυτότητας. Το κλειδί έχει αποκτήσει μια ομάδα backend. Η εφαρμογή σας συνδέει και φορτώνει το γκαράζ σας.

Ποια ταυτότητα εμπιστεύεται η υπηρεσία οχήματος;

1:01 Η συνδεδεμένη υπηρεσία συσχετίζει αυτόν τον λογαριασμό με οχήματα και επιτρεπόμενες εντολές. Αυτή η σχέση είναι η χρήσιμη απάντηση. Όποιος ελέγχει την αξιόπιστη ταυτότητα πελάτη μπορεί να κληρονομήσει δυνατότητες που προορίζονται για τον πελάτη. Στην Αυστραλία, ένα δημόσιο εργαλείο διαχείρισης αποκάλυψε πληροφορίες πελατών μέσω διεπαφών που προστατεύονται από κλειδιά που παραδόθηκαν σε JavaScript προγράμματος περιήγησης. Φιλόδοξος ορισμός του μυστικού. Ο Shah βρήκε επίσης διαπιστευτήρια διαχειριστή ταυτότητας σε ένα πακέτο προμηθευτή,

1:24 και ανέφερε ότι λειτουργούσαν στην παραγωγή. Η περίμετρος μπλόκαρε ευαίσθητες διαδρομές. Αλλά τα επίπεδα λογισμικού ερμήνευαν το ίδιο αίτημα διαφορετικά. Ο Curry λέει ότι το edge αντιμετώπιζε μια διαδρομή ως στατικό περιεχόμενο, ενώ το backend έφτανε σε μια κονσόλα διαχείρισης. Το χαλάκι καλωσορίσματος και η κλειδωμένη πόρτα συμβουλεύονταν διαφορετικούς χάρτες.

Γιατί ήταν σημαντική μια κονσόλα ανάπτυξης;

1:41 Αυτή η κονσόλα εξακολουθούσε να δέχεται προεπιλεγμένα διαπιστευτήρια διαχειριστή, σύμφωνα με τον Curry. Ο οδηγός παραγωγής ήδη λέει στους χειριστές να την αφαιρέσουν ή να την προστατεύσουν, και λέει ότι ο έλεγχος ταυτότητάς της είναι ξεχωριστός από τον έλεγχο ταυτότητας του προϊόντος ταυτότητας. Μια άλλη σύνδεση κρυμμένη ανάμεσα στις κουκκίδες της λίστας ελέγχου. Τα εκτεθειμένα εργαλεία διαχείρισης επέτρεψαν την εκτέλεση κώδικα μέσα στην υπηρεσία ταυτότητας. Οι ερευνητές απέκτησαν πρόσβαση σε αρχεία πελατών πίσω από το δημόσιο όριο φιλτραρίσματος. Ένα φίλτρο περιμέτρου ελέγχει την κίνηση που διασχίζει αυτήν την περίμετρο.

2:06 Μια διαδικασία που βρίσκεται ήδη μέσα στην υπηρεσία έχει διαφορετική σχέση με τα δεδομένα. Αυτό εξηγεί το πρόβλημα πολλαπλών παραγόντων στον λογαριασμό των ΗΠΑ. Τα αρχεία ταυτότητας παρείχαν τις πληροφορίες σύνδεσης και τον προορισμό για έναν κωδικό επαλήθευσης email. Ο διοικητικός έλεγχος αυτών των αρχείων επέτρεψε στους ερευνητές να ολοκληρώσουν τη σύνδεση. Ο ανάντη ορισμός του πελάτη είχε ήδη αλλάξει. Ο Shah περιγράφει μια ξεχωριστή λανθασμένη διαμόρφωση ελέγχου ταυτότητας στην Αυστραλία που επέτρεψε στην αλυσίδα του να παραλείψει τον επιπλέον παράγοντα.

2:31 Το να χαρακτηρίζουμε τον έλεγχο ταυτότητας πολλαπλών παραγόντων χαλασμένο παντού θα εξαφάνιζε τις λεπτομέρειες διαμόρφωσης που χρειάζονται οι προγραμματιστές. Κρατήστε τον επιπλέον παράγοντά σας. Διατηρήστε και το σύστημα που ορίζει τον ιδιοκτήτη του αξιόπιστο. Τα διαπιστευτήρια έχουν διαφορετικές δουλειές.

Πότε μια περίοδος λειτουργίας γίνεται εξουσία εφαρμογής;

2:43 Η πρόσβαση διαχειριστή ελέγχει τα αρχεία ταυτότητας. Μια περίοδος λειτουργίας πελάτη αντιπροσωπεύει μια ολοκληρωμένη σύνδεση. Η εφαρμογή για κινητά λαμβάνει διακριτικά που γίνονται δεκτά από τις υπηρεσίες της. Το να τα ονομάζουμε όλα αυτά ένα μαγικό διακριτικό χάνει τα όρια που κατέστησαν δυνατή την πρόσβαση ισοδύναμη με τον ιδιοκτήτη. Ο Curry περιγράφει τους καταλόγους ταυτότητας δύο ανώνυμων αυτοκινητοβιομηχανιών σε πολλαπλές περιοχές. Περιορίζει την πλήρη δοκιμή οχήματος σε λογαριασμούς και οχήματα των ΗΠΑ. Ο Shah περιγράφει μια αυτοκινητοβιομηχανία σε δύο αυστραλιανές μάρκες,

3:09 και στη συνέχεια διεκδικεί ευρύτερη συνδυασμένη εμβέλεια. Αυτά τα διαφορετικά πεδία εφαρμογής δεν μας δίνουν καμία βάση για να αναγνωρίσουμε τις εταιρείες. Το Hacker News διαφωνεί για το αν πρέπει να υπάρχει ξεκλείδωμα τηλεφώνου. Μια απάντηση παραπέμπει στον έλεγχο μιας ξεχασμένης κλειδαριάς και την ψύξη ή θέρμανση του αυτοκινήτου. Στους ανθρώπους αρέσουν οι χρήσιμες λειτουργίες. Το να παρέχεις στους πελάτες ευκολία δίνει επίσης στην υπηρεσία μια ακριβή δουλειά. Πρέπει να κερδίσει την εξουσία της.

Τι κάλυψε πραγματικά η αποκατάσταση;

3:29 Ο Curry αναφέρει ότι και οι δύο αυτοκινητοβιομηχανίες διόρθωσαν την ευπάθεια περίπου δύο ώρες μετά τη λήψη της και άλλαξαν τα επηρεαζόμενα διαπιστευτήρια. Αυτό είναι το χρονοδιάγραμμα του συνοδευτικού των ΗΠΑ. Ο λογαριασμός του Shah του Ιουλίου δεν παρέχει αντίστοιχο χρονοδιάγραμμα αποκατάστασης. Ο λογαριασμός του αφήνει την τρέχουσα κατάσταση αποκατάστασης της Αυστραλίας απροσδιόριστη. Δεν μπορούμε να μετατρέψουμε την απόκριση των δύο ωρών σε ένα παγκόσμιο χρονόμετρο επισκευής. Για τους προγραμματιστές, ξεκινήστε με την επιφάνεια διαχείρισης. Καταγράψτε τι εκτίθεται και ποιο σύστημα ελέγχου ταυτότητας το προστατεύει.

3:55 Αφαιρέστε αχρησιμοποίητα εργαλεία ανάπτυξης. Προστατέψτε τα εργαλεία που διατηρείτε. Ελέγξτε την ερμηνεία αιτημάτων κάθε επιπέδου πριν αντιμετωπίσετε έναν κανόνα edge ως την τελευταία λέξη για την πρόσβαση. Ο Shah λέει ότι η αυστραλιανή αλυσίδα τελικά λειτούργησε γύρω στα μεσάνυχτα, ανοίγοντας ένα αυτοκίνητο που τους επιτρεπόταν να δοκιμάσουν. Σύστημα ταυτότητας με ικανοποιητικό τέλος. Μια αναφορά κερδίζει το συμπέρασμά της ελέγχοντας το άλλο άκρο.

4:14 Η εμπιστοσύνη του backend είναι μόνο η μισή συζήτηση. Ο λογαριασμός του Curry στις ΗΠΑ αναφέρει ότι οι δυνατότητες εξαρτώνται από το μοντέλο του οχήματος, τη συνδρομή και τις ενεργές συνδεδεμένες υπηρεσίες. Οι υποστηριζόμενες εντολές περιλαμβάνουν ξεκλείδωμα πόρτας και απομακρυσμένη εκκίνηση κινητήρα. Καμία αναφορά δεν διαπιστώνει οδήγηση ή απενεργοποίηση ενός immobilizer. Τα στοιχεία καλύπτουν συγκεκριμένες δυνατότητες εφαρμογών και φυσικές επιδείξεις με άδεια. Ρωτήστε ποια υπηρεσία μπορεί να αλλάξει τα γεγονότα στα οποία βασίζεται η εξουσιοδότησή σας. Οι επαναφορές κωδικών πρόσβασης και οι αλλαγές επαφών έχουν σημασία επειδή άλλα συστήματα

4:41 τα καταναλώνουν ως αλήθεια. Μια έγκυρη σύνδεση μπορεί να βασίζεται σε μια ξαναγραμμένη ταυτότητα. Αυτή η ιστορία αυτοκινήτου γίνεται η ιστορία της εφαρμογής σας εκεί.

Τι απέδειξε ότι το αυτοκίνητο υπάκουσε πραγματικά;

4:48 Ο τελικός έλεγχος έγινε δίπλα στο αυτοκίνητο. Ο Curry λέει ότι μια αποδεκτή εντολή API από μόνη της δεν απέδειξε τίποτα για τη συμπεριφορά του αυτοκινήτου. Ανανέωσαν την κατάστασή του και επιβεβαίωσαν το φυσικό αποτέλεσμα με τον ιδιοκτήτη να στέκεται δίπλα του. Ο Shah ξεκλείδωσε και εκκίνησε το όχημα, μετά το σταμάτησε και το κλείδωσε ξανά. Η απόδειξη έφτασε στο δρόμο. Αν προτιμάτε να το διαβάσετε αυτό παρά να με ακούσετε να το λέω, το diff προσγειώνεται στα εισερχόμενά σας κάθε πρωί, δωρεάν στο the daily diff dot dev, σύνδεσμος παρακάτω.

Ποιο όριο χρειάζεται επανεξέταση;

5:10 Λοιπόν, η σημερινή ετυμηγορία, NEEDS REVIEW. Θα έκανα έλεγχο των διοικητικών διαδρομών στην ταυτότητα πελάτη πριν την εμπιστευτώ με φυσικούς ελέγχους. Η αναφερόμενη επιδιόρθωση στις ΗΠΑ αξίζει πίστωση. Ποιος μπορεί να επαναπροσδιορίσει τον ιδιοκτήτη που πιστεύει κάθε υπηρεσία downstream; Και αυτή είναι η διαφορά για σήμερα. Είμαι ο Niko από την Axrisi. Συγχωνεύστε υπεύθυνα.

Πηγές

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip