Seguridad de identidad del coche conectado: autoridad del propietario y prueba física

Lo que cubre este video

• El control administrativo de la identidad de cliente de confianza puede afectar la autoridad del vehículo otorgada por los servicios de la aplicación posteriores.
• Curry limita las pruebas completas de la cadena del vehículo a cuentas y vehículos de EE. UU.; el alcance del directorio regional y la afirmación combinada más amplia de Shah tienen diferentes alcances.
• La respuesta de aproximadamente dos horas pertenece al cronograma de divulgación del informe complementario de EE. UU. El informe australiano no proporciona una fecha de remediación coincidente.
• Los comandos compatibles dependen del modelo, la suscripción y los servicios conectados activos. No se estableció la conducción o la desactivación del inmovilizador.
• Los investigadores actualizaron el estado del vehículo y confirmaron los efectos físicos con el propietario al lado del vehículo.
• La guía de producción con versiones de PingIDM recomienda eliminar o proteger las herramientas de desarrollo e identifica un sistema de autenticación de consola separado.

Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles son controlados por YouTube.

¿Cómo se convirtió un inicio de sesión en una llave de coche?

0:00 La aplicación de tu coche comprueba que eres el propietario. Los investigadores hicieron que su servidor de identidad respondiera por ellos en su lugar. En este video, ¿cómo se convirtió el inicio de sesión en autoridad del vehículo? ¿Y qué demostró que un coche realmente obedecía? Es lunes, nueve de noviembre, y este es The Daily Diff. Una comprobación final separa una pantalla convincente de un coche desbloqueado. Los servicios de coches conectados son los sistemas en línea detrás de la aplicación del teléfono de un propietario. Shubham Shah y Sam Curry informan que el acceso administrativo a la identidad les permitió

0:25 obtener la misma autoridad de aplicación que un propietario. Demostraron comandos remotos en vehículos con permisos. Su cuenta de EE. UU. dice que los fallos se corrigieron después de la divulgación.

¿Qué se ha publicado recientemente y qué ya se ha solucionado?

0:33 Ambos artículos aparecieron el siete de noviembre. Curry fecha su divulgación a principios de este año. Shah describe la investigación australiana que comenzó en julio. Esos son cronogramas diferentes. Interpretarlos como una emergencia mundial daría al titular más caballos de fuerza que la evidencia. Shah compró uno de los SUV del fabricante de automóviles sin nombre en 2023. ¿Qué servicio de internet recibe el toque cuando desbloqueo mi coche?

0:53 Él y Curry pasaron dos semanas examinando el sistema de identidad. El llavero ha adquirido un equipo de backend. La aplicación te inicia sesión y carga tu garaje.

¿En qué identidad confía el servicio del vehículo?

1:01 El servicio conectado asocia esa cuenta con vehículos y comandos permitidos. Esa relación es la respuesta útil. Quien controle la identidad de cliente de confianza puede heredar capacidades destinadas al cliente. En Australia, una herramienta de gestión pública expuso información de clientes a través de interfaces protegidas por claves enviadas en JavaScript del navegador. Definición ambiciosa de secreto. Shah también encontró credenciales de administrador de identidad en un paquete de proveedor,

1:24 e informó que funcionaban en producción. El perímetro bloqueó rutas sensibles. Pero las capas de software interpretaron la misma solicitud de manera diferente. Curry dice que el borde trató una ruta como contenido estático mientras que el backend accedió a una consola de administración. El felpudo y la puerta cerrada consultaban mapas diferentes.

¿Por qué importaba una consola de desarrollo?

1:41 Esa consola todavía aceptaba credenciales de administrador predeterminadas, según Curry. La guía de producción ya indica a los operadores que la eliminen o la protejan, y dice que su autenticación es independiente de la autenticación del producto de identidad. Otro inicio de sesión escondido entre los puntos de la lista de verificación. Las herramientas de administración expuestas permitieron que el código se ejecutara dentro del servicio de identidad. Los investigadores accedieron a los registros de clientes detrás del límite de filtrado público. Un filtro de perímetro comprueba el tráfico que cruza ese perímetro.

2:06 Un proceso que ya está dentro del servicio tiene una relación diferente con los datos. Esto explica el problema de múltiples factores en la cuenta de EE. UU. Los registros de identidad proporcionaron la información de inicio de sesión y el destino de un código de verificación por correo electrónico. El control administrativo sobre esos registros permitió a los investigadores completar el inicio de sesión. La definición del cliente en el nivel superior ya había cambiado. Shah describe una configuración errónea de autenticación australiana separada que permitió que su cadena omitiera el factor adicional.

2:31 Decir que la autenticación multifactor está rota en todas partes borraría los detalles de configuración que los desarrolladores necesitan. Mantén tu factor adicional. Mantén también el sistema que define a su propietario como digno de confianza. Las credenciales tienen diferentes trabajos.

¿Cuándo una sesión se convierte en autoridad de aplicación?

2:43 El acceso de administrador controla los registros de identidad. Una sesión de cliente representa un inicio de sesión completado. La aplicación móvil obtiene tokens aceptados por sus servicios. Llamar a todos esos un token mágico pierde los límites que hicieron posible el acceso equivalente al propietario. Curry describe los directorios de identidad de dos fabricantes de automóviles sin nombre en múltiples regiones. Limita las pruebas completas de vehículos a cuentas y vehículos de EE. UU. Shah describe un fabricante de automóviles en dos marcas australianas,

3:09 luego reclama un alcance combinado más amplio. Esos diferentes alcances no nos dan base para identificar a las empresas. Hacker News discute si el desbloqueo del teléfono debería existir. Una respuesta apunta a comprobar un bloqueo olvidado y a enfriar o calentar el coche. A la gente le gustan las características útiles. Dar comodidad a los clientes también le da al servicio un trabajo costoso. Tiene que ganarse su autoridad.

¿Qué cubrió realmente la remediación?

3:29 Curry informa que ambos fabricantes de automóviles corrigieron la vulnerabilidad aproximadamente dos horas después de recibirla y rotaron las credenciales afectadas. Ese es el cronograma del informe complementario de EE. UU. El informe de julio de Shah no proporciona un cronograma de remediación coincidente. Su informe deja el estado actual de remediación de Australia sin especificar. No podemos convertir la respuesta de dos horas en un cronómetro de reparación global. Para los desarrolladores, comiencen con la superficie de administración. Inventarien lo que está expuesto y qué sistema de autenticación lo protege.

3:55 Eliminen las herramientas de desarrollo no utilizadas. Protejan las herramientas que conserven. Revisen la interpretación de la solicitud de cada capa antes de tratar una regla de borde como la última palabra sobre el acceso. Shah dice que la cadena australiana finalmente funcionó alrededor de la medianoche, abriendo un coche que se les permitió probar. Tuberías de identidad con un final satisfactorio. Un informe se gana su conclusión comprobando el otro extremo.

4:14 La confianza del backend es solo la mitad de la conversación. La cuenta de Curry en EE. UU. dice que las capacidades dependen del modelo de vehículo, la suscripción y los servicios conectados activos. Los comandos compatibles incluyen el desbloqueo de puertas y el arranque remoto del motor. Ninguno de los informes establece la huida o la desactivación de un inmovilizador. La evidencia cubre capacidades de aplicaciones particulares y demostraciones físicas con permiso. Pregunta qué servicio puede cambiar los hechos en los que se basa tu autorización. Los restablecimientos de contraseña y los cambios de contacto importan porque otros sistemas los consumen

4:41 como verdad. Un inicio de sesión válido puede basarse en una identidad reescrita. Esta historia del coche se convierte en tu historia de aplicación ahí.

¿Qué demostró que el coche realmente obedecía?

4:48 La comprobación final ocurrió junto al coche. Curry dice que un comando de API aceptado por sí solo no demostró nada sobre el comportamiento del coche. Actualizaron su estado y confirmaron el resultado físico con el propietario parado a su lado. Shah desbloqueó y encendió el vehículo, luego lo detuvo y lo volvió a bloquear. La prueba llegó al garaje. Si prefieres leer esto que oírme decirlo, el diff llega a tu bandeja de entrada cada mañana, gratis en the daily diff dot dev, enlace abajo.

¿Qué límite necesita revisión?

5:10 Así que, el veredicto de hoy, NEEDS REVIEW. Auditaría las rutas administrativas a la identidad del cliente de confianza antes de confiar en ellas con controles físicos. La solución reportada en EE. UU. merece crédito. ¿Quién puede redefinir al propietario que todo servicio posterior cree? Y esa es la diferencia de hoy. Soy Niko de Axrisi. Fusionar responsablemente.

Fuentes

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip