Seguridad de identidad del coche conectado: autoridad del propietario y prueba física

Qué cubre este vídeo

• El control administrativo de la identidad de cliente de confianza puede afectar a la autoridad del vehículo otorgada por los servicios de la aplicación.
• Curry limita las pruebas completas de la cadena del vehículo a cuentas y vehículos de EE. UU.; el alcance del directorio regional y la afirmación combinada más amplia de Shah tienen diferentes alcances.
• La respuesta de aproximadamente dos horas pertenece a la línea de tiempo de divulgación del informe complementario de EE. UU. El informe australiano no proporciona una fecha de remediación coincidente.
• Los comandos compatibles dependen del modelo, la suscripción y los servicios conectados activos. No se estableció la conducción o la desactivación del inmovilizador.
• Los investigadores actualizaron el estado del vehículo y confirmaron los efectos físicos con el propietario junto al vehículo.
• La guía de producción con versiones de PingIDM recomienda eliminar o proteger las herramientas de desarrollo e identifica un sistema de autenticación de consola independiente.

Transcripción traducida

Traducido de la narración original en inglés. El audio y los subtítulos disponibles están controlados por YouTube.

¿Cómo se convirtió un inicio de sesión en una llave de coche?

0:00 La aplicación de tu coche comprueba que eres el propietario. Los investigadores hicieron que su servidor de identidad respondiera por ellos en su lugar. En este vídeo, ¿cómo se convirtió el inicio de sesión en autoridad del vehículo? ¿Y qué demostró que un coche realmente obedecía? Es lunes, nueve de noviembre, y este es The Daily Diff. Una última comprobación separa una pantalla convincente de un coche desbloqueado. Los servicios de coche conectado son los sistemas en línea detrás de la aplicación del teléfono del propietario. Shubham Shah y Sam Curry informan de que el acceso administrativo de identidad les permitió

0:25 obtener la misma autoridad de aplicación que un propietario. Demostraron comandos remotos en vehículos con permiso. Su informe de EE. UU. dice que los fallos se solucionaron después de la divulgación.

¿Qué se ha publicado recientemente y qué ya estaba arreglado?

0:33 Ambos informes aparecieron el siete de noviembre. Curry fecha su divulgación a principios de este año. Shah describe una investigación australiana que comenzó en julio. Esas son líneas de tiempo diferentes. Interpretarlas como una emergencia mundial daría al titular más potencia que la evidencia. Shah compró uno de los SUV del fabricante de automóviles sin nombre en 2023. ¿Qué servicio de internet recibe el toque cuando desbloqueo mi coche?

0:53 Él y Curry pasaron dos semanas examinando el sistema de identidad. El mando a distancia ha adquirido un equipo de backend. La aplicación inicia sesión y carga tu garaje.

¿En qué identidad confía el servicio del vehículo?

1:01 El servicio conectado asocia esa cuenta con vehículos y comandos permitidos. Esa relación es la respuesta útil. Quien controla la identidad de cliente de confianza puede heredar capacidades destinadas al cliente. En Australia, una herramienta de gestión pública expuso información de clientes a través de interfaces protegidas por claves enviadas en JavaScript del navegador. Definición ambiciosa de secreto. Shah también encontró credenciales de administrador de identidad en un paquete de proveedor,

1:24 e informó de que funcionaban en producción. El perímetro bloqueó rutas sensibles. Pero las capas de software interpretaron la misma solicitud de manera diferente. Curry dice que el borde trató una ruta como contenido estático mientras que el backend accedió a una consola de administración. El felpudo de bienvenida y la puerta cerrada consultaban mapas diferentes.

¿Por qué importaba una consola de desarrollo?

1:41 Esa consola todavía aceptaba credenciales de administrador predeterminadas, según Curry. La guía de producción ya indica a los operadores que la eliminen o la protejan, y dice que su autenticación es independiente de la autenticación del producto de identidad. Otro inicio de sesión escondido entre los puntos de la lista de verificación. La herramienta de administración expuesta permitió que el código se ejecutara dentro del servicio de identidad. Los investigadores accedieron a los registros de clientes detrás del límite de filtrado público. Un filtro perimetral comprueba el tráfico que cruza ese perímetro.

2:06 Un proceso que ya está dentro del servicio tiene una relación diferente con los datos. Esto explica el problema multifactor en el informe de EE. UU. Los registros de identidad proporcionaron la información de inicio de sesión y el destino para un código de verificación por correo electrónico. El control administrativo sobre esos registros permitió a los investigadores completar el inicio de sesión. La definición anterior del cliente ya había cambiado. Shah describe una configuración incorrecta de autenticación australiana separada que permitió a su cadena omitir el factor extra.

2:31 Decir que la autenticación multifactor estaba rota en todas partes borraría los detalles de configuración que los desarrolladores necesitan. Mantén tu factor extra. Mantén también la confiabilidad del sistema que define a su propietario. Las credenciales tienen diferentes funciones.

¿Cuándo se convierte una sesión en autoridad de aplicación?

2:43 El acceso de administrador controla los registros de identidad. Una sesión de cliente representa un inicio de sesión completado. La aplicación móvil obtiene tokens aceptados por sus servicios. Llamar a todos ellos un token mágico hace perder los límites que hicieron posible el acceso equivalente al propietario. Curry describe los directorios de identidad de dos fabricantes de automóviles sin nombre en múltiples regiones. Limita las pruebas completas de vehículos a cuentas y vehículos de EE. UU. Shah describe un fabricante de automóviles en dos marcas australianas,

3:09 luego afirma un alcance combinado más amplio. Esos diferentes alcances no nos dan base para identificar a las empresas. Hacker News discute si el desbloqueo del teléfono debería existir. Una respuesta apunta a comprobar un candado olvidado y enfriar o calentar el coche. A la gente le gustan las funciones útiles. Dar comodidad a los clientes también le da al servicio un trabajo costoso. Tiene que ganarse su autoridad.

¿Qué cubrió realmente la remediación?

3:29 Curry informa que ambos fabricantes de automóviles corrigieron la vulnerabilidad unas dos horas después de recibirla y rotaron las credenciales afectadas. Esa es la línea de tiempo del informe complementario de EE. UU. El informe de julio de Shah no proporciona una línea de tiempo de remediación coincidente. Su informe deja el estado de remediación actual de Australia sin especificar. No podemos convertir la respuesta de dos horas en un cronómetro de reparación global. Para los desarrolladores, comience con la superficie de administración. Inventarie lo que está expuesto y qué sistema de autenticación lo protege.

3:55 Elimine las herramientas de desarrollo no utilizadas. Proteja las herramientas que conserve. Revise la interpretación de la solicitud de cada capa antes de tratar una regla de borde como la última palabra sobre el acceso. Shah dice que la cadena australiana finalmente funcionó alrededor de la medianoche, abriendo un coche que se les permitió probar. Plomería de identidad con un final satisfactorio. Un informe se gana su conclusión comprobando el otro extremo.

4:14 La confianza del backend es solo la mitad de la conversación. El informe de Curry en EE. UU. dice que las capacidades dependen del modelo de vehículo, la suscripción y los servicios conectados activos. Los comandos compatibles incluyen el desbloqueo de puertas y el arranque remoto del motor. Ninguno de los informes establece la conducción o la desactivación de un inmovilizador. La evidencia cubre capacidades de aplicaciones particulares y demostraciones físicas con permiso. Pregunte qué servicio puede cambiar los hechos en los que se basa su autorización. Los restablecimientos de contraseña y los cambios de contacto importan porque otros sistemas los consumen

4:41 como verdad. Un inicio de sesión válido puede basarse en una identidad reescrita. Esta historia de coche se convierte en su historia de aplicación allí.

¿Qué demostró que el coche realmente obedecía?

4:48 La comprobación final se realizó junto al coche. Curry dice que un comando de API aceptado por sí solo no probaba nada sobre el comportamiento del coche. Actualizaron su estado y confirmaron el resultado físico con el propietario junto a él. Shah desbloqueó y arrancó el vehículo, luego lo detuvo y lo volvió a bloquear. La prueba llegó al camino de entrada. Si prefieres leer esto que oírme decirlo, el "diff" llega a tu bandeja de entrada cada mañana, gratis en the daily diff dot dev, enlace a continuación.

¿Qué límite necesita revisión?

5:10 Así que, el veredicto de hoy, NEEDS REVIEW. Auditaría las rutas administrativas a la identidad del cliente antes de confiar en ellas para controles físicos. La solución reportada en EE. UU. merece crédito. ¿Quién puede redefinir al propietario que cada servicio posterior cree? Y esa es la diferencia de hoy. Soy Niko de Axrisi. Fusionar con responsabilidad.

Fuentes

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip