امنیت هویت خودروی متصل: اختیارات مالک و اثبات فیزیکی

این ویدیو چه مواردی را پوشش می‌دهد

• کنترل مدیریتی هویت مشتری مورد اعتماد می تواند بر اختیارات خودرو که توسط خدمات برنامه پایین دستی اعطا می شود، تأثیر بگذارد.
• Curry آزمایش کامل زنجیره خودرو را به حساب ها و خودروهای ایالات متحده محدود می کند؛ دسترسی دایرکتوری منطقه ای و ادعای ترکیبی گسترده تر شاه دامنه های متفاوتی دارند.
• پاسخ تقریباً دو ساعته مربوط به جدول زمانی افشای اطلاعات همراه ایالات متحده است. گزارش استرالیا تاریخ رفع مطابق را ارائه نمی دهد.
• فرمان های پشتیبانی شده بستگی به مدل، اشتراک و خدمات متصل فعال دارد. روشن کردن خودرو و حرکت آن یا از کار انداختن ایموبلایزر ثابت نشد.
• محققان وضعیت خودرو را به روز کرده و اثرات فیزیکی را با مالک در کنار خودرو تأیید کردند.
• راهنمای تولید نسخه بندی شده PingIDM حذف یا محافظت از ابزارهای توسعه را توصیه می کند و یک سیستم احراز هویت جداگانه برای کنسول شناسایی می کند.

رونوشت ترجمه شده

ترجمه شده از روایت اصلی انگلیسی. صوت و زیرنویس‌های موجود توسط YouTube کنترل می‌شوند.

چگونه یک ورود به سیستم به کلید ماشین تبدیل شد؟

0:00 برنامه ماشین شما بررسی می کند که شما مالک هستید. محققان به جای آن، سرور هویت را مجبور کردند که آنها را تأیید کند. در این ویدئو، چگونه ورود به سیستم به اختیارات خودرو تبدیل شد؟ و چه چیزی ثابت کرد که ماشین واقعاً اطاعت می کند؟ دوشنبه، نهم نوامبر است، و این The Daily Diff است. یک بررسی نهایی، یک صفحه قانع کننده را از یک ماشین قفل باز جدا می کند. خدمات خودروی متصل، سیستم های آنلاین پشت برنامه تلفن مالک هستند. Shubham Shah و Sam Curry گزارش می دهند که دسترسی هویت مدیریتی به آنها اجازه داد

0:25 اختیارات برنامه ای مشابه مالک را به دست آورند. آنها دستورات از راه دور را در خودروهای دارای مجوز نشان دادند. حساب ایالات متحده آنها می گوید که نقص ها پس از افشا رفع شدند.

چه چیزی تازه منتشر شده است، و چه چیزی قبلاً رفع شده بود؟

0:33 هر دو نوشته در هفتم نوامبر ظاهر شدند. Curry تاریخ افشای خود را اوایل سال جاری می داند. Shah تحقیقات استرالیا را که در جولای آغاز شد، توصیف می کند. اینها جدول های زمانی متفاوتی هستند. خواندن آنها به عنوان یک وضعیت اضطراری جهانی، به تیتر خبری اسب بخار بیشتری می دهد نسبت به شواهد. شاه یکی از SUV های خودروساز ناشناس را در سال 2023 خرید. وقتی ماشینم را باز می کنم، کدام سرویس اینترنتی ضربه را دریافت می کند؟

0:53 او و Curry دو هفته را صرف بررسی سیستم هویت کردند. سوییچ ماشین یک تیم پشتیبان پیدا کرده است. برنامه شما را وارد می کند و گاراژ شما را بارگذاری می کند.

خدمات خودرو به کدام هویت اعتماد می کند؟

1:01 سرویس متصل آن حساب را با خودروها و دستورات مجاز مرتبط می کند. آن رابطه پاسخ مفید است. هر کسی که هویت مشتری مورد اعتماد را کنترل می کند، می تواند قابلیت های در نظر گرفته شده برای مشتری را به ارث ببرد. برای مشتری. در استرالیا، یک ابزار مدیریت عمومی اطلاعات مشتری را از طریق رابط های محافظت شده توسط کلیدهای ارسال شده در JavaScript مرورگر، افشا کرد. تعریف جاه طلبانه از راز. شاه همچنین اعتبارنامه های مدیر هویت را در یک بسته فروشنده پیدا کرد،

1:24 و گزارش داد که آنها در تولید کار می کنند. محدوده، مسیرهای حساس را مسدود کرد. اما لایه های نرم افزاری همان درخواست را متفاوت تفسیر کردند. Curry می گوید که لبه، یک مسیر را به عنوان محتوای ایستا در نظر می گرفت در حالی که بک اند به یک کنسول مدیریت دسترسی پیدا می کرد. یک کنسول مدیریت. تشک خوش آمدگویی و در قفل شده، نقشه های متفاوتی را بررسی می کردند.

چرا یک کنسول توسعه اهمیت داشت؟

1:41 آن کنسول همچنان اعتبارنامه های مدیر پیش فرض را می پذیرفت، به گفته Curry. راهنمای تولید از قبل به اپراتورها می گوید که آن را حذف یا محافظت کنند، و می گوید که احراز هویت آن از احراز هویت محصول هویت جدا است. احراز هویت. یک ورود به سیستم دیگر که بین نقاط چک لیست پنهان شده است. ابزارهای مدیریتی افشا شده اجازه اجرای کد را در داخل سرویس هویت می دادند. خدمات. محققان به سوابق مشتری در پشت مرز فیلترینگ عمومی دسترسی پیدا کردند. مرز. یک فیلتر مرزی، ترافیک عبوری از آن مرز را بررسی می کند.

2:06 یک فرآیند که قبلاً در داخل سرویس است، رابطه متفاوتی با داده ها دارد. این مشکل چند عاملی را در حساب ایالات متحده توضیح می دهد. سوابق هویت اطلاعات ورود به سیستم و مقصد را برای یک کد تأیید ایمیل ارائه می دادند. تأیید ایمیل. کنترل مدیریتی بر آن سوابق به محققان اجازه داد ورود به سیستم را تکمیل کنند. تعریف بالادستی مشتری قبلاً تغییر کرده بود. شاه یک پیکربندی نادرست احراز هویت استرالیایی جداگانه را توصیف می کند که به زنجیره او اجازه داد عامل اضافی را رد کند.

2:31 فراخوانی احراز هویت چند عاملی به عنوان "در همه جا خراب"، جزئیات پیکربندی مورد نیاز توسعه دهندگان را پاک می کند. جزئیات پیکربندی مورد نیاز توسعه دهندگان. عامل اضافی خود را حفظ کنید. همچنین سیستمی را که مالک خود را قابل اعتماد تعریف می کند، حفظ کنید. اعتبارنامه ها وظایف متفاوتی دارند.

چه زمانی یک نشست به اختیارات برنامه تبدیل می شود؟

2:43 دسترسی مدیر سوابق هویت را کنترل می کند. یک نشست مشتری نشان دهنده یک ورود به سیستم تکمیل شده است. برنامه موبایل توکن هایی را به دست می آورد که توسط خدمات آن پذیرفته شده اند. فراخوانی همه آنها "یک توکن جادویی" مرزهایی را که دسترسی معادل مالک را ممکن ساختند، از بین می برد. دسترسی معادل مالک را ممکن ساخت. Curry دایرکتوری های هویت دو خودروساز ناشناس را در مناطق متعدد توصیف می کند. مناطق. او آزمایش کامل زنجیره خودرو را به حساب ها و خودروهای ایالات متحده محدود می کند. شاه یک خودروساز را در دو برند استرالیایی توصیف می کند،

3:09 سپس ادعای دسترسی ترکیبی گسترده تر را می کند. این دامنه های متفاوت به ما مبنایی برای شناسایی شرکت ها نمی دهند. Hacker News در مورد اینکه آیا قفل گشایی تلفن باید وجود داشته باشد، بحث می کند. یک پاسخ به بررسی یک قفل فراموش شده و خنک کردن یا گرم کردن ماشین اشاره می کند. مردم ویژگی های مفید را دوست دارند. ارائه راحتی به مشتریان، یک کار گران قیمت را نیز به سرویس می دهد. باید اختیارات خود را به دست آورد.

رفع مشکل در واقع چه چیزی را پوشش می داد؟

3:29 Curry گزارش می دهد که هر دو خودروساز آسیب پذیری را حدود دو ساعت پس از دریافت آن رفع کردند و اعتبارنامه های تحت تأثیر را تغییر دادند. دریافت آن و اعتبارنامه های تحت تأثیر را چرخاندند. این جدول زمانی همراه ایالات متحده است. حساب جولای شاه هیچ جدول زمانی رفع مطابق را ارائه نمی دهد. حساب او وضعیت رفع فعلی استرالیا را نامشخص می گذارد. ما نمی توانیم پاسخ دو ساعته را به یک کرونومتر تعمیر جهانی تبدیل کنیم. برای توسعه دهندگان، با سطح مدیریت شروع کنید. موجودی کنید که چه چیزی افشا شده است و کدام سیستم احراز هویت از آن محافظت می کند.

3:55 ابزارهای توسعه استفاده نشده را حذف کنید. از ابزارهایی که نگه می دارید محافظت کنید. تفسیر درخواست هر لایه را قبل از در نظر گرفتن یک قانون لبه به عنوان حرف آخر در دسترسی، بررسی کنید. حرف آخر در دسترسی. شاه می گوید که زنجیره استرالیایی سرانجام حدود نیمه شب کار کرد، باز کردن ماشینی که اجازه آزمایش آن را داشتند. لوله کشی هویت با یک پایان رضایت بخش. یک نوشته با بررسی انتهای دیگر نتیجه خود را به دست می آورد.

4:14 اعتماد بک اند تنها نیمی از مکالمه است. حساب ایالات متحده Curry می گوید که قابلیت ها به مدل خودرو، اشتراک، و خدمات متصل فعال بستگی دارد. دستورات پشتیبانی شده شامل باز کردن قفل درب و راه اندازی موتور از راه دور است. هیچ یک از نوشته ها حرکت کردن یا از کار انداختن ایموبلایزر را ثابت نمی کند. شواهد شامل قابلیت های خاص برنامه و نمایش های فیزیکی دارای مجوز است. نمایش ها. بپرسید کدام سرویس می تواند حقایقی را که مجوز شما بر آن استوار است، تغییر دهد. تغییر دهد. بازنشانی رمز عبور و تغییر مخاطب مهم هستند زیرا سیستم های دیگر آنها را به عنوان حقیقت مصرف می کنند.

4:41 آنها را به عنوان حقیقت مصرف می کنند. یک ورود به سیستم معتبر می تواند بر یک هویت بازنویسی شده استوار باشد. این داستان ماشین به داستان برنامه شما در آنجا تبدیل می شود.

چه چیزی ثابت کرد که ماشین واقعاً اطاعت می کند؟

4:48 بررسی نهایی در کنار ماشین اتفاق افتاد. Curry می گوید که یک فرمان API پذیرفته شده به تنهایی چیزی در مورد رفتار ماشین ثابت نمی کند. رفتار. آنها وضعیت آن را به روز کردند و نتیجه فیزیکی را با مالک که کنار آن ایستاده بود تأیید کردند. مالک که کنار آن ایستاده بود، تأیید کردند. شاه خودرو را باز کرد و روشن کرد، سپس آن را خاموش کرد و دوباره قفل کرد. اثبات به راهرو رسید. اگر ترجیح می دهید این را بخوانید تا اینکه من آن را بگویم، "the diff" هر روز صبح رایگان در صندوق ورودی شما قرار می گیرد، هر روز صبح، رایگان در thedailydiff.dev، لینک زیر.

کدام مرز نیاز به بررسی دارد؟

5:10 بنابراین، حکم امروز، نیاز به بررسی دارد. من مسیرهای مدیریتی به هویت مشتری را قبل از اعتماد به آن برای کنترل های فیزیکی، بررسی می کنم. کنترل های فیزیکی. رفع مشکل گزارش شده در ایالات متحده شایسته تقدیر است. چه کسی می تواند مالکی را که هر سرویس پایین دستی به آن باور دارد، دوباره تعریف کند؟ و این هم "the diff" برای امروز. من نیکو از Axrisi هستم. مسئولانه ادغام کنید.

منابع

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip