Yhdistetyn auton identiteetin turvallisuus: omistajan valtuutus ja fyysinen todiste

Mitä tämä video käsittelee

• Luotetun asiakasidentiteetin hallinnollinen hallinta voi vaikuttaa ajoneuvolle myönnettyyn valtuutukseen, jonka alaspäin suuntautuvat sovelluspalvelut antavat.
• Curry rajoittaa täydellisen ajoneuvoketjun testauksen Yhdysvaltain tileihin ja ajoneuvoihin; alueellinen hakemistojen ulottuvuus ja Shahin laajempi yhdistetty väite ovat eri laajuuksisia.
• Noin kahden tunnin vasteaika kuuluu Yhdysvaltain vastaavan julkistusajankohtaan. Australian selvitys ei anna vastaavaa korjauspäivämäärää.
• Tuetut komennot riippuvat mallista, tilauksesta ja aktiivisista yhdistetyistä palveluista. Ajaminen tai ajoneston ohitus ei ollut todistettu.
• Tutkijat päivittivät ajoneuvon tilan ja vahvistivat fyysiset vaikutukset omistajan kanssa ajoneuvon vieressä.
• PingIDM:n versioitu tuotanto-opas suosittelee kehitystyökalujen poistamista tai suojaamista ja tunnistaa erillisen konsolin todennusjärjestelmän.

Käännetty transkriptio

Käännetty alkuperäisestä englanninkielisestä selostuksesta. Käytettävissä olevan äänen ja tekstitysten hallinta tapahtuu YouTuben kautta.

Miten sisäänkirjautumisesta tuli auton avain?

0:00 Autosi sovellus tarkistaa, että olet omistaja. Tutkijat saivat sen sijaan identiteettipalvelimen vahvistamaan heidät. Miten tässä videossa sisäänkirjautumisesta tuli ajoneuvon valtuutus? Ja mikä todisti, että auto todella totteli? On maanantai, marraskuun yhdeksäs, ja tämä on The Daily Diff. Yksi viimeinen tarkistus erottaa vakuuttavan näytön lukitsemattomasta autosta. Yhdistetyt autopalvelut ovat omistajan puhelinsovelluksen takana olevat verkkopalvelut. Shubham Shah ja Sam Curry raportoivat, että hallinnollinen identiteettipääsy antoi heille

0:25 saman sovellusvaltuutuksen kuin omistajalla. He demonstroivat etäkomentoja luvan saaneissa ajoneuvoissa. Heidän Yhdysvaltain tilinsä mukaan puutteet korjattiin julkistamisen jälkeen.

Mitä on juuri julkaistu ja mitä oli jo korjattu?

0:33 Molemmat kirjoitukset ilmestyivät marraskuun seitsemäntenä. Curry päivää julkistuksensa tämän vuoden alkuun. Shah kuvaa australialaista tutkimusta, joka alkoi heinäkuussa. Nämä ovat eri aikatauluja. Niiden lukeminen yhtenä maailmanlaajuisena hätätilana antaisi otsikolle enemmän tehoa kuin todisteet. Shah osti yhden nimeämättömän autovalmistajan maastoauton vuonna 2023. Mikä internetpalvelu vastaanottaa napautuksen, kun avaan autoni lukituksen?

0:53 Hän ja Curry viettivät kaksi viikkoa identiteettijärjestelmän tutkimiseen. Avaimenperä on hankkinut taustatiimin. Sovellus kirjaa sinut sisään ja lataa autotallisi.

Mihin identiteettiin ajoneuvopalvelu luottaa?

1:01 Yhdistetty palvelu yhdistää kyseisen tilin ajoneuvoihin ja sallittuihin komentoihin. Tämä suhde on hyödyllinen vastaus. Kuka tahansa hallitsee luotettua asiakasidentiteettiä, voi periä asiakkaalle tarkoitetut ominaisuudet. asiakkaalle. Australiassa julkinen hallintatyökalu paljasti asiakastietoja rajapintojen kautta, jotka oli suojattu selaimen JavaScriptissä olevilla avaimilla. Salaisuuden kunnianhimoinen määritelmä. Shah löysi myös identiteettihallinnoijan tunnukset toimittajapaketista,

1:24 ja raportoi, että ne toimivat tuotannossa. Verkon ulkoraja esti arkaluontoiset reitit. Mutta ohjelmistokerrokset tulkitsivat saman pyynnön eri tavalla. Curry sanoo, että reuna käsitteli polkua staattisena sisältönä, kun taas taustajärjestelmä pääsi hallintakonsoliin. Tervetulomatto ja lukittu ovi konsultoivat eri karttoja.

Miksi kehityskonsolilla oli merkitystä?

1:41 Kyseinen konsoli hyväksyi edelleen oletushallinnoijan tunnukset, Curryn mukaan. Tuotanto-opas kehottaa jo käyttäjiä poistamaan tai suojaamaan sen, ja sanoo, että sen todennus on erillinen identiteettituotteen todennuksesta. Toinen kirjautuminen piilossa tarkistuslistan luetelmakohdissa. Paljastunut hallintatyökalusto mahdollisti koodin suorittamisen identiteettipalvelun sisällä. Tutkijat pääsivät käsiksi asiakastietoihin julkisen suodatusrajan takaa. Reunasuodatin tarkistaa tätä rajaa ylittävän liikenteen.

2:06 Palvelun sisällä olevalla prosessilla on erilainen suhde tietoihin. Tämä selittää monivaiheisen ongelman Yhdysvaltain tilissä. Identiteettitiedot toimittivat kirjautumistiedot ja kohdepaikan sähköpostivahvistuskoodille. Hallinnollinen valvonta näihin tietoihin antoi tutkijoille suorittaa kirjautumisen loppuun. Asiakkaan ylävirran määritelmä oli jo muuttunut. Shah kuvaa erillistä australialaista todennusvirhekonfiguraatiota, joka antoi hänen ketjunsa ohittaa ylimääräisen tekijän.

2:31 Monivaiheisen todennuksen kutsuminen rikkinäiseksi kaikkialla pyyhkisi pois kokoonpanotiedot, joita kehittäjät tarvitsevat. Säilytä ylimääräinen tekijäsi. Pidä järjestelmä, joka määrittelee sen omistajan, myös luotettavana. Tunnuksilla on erilaisia tehtäviä.

Milloin istunnosta tulee sovellusvaltuutus?

2:43 Hallinnoijan pääsy hallitsee identiteettitietoja. Asiakkaan istunto edustaa suoritettua sisäänkirjautumista. Mobiilisovellus hankkii palvelujensa hyväksymät tunnukset. Kaikkien näiden kutsuminen taikatunnukseksi kadottaa rajat, jotka tekivät omistajaa vastaavan pääsyn mahdolliseksi. Curry kuvaa kahden nimeämättömän autovalmistajan identiteettihakemistoja useilla alueilla. Hän rajoittaa täydellisen ajoneuvotestauksen Yhdysvaltain tileihin ja ajoneuvoihin. Shah kuvaa yhtä autovalmistajaa kahdella australialaisella tuotemerkillä,

3:09 ja väittää sitten laajempaa yhdistettyä ulottuvuutta. Nämä eri laajuudet eivät anna meille perusteita tunnistaa yrityksiä. Hacker News väittelee siitä, pitäisikö puhelimen avaamisen olla olemassa. Yksi vastaus viittaa unohtuneen lukon tarkistamiseen ja auton jäähdyttämiseen tai lämmittämiseen. Ihmiset pitävät hyödyllisistä ominaisuuksista. Mukavuuden tarjoaminen asiakkaille antaa palvelulle myös kalliin työn. Sen on ansaittava auktoriteettinsa.

Mitä korjaus todella kattoi?

3:29 Curry raportoi, että molemmat autovalmistajat korjasivat haavoittuvuuden noin kaksi tuntia sen jälkeen, kun saivat ilmoituksen ja vaihtoivat kyseiset tunnukset. Tämä on Yhdysvaltain vastaavan aikajana. Shahin heinäkuun selvitys ei anna vastaavaa korjausaikataulua. Hänen selvityksensä jättää Australian nykyisen korjaustilan määrittelemättä. Emme voi muuttaa kahden tunnin vastausta globaaliksi korjauksen sekuntikelloksi. Kehittäjille, aloita hallintapinnasta. Tee luettelo siitä, mitä on esillä ja mikä todennusjärjestelmä sitä suojaa.

3:55 Poista käyttämättömät kehitystyökalut. Suojaa säilyttämäsi työkalut. Tarkista kunkin kerroksen pyynnön tulkinta, ennen kuin käsittelet reunasääntöä lopullisena sanana pääsystä. Shah sanoo, että Australian ketju toimi lopulta keskiyön aikaan, avaamalla auton, jota he saivat testata. Identiteetin putkistotyöt tyydyttävällä lopulla. Raportti ansaitsee johtopäätöksensä tarkistamalla toisen pään.

4:14 Taustajärjestelmän luottamus on vain puolet keskustelusta. Curryn Yhdysvaltain tilin mukaan ominaisuudet riippuvat ajoneuvomallista, tilauksesta ja aktiivisista yhdistetyistä palveluista. Tuettuja komentoja ovat ovien lukituksen avaaminen ja moottorin etäkäynnistys. Kumpikaan kirjoitus ei vahvista ajamista tai ajoneston ohitusta. Todisteet kattavat tietyt sovellusominaisuudet ja luvan saaneet fyysiset demonstraatiot. Kysy, mikä palvelu voi muuttaa niitä faktoja, joihin valtuutuksesi perustuu. Salasanojen nollaukset ja yhteystietojen muutokset ovat tärkeitä, koska muut järjestelmät käyttävät niitä

4:41 totuutena. Kelvollinen kirjautuminen voi perustua uudelleenkirjoitettuun identiteettiin. Tästä autotarinasta tulee siinä kohtaa sinun sovellustarinasi.

Mikä todisti, että auto todella totteli?

4:48 Viimeinen tarkistus tapahtui auton vieressä. Curry sanoo, että hyväksytty API-komento yksin ei todistanut mitään auton käyttäytymisestä. He päivittivät sen tilan ja vahvistivat fyysisen tuloksen omistajan kanssa, joka seisoi sen vieressä. Shah avasi auton lukituksen ja käynnisti sen, sitten pysäytti sen ja lukitsi sen uudelleen. Todisteet saapuivat pihatielle. Jos mieluummin luet tämän kuin kuulet minun sanovan sen, diff laskeutuu postilaatikkoosi joka aamu, ilmaiseksi osoitteessa thedailydiff.dev, linkki alla.

Mikä raja vaatii tarkistusta?

5:10 Joten, tämän päivän tuomio, NEEDS REVIEW (vaatii tarkistusta). Auditoisin hallinnolliset polut asiakasidentiteettiin ennen kuin luotan siihen fyysisten kontrollien osalta. Raportoitu Yhdysvaltain korjaus ansaitsee tunnustuksen. Kuka voi uudelleen määritellä omistajan, johon kaikki alaspäin suuntautuvat palvelut uskovat? Ja siinä on päivän ero. Olen Niko Axrisista. Yhdistä vastuullisesti.

Lähteet

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip