Seguridad ng pagkakakilanlan ng konektadong sasakyan: awtoridad ng may-ari at pisikal na patunay

Ang sakop ng video na ito

• Ang administratibong kontrol ng pinagkakatiwalaang pagkakakilanlan ng customer ay maaaring makaapekto sa awtoridad ng sasakyan na ibinibigay ng mga serbisyo ng app sa ibaba.
• Nililimitahan ni Curry ang kumpletong pagsubok ng chain ng sasakyan sa mga account at sasakyan ng US; ang pag-abot ng regional directory at ang mas malawak na pinagsamang claim ni Shah ay may iba't ibang saklaw.
• Ang humigit-kumulang dalawang oras na tugon ay kabilang sa timeline ng pagbubunyag ng kasamang US. Walang ibinigay na petsa ng pagwawasto ang Australian account.
• Ang mga suportadong command ay depende sa modelo, subscription at aktibong konektadong serbisyo. Hindi naitatag ang pagmamaneho o pagdaig sa immobilizer.
• Ini-refresh ng mga mananaliksik ang status ng sasakyan at kinumpirma ang mga pisikal na epekto kasama ang may-ari sa tabi ng sasakyan.
• Ang bersyon ng gabay sa produksyon ng PingIDM ay nagrekomenda ng pag-alis o pagprotekta sa mga tool sa pagpapaunlad at nagpapakilala ng hiwalay na sistema ng pagpapatunay ng console.

Isinaling transcript

Isinalin mula sa orihinal na salaysay sa English. Ang available na audio at mga caption ay kinokontrol ng YouTube.

Paano naging susi ng kotse ang isang login?

0:00 Sinusuri ng app ng iyong kotse na ikaw ang may-ari. Sa halip, ginawa ng mga mananaliksik na ipinangako sila ng identity server nito. Sa video na ito, paano naging awtoridad ng sasakyan ang login? At ano ang nagpatunay na talagang sumunod ang kotse? Lunes, Nobyembre siyam, at ito ang The Daily Diff. Isang huling pagsusuri ang naghihiwalay sa isang nakakumbinsi na screen mula sa isang naka-unlock na kotse. Ang mga serbisyo ng konektadong kotse ay ang mga online system sa likod ng phone app ng may-ari. Iniulat nina Shubham Shah at Sam Curry na ang administratibong pag-access sa pagkakakilanlan ay nagpahintulot sa kanila na

0:25 makakuha ng parehong awtoridad ng app bilang isang may-ari. Nagpakita sila ng mga remote command sa mga sasakyang may pahintulot. Sinasabi ng kanilang account sa US na ang mga depekto ay naayos pagkatapos ng pagbubunyag.

Ano ang bagong inilathala, at ano ang naitama na?

0:33 Parehong lumabas ang mga writeup noong Nobyembre siyete. Idinadaan ni Curry ang kanyang pagbubunyag sa simula ng taong ito. Inilarawan ni Shah ang pananaliksik sa Australia na nagsimula noong Hulyo. Iba't ibang timeline iyan. Ang pagbasa sa mga ito bilang isang pandaigdigang emergency ay magbibigay sa headline ng mas maraming kapangyarihan kaysa sa ebidensya. Bumili si Shah ng isa sa mga SUV ng hindi pinangalanang automaker noong dalawang libo dalawampu't tatlo. Aling serbisyo ng internet ang nakakatanggap ng tap kapag ini-unlock ko ang aking kotse?

0:53 Ginugol nila ni Curry ang dalawang linggo sa pagsusuri sa sistema ng pagkakakilanlan. Ang key fob ay nakakuha ng isang backend team. Nag-sign in ka sa app at nilo-load ang iyong garahe.

Aling pagkakakilanlan ang pinagkakatiwalaan ng serbisyo ng sasakyan?

1:01 Ang konektadong serbisyo ay iniuugnay ang account na iyon sa mga sasakyan at pinahihintulutang mga command. Ang relasyon na iyon ang kapaki-pakinabang na sagot. Kung sino man ang kumokontrol sa pinagkakatiwalaang pagkakakilanlan ng customer ay maaaring magmana ng mga kakayahang inilaan para sa customer. Sa Australia, isang pampublikong tool sa pamamahala ang naglantad ng impormasyon ng customer sa pamamagitan ng mga interface na protektado ng mga key na ipinadala sa browser JavaScript. Ambisyosong kahulugan ng lihim. Nakahanap din si Shah ng mga kredensyal ng administrator ng pagkakakilanlan sa isang vendor bundle,

1:24 at iniulat na nagtrabaho ang mga ito sa produksyon. Hinarangan ng perimeter ang mga sensitibong ruta. Ngunit iba ang interpretasyon ng mga software layer sa parehong kahilingan. Sinasabi ni Curry na itinuring ng edge ang isang landas bilang static na nilalaman habang naabot ng backend ang isang administration console. Ang welcome mat at ang naka-lock na pinto ay kumukunsulta sa iba't ibang mapa.

Bakit mahalaga ang isang development console?

1:41 Tinanggap pa rin ng console na iyon ang mga default na kredensyal ng administrator, ayon kay Curry. Sinasabi na ng gabay sa produksyon sa mga operator na alisin o protektahan ito, at sinasabi na ang pagpapatunay nito ay hiwalay sa pagpapatunay ng produkto ng pagkakakilanlan. Isang panibagong login na nagtatago sa pagitan ng mga bullet point ng checklist. Pinayagan ng nakalantad na kagamitan sa administrasyon ang code na tumakbo sa loob ng serbisyo ng pagkakakilanlan. Na-access ng mga mananaliksik ang mga record ng customer sa likod ng pampublikong hangganan ng pag-filter. Sinusuri ng isang perimeter filter ang trapiko na tumatawid sa perimeter na iyon.

2:06 Ang isang proseso na nasa loob na ng serbisyo ay may ibang relasyon sa data. Ipinaliliwanag nito ang problema ng multi-factor sa account ng US. Nagbigay ang mga record ng pagkakakilanlan ng impormasyon sa pag-login at destinasyon para sa isang email verification code. Ang administratibong kontrol sa mga record na iyon ay nagpahintulot sa mga mananaliksik na kumpletuhin ang pag-login. Nagbago na ang upstream na kahulugan ng customer. Inilarawan ni Shah ang isang hiwalay na maling konfigurasyon ng pagpapatunay sa Australia na nagpahintulot sa kanyang chain na laktawan ang karagdagang factor.

2:31 Ang pagsasabing sira ang multi-factor authentication sa lahat ng dako ay buburahin ang mga detalye ng konfigurasyon na kailangan ng mga developer. Panatilihin ang iyong karagdagang factor. Panatilihin ding mapagkakatiwalaan ang sistema na nagpapakahulugan sa may-ari nito. May iba't ibang trabaho ang mga kredensyal.

Kailan nagiging awtoridad ng app ang isang session?

2:43 Kinokontrol ng access ng administrator ang mga record ng pagkakakilanlan. Ang isang session ng customer ay kumakatawan sa isang nakumpletong pag-sign-in. Nakuha ng mobile app ang mga token na tinatanggap ng mga serbisyo nito. Ang pagtawag sa lahat ng iyon na magic token ay nagpapawala sa mga hangganan na naging dahilan ng posibleng access na katumbas ng may-ari. Inilarawan ni Curry ang mga direktoryo ng pagkakakilanlan ng dalawang hindi pinangalanang automaker sa maraming rehiyon. Nililimitahan niya ang kumpletong pagsubok ng sasakyan sa mga account at sasakyan ng US. Inilarawan ni Shah ang isang automaker sa dalawang Australian brand,

3:09 pagkatapos ay nag-claim ng mas malawak na pinagsamang pag-abot. Ang mga iba't ibang saklaw na iyon ay walang batayan upang makilala ang mga kumpanya. Pinagtatalunan ng Hacker News kung dapat bang umiral ang pag-unlock ng telepono. Ang isang tugon ay tumutukoy sa pagsusuri ng nakalimutang lock at paglamig o pagpapainit ng kotse. Gusto ng mga tao ang kapaki-pakinabang na feature. Ang pagbibigay ng kaginhawaan sa mga customer ay nagbibigay din sa serbisyo ng isang mamahaling trabaho. Kailangan nitong makuha ang awtoridad nito.

Ano ang talagang sakop ng pagwawasto?

3:29 Iniulat ni Curry na inayos ng parehong automaker ang kahinaan humigit-kumulang dalawang oras pagkatapos matanggap ito at pinaikot ang mga apektadong kredensyal. Iyan ang timeline ng kasamang US. Walang ibinigay na katumbas na timeline ng pagwawasto ang account ni Shah noong Hulyo. Hindi tinukoy ng kanyang account ang kasalukuyang status ng pagwawasto ng Australia. Hindi natin maaaring gawing global repair stopwatch ang dalawang oras na tugon. Para sa mga developer, magsimula sa ibabaw ng administrasyon. Imbentaryo kung ano ang nakalantad at kung aling sistema ng pagpapatunay ang nagpoprotekta dito.

3:55 Alisin ang mga hindi ginagamit na tool sa pagpapaunlad. Protektahan ang mga tool na pinanatili mo. Suriin ang interpretasyon ng kahilingan ng bawat layer bago ituring ang isang panuntunan sa edge bilang ang huling salita sa access. Sinasabi ni Shah na sa wakas ay gumana ang Australian chain bandang hatinggabi, na nagbubukas ng kotse na pinahintulutan silang subukan. Identity plumbing na may kasiya-siyang pagtatapos. Kinikita ng isang writeup ang konklusyon nito sa pamamagitan ng pagsusuri sa kabilang dulo.

4:14 Ang kumpiyansa ng backend ay kalahati lamang ng pag-uusap. Sinasabi ng account ni Curry sa US na ang mga kakayahan ay nakasalalay sa modelo ng sasakyan, subscription, at aktibong konektadong serbisyo. Kasama sa mga suportadong command ang pag-unlock ng pinto at remote engine start. Walang writeup na nagtatatag ng pagmamaneho o pagdaig sa immobilizer. Sinasaklaw ng ebidensya ang partikular na mga kakayahan ng app at pinahihintulutang pisikal na mga demonstrasyon. Tanungin kung aling serbisyo ang maaaring magbago ng mga katotohanan na pinagkakatiwalaan ng iyong awtorisasyon. Mahalaga ang mga password reset at pagbabago ng contact dahil ginagamit ng ibang mga system ang mga ito

4:41 bilang katotohanan. Ang isang valid na login ay maaaring nakasalalay sa isang muling isinulat na pagkakakilanlan. Ang kwento ng kotse na ito ay nagiging kwento ng iyong aplikasyon doon.

Ano ang nagpatunay na talagang sumunod ang kotse?

4:48 Ang huling pagsusuri ay nangyari sa tabi ng kotse. Sinasabi ni Curry na ang isang tinanggap na API command lamang ay walang pinatunayan tungkol sa pag-uugali ng kotse. Ni-refresh nila ang status nito at kinumpirma ang pisikal na resulta kasama ang may-ari na nakatayo sa tabi nito. In-unlock at sinimulan ni Shah ang sasakyan, pagkatapos ay pinahinto ito at muling in-lock. Naabot ng patunay ang driveway. Kung mas gusto mong basahin ito kaysa pakinggan ako, ang diff ay lumalabas sa iyong inbox tuwing umaga, libre sa thedailyff.dev, link sa ibaba.

Aling hangganan ang kailangan ng pagsusuri?

5:10 Kaya, ang hatol ngayon, KINAKAILANGANG SURIIN. Auditin ko ang mga administratibong landas sa pagkakakilanlan ng customer bago ito pagkatiwalaan ng pisikal na kontrol. Karapat-dapat purihin ang iniulat na pag-aayos sa US. Sino ang maaaring muling tukuyin ang may-ari na pinaniniwalaan ng bawat serbisyo sa ibaba? At iyan ang diff para sa araw na ito. Ako si Niko mula sa Axrisi. Magsama nang responsable.

Mga Pinagmulan

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip