Sécurité d'identité des voitures connectées: autorité du propriétaire et preuve physique

Ce que cette vidéo couvre

• Le contrôle administratif de l'identité du client de confiance peut affecter l'autorité du véhicule accordée par les services d'application en aval.
• Curry limite les tests complets de la chaîne du véhicule aux comptes et véhicules américains; la portée du répertoire régional et la revendication combinée plus large de Shah ont des portées différentes.
• La réponse d'environ deux heures appartient à la chronologie de divulgation du rapport américain complémentaire. Le compte australien ne donne aucune date de remédiation correspondante.
• Les commandes prises en charge dépendent du modèle, de l'abonnement et des services connectés actifs. La conduite ou la désactivation de l'antidémarrage n'a pas été établie.
• Les chercheurs ont actualisé le statut du véhicule et confirmé les effets physiques avec le propriétaire à côté du véhicule.
• Le guide de production versionné de PingIDM recommande de supprimer ou de protéger les outils de développement et identifie un système d'authentification de console distinct.

Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont contrôlés par YouTube.

Comment une connexion est-elle devenue une clé de voiture?

0:00 L'application de votre voiture vérifie que vous êtes le propriétaire. Les chercheurs ont plutôt fait en sorte que son serveur d'identité se porte garant pour eux. Dans cette vidéo, comment la connexion est-elle devenue l'autorité du véhicule? Et qu'est-ce qui a prouvé qu'une voiture obéissait réellement? C'est le lundi 9 novembre, et c'est The Daily Diff. Une dernière vérification sépare un écran convaincant d'une voiture déverrouillée. Les services de voitures connectées sont les systèmes en ligne derrière l'application téléphonique d'un propriétaire. Shubham Shah et Sam Curry rapportent que l'accès administratif à l'identité leur a permis

0:25 d'obtenir la même autorité d'application qu'un propriétaire. Ils ont démontré des commandes à distance sur des véhicules autorisés. Leur compte américain indique que les failles ont été corrigées après divulgation.

Qu'est-ce qui est nouvellement publié et qu'est-ce qui était déjà corrigé?

0:33 Les deux articles sont parus le 7 novembre. Curry date sa divulgation au début de cette année. Shah décrit une recherche australienne commençant en juillet. Ce sont des chronologies différentes. Les lire comme une seule urgence mondiale donnerait plus de puissance au titre qu'aux preuves. Shah a acheté l'un des VUS de l'automaker non nommé en 2023. Quel service internet reçoit l'impulsion lorsque je déverrouille ma voiture?

0:53 Lui et Curry ont passé deux semaines à examiner le système d'identité. La clé de voiture a acquis une équipe de support. L'application vous connecte et charge votre garage.

Quelle identité le service du véhicule fait-il confiance?

1:01 Le service connecté associe ce compte aux véhicules et aux commandes autorisées. Cette relation est la réponse utile. Quiconque contrôle l'identité du client de confiance peut hériter des capacités destinées au client. En Australie, un outil de gestion public a exposé des informations client via des interfaces protégées par des clés livrées dans le JavaScript du navigateur. Définition ambitieuse du secret. Shah a également trouvé des informations d'identification d'administrateur d'identité dans un bundle de fournisseur,

1:24 et a signalé qu'elles fonctionnaient en production. Le périmètre bloquait les routes sensibles. Mais les couches logicielles ont interprété la même requête différemment. Curry dit que l'interface a traité un chemin comme du contenu statique tandis que le backend a atteint une console d'administration. Le tapis de bienvenue et la porte verrouillée consultaient des cartes différentes.

Pourquoi une console de développement était-elle importante?

1:41 Cette console acceptait toujours les informations d'identification d'administrateur par défaut, selon Curry. Le guide de production indique déjà aux opérateurs de le supprimer ou de le protéger, et dit que son authentification est séparée de l'authentification du produit d'identité. Une autre connexion se cachant entre les points de la liste de contrôle. Les outils d'administration exposés ont permis l'exécution de code à l'intérieur du service d'identité. Les chercheurs ont accédé aux enregistrements clients derrière la limite de filtrage publique. Un filtre de périmètre vérifie le trafic traversant ce périmètre.

2:06 Un processus déjà à l'intérieur du service a une relation différente avec les données. Ceci explique le problème multifactoriel dans le compte américain. Les enregistrements d'identité ont fourni les informations de connexion et la destination pour un code de vérification par e-mail. Le contrôle administratif de ces enregistrements a permis aux chercheurs de compléter la connexion. La définition amont du client avait déjà changé. Shah décrit une mauvaise configuration d'authentification australienne distincte qui a permis à sa chaîne de sauter le facteur supplémentaire.

2:31 Qualifier l'authentification multifactorielle de défectueuse partout effacerait les détails de configuration dont les développeurs ont besoin. Gardez votre facteur supplémentaire. Gardez également le système définissant son propriétaire digne de confiance. Les informations d'identification ont des fonctions différentes.

Quand une session devient-elle une autorité d'application?

2:43 L'accès administrateur contrôle les enregistrements d'identité. Une session client représente une connexion terminée. L'application mobile obtient des jetons acceptés par ses services. Qualifier tout cela de jeton magique fait perdre les limites qui ont rendu l'accès équivalent au propriétaire possible. Curry décrit les répertoires d'identité de deux constructeurs automobiles non nommés à travers plusieurs régions. Il limite les tests complets des véhicules aux comptes et véhicules américains. Shah décrit un constructeur automobile à travers deux marques australiennes,

3:09 puis revendique une portée combinée plus large. Ces portées différentes ne nous donnent aucune base pour identifier les entreprises. Hacker News débat de l'opportunité de l'existence du déverrouillage téléphonique. Une réponse pointe vers la vérification d'un verrou oublié et le refroidissement ou le réchauffement de la voiture. Les gens aiment les fonctionnalités utiles. Donner de la commodité aux clients donne également au service un travail coûteux. Il doit gagner son autorité.

Qu'est-ce que la remédiation a réellement couvert?

3:29 Curry rapporte que les deux constructeurs automobiles ont corrigé la vulnérabilité environ deux heures après l'avoir reçue et ont fait pivoter les informations d'identification affectées. C'est la chronologie du rapport américain complémentaire. Le compte de juillet de Shah ne fournit aucune chronologie de remédiation correspondante. Son compte laisse le statut de remédiation actuel de l'Australie non spécifié. Nous ne pouvons pas transformer la réponse de deux heures en un chronomètre de réparation mondial. Pour les développeurs, commencez par la surface d'administration. Inventoriez ce qui est exposé et quel système d'authentification le protège.

3:55 Supprimez les outils de développement inutilisés. Protégez les outils que vous conservez. Examinez l'interprétation de la requête de chaque couche avant de considérer une règle de bord comme le dernier mot sur l'accès. Shah dit que la chaîne australienne a finalement fonctionné vers minuit, ouvrant une voiture qu'ils étaient autorisés à tester. Une plomberie d'identité avec une fin satisfaisante. Un article gagne sa conclusion en vérifiant l'autre extrémité.

4:14 La confiance du backend n'est que la moitié de la conversation. Le compte américain de Curry indique que les capacités dépendent du modèle de véhicule, de l'abonnement et des services connectés actifs. Les commandes prises en charge incluent le déverrouillage des portes et le démarrage à distance du moteur. Aucun des deux articles n'établit la conduite ou la désactivation d'un antidémarrage. Les preuves couvrent des capacités d'application particulières et des démonstrations physiques autorisées. Demandez quel service peut modifier les faits sur lesquels votre autorisation repose. Les réinitialisations de mot de passe et les changements de contact sont importants car d'autres systèmes les

4:41 consomment comme vérité. Une connexion valide peut reposer sur une identité réécrite. Cette histoire de voiture devient votre histoire d'application là.

Qu'est-ce qui a prouvé que la voiture obéissait réellement?

4:48 La vérification finale a eu lieu à côté de la voiture. Curry dit qu'une commande API acceptée seule ne prouvait rien sur le comportement de la voiture. Ils ont actualisé son statut et confirmé le résultat physique avec le propriétaire debout à côté. Shah a déverrouillé et démarré le véhicule, puis l'a arrêté et l'a de nouveau verrouillé. La preuve a atteint l'allée. Si vous préférez lire ceci plutôt que de m'entendre le dire, le diff arrive dans votre boîte de réception chaque matin, gratuitement sur the daily diff dot dev, lien ci-dessous.

Quelle limite doit être examinée?

5:10 Donc, le verdict d'aujourd'hui, NEEDS REVIEW. J'auditerai les chemins administratifs vers l'identité du client de confiance avant de lui faire confiance pour les contrôles physiques. La correction américaine rapportée mérite crédit. Qui peut redéfinir le propriétaire que chaque service en aval croit? Et c'est le diff pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable.

Sources

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip