Sécurité de l'identité des voitures connectées : autorité du propriétaire et preuve physique

Ce que couvre cette vidéo

• Le contrôle administratif de l'identité client de confiance peut affecter l'autorité du véhicule accordée par les services d'application en aval.
• Curry limite les tests complets de la chaîne du véhicule aux comptes et véhicules américains ; la portée de l'annuaire régional et l'affirmation combinée plus large de Shah ont des portées différentes.
• La réponse d'environ deux heures fait partie du calendrier de divulgation du rapport américain. Le compte australien ne donne aucune date de remédiation correspondante.
• Les commandes prises en charge dépendent du modèle, de l'abonnement et des services connectés actifs. La conduite ou la désactivation de l'antidémarrage n'a pas été établie.
• Les chercheurs ont actualisé le statut du véhicule et confirmé les effets physiques avec le propriétaire à côté du véhicule.
• Le guide de production versionné de PingIDM recommande de supprimer ou de protéger les outils de développement et identifie un système d'authentification de console distinct.

Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont gérés par YouTube.

Comment une connexion est-elle devenue une clé de voiture ?

0:00 L'application de votre voiture vérifie que vous êtes le propriétaire. Les chercheurs ont fait en sorte que son serveur d'identité se porte garant d'eux à la place. Dans cette vidéo, comment une connexion est-elle devenue une autorité de véhicule ? Et qu'est-ce qui a prouvé qu'une voiture a réellement obéi ? Nous sommes le lundi 9 novembre, et voici The Daily Diff. Une dernière vérification sépare un écran convaincant d'une voiture déverrouillée. Les services de voiture connectée sont les systèmes en ligne derrière l'application téléphonique d'un propriétaire. Shubham Shah et Sam Curry rapportent que l'accès administratif à l'identité leur a permis

0:25 d'obtenir la même autorité d'application qu'un propriétaire. Ils ont démontré des commandes à distance sur des véhicules autorisés. Leur rapport américain indique que les failles ont été corrigées après la divulgation.

Qu'est-ce qui est nouvellement publié et qu'est-ce qui était déjà corrigé ?

0:33 Les deux rapports sont apparus le 7 novembre. Curry date sa divulgation au début de cette année. Shah décrit des recherches australiennes commençant en juillet. Ce sont des calendriers différents. Les lire comme une urgence mondiale donnerait au titre plus de puissance que les preuves. Shah a acheté l'un des SUV du constructeur automobile non nommé en 2023. Quel service internet reçoit le tapotement lorsque je déverrouille ma voiture ?

0:53 Lui et Curry ont passé deux semaines à examiner le système d'identité. La télécommande a acquis une équipe de backend. L'application vous connecte et charge votre garage.

Quelle identité le service du véhicule fait-il confiance ?

1:01 Le service connecté associe ce compte à des véhicules et à des commandes autorisées. Cette relation est la réponse utile. Quiconque contrôle l'identité client de confiance peut hériter des capacités destinées au client. En Australie, un outil de gestion publique a exposé des informations client via des interfaces protégées par des clés livrées dans le JavaScript du navigateur. Définition ambitieuse du secret. Shah a également trouvé des informations d'identification d'administrateur d'identité dans un ensemble de fournisseurs,

1:24 et a signalé qu'elles fonctionnaient en production. Le périmètre a bloqué les routes sensibles. Mais les couches logicielles ont interprété la même requête différemment. Curry dit que le périphérique a traité un chemin comme du contenu statique tandis que le backend a atteint une console d'administration. Le paillasson et la porte verrouillée consultaient des cartes différentes.

Pourquoi une console de développement était-elle importante ?

1:41 Cette console acceptait toujours les informations d'identification d'administrateur par défaut, selon Curry. Le guide de production dit déjà aux opérateurs de le supprimer ou de le protéger, et dit que son authentification est distincte de l'authentification du produit d'identité. Une autre connexion cachée entre les points de la liste de contrôle. Les outils d'administration exposés ont permis l'exécution de code à l'intérieur du service d'identité. Les chercheurs ont accédé aux enregistrements des clients derrière la limite de filtrage publique. Un filtre de périmètre vérifie le trafic traversant ce périmètre.

2:06 Un processus déjà à l'intérieur du service a une relation différente avec les données. Ceci explique le problème du multi-facteur dans le compte américain. Les enregistrements d'identité ont fourni les informations de connexion et la destination pour un code de vérification par e-mail. Le contrôle administratif sur ces enregistrements a permis aux chercheurs de compléter la connexion. La définition amont du client avait déjà changé. Shah décrit une autre erreur de configuration d'authentification australienne qui a permis à sa chaîne de sauter le facteur supplémentaire.

2:31 Qualifier l'authentification multi-facteurs de cassée partout effacerait les détails de configuration dont les développeurs ont besoin. Gardez votre facteur supplémentaire. Gardez également le système définissant son propriétaire digne de confiance. Les informations d'identification ont des rôles différents.

Quand une session devient-elle une autorité d'application ?

2:43 L'accès administrateur contrôle les enregistrements d'identité. Une session client représente une connexion terminée. L'application mobile obtient des jetons acceptés par ses services. Appeler tout cela un jeton magique fait disparaître les limites qui ont rendu l'accès équivalent à celui du propriétaire possible. Curry décrit les annuaires d'identité de deux constructeurs automobiles non nommés dans plusieurs régions. Il limite les tests complets de véhicule aux comptes et véhicules américains. Shah décrit un constructeur automobile à travers deux marques australiennes,

3:09 puis revendique une portée combinée plus large. Ces différentes portées ne nous donnent aucune base pour identifier les entreprises. Hacker News débat de l'opportunité d'autoriser le déverrouillage du téléphone. Une réponse pointe vers la vérification d'un verrou oublié et le refroidissement ou le chauffage de la voiture. Les gens aiment les fonctionnalités utiles. Offrir aux clients la commodité donne également au service un travail coûteux. Il doit gagner son autorité.

Qu'est-ce que la remédiation a réellement couvert ?

3:29 Curry rapporte que les deux constructeurs automobiles ont corrigé la vulnérabilité environ deux heures après l'avoir reçue et ont fait tourner les informations d'identification affectées. C'est le calendrier du rapport américain. Le rapport de Shah de juillet ne fournit pas de calendrier de remédiation correspondant. Son rapport laisse l'état actuel de la remédiation en Australie non spécifié. Nous ne pouvons pas transformer la réponse de deux heures en un chronomètre de réparation mondial. Pour les développeurs, commencez par la surface d'administration. Inventoriez ce qui est exposé et quel système d'authentification le protège.

3:55 Supprimez les outils de développement inutilisés. Protégez les outils que vous conservez. Examinez l'interprétation des requêtes de chaque couche avant de considérer une règle de bord comme le dernier mot sur l'accès. Shah dit que la chaîne australienne a finalement fonctionné vers minuit, ouvrant une voiture qu'ils étaient autorisés à tester. Une plomberie d'identité avec une fin satisfaisante. Un rapport gagne sa conclusion en vérifiant l'autre extrémité.

4:14 La confiance du backend n'est que la moitié de la conversation. Le rapport américain de Curry indique que les capacités dépendent du modèle de véhicule, de l'abonnement et des services connectés actifs. Les commandes prises en charge incluent le déverrouillage des portes et le démarrage du moteur à distance. Aucun des deux rapports n'établit la capacité de s'éloigner en voiture ou de désactiver un antidémarrage. Les preuves couvrent des capacités d'application particulières et des démonstrations physiques autorisées. Demandez quel service peut modifier les faits sur lesquels votre autorisation s'appuie. Les réinitialisations de mot de passe et les modifications de contact sont importantes car d'autres systèmes les consomment

4:41 comme des vérités. Une connexion valide peut reposer sur une identité réécrite. Cette histoire de voiture devient votre histoire d'application là-bas.

Qu'est-ce qui a prouvé que la voiture a réellement obéi ?

4:48 La vérification finale a eu lieu à côté de la voiture. Curry dit qu'une commande API acceptée seule ne prouvait rien sur le comportement de la voiture. Ils ont actualisé son statut et confirmé le résultat physique avec le propriétaire debout à côté. Shah a déverrouillé et démarré le véhicule, puis l'a arrêté et l'a verrouillé à nouveau. La preuve a atteint l'allée. Si vous préférez lire ceci plutôt que de m'entendre le dire, le "diff" arrive dans votre boîte de réception tous les matins, gratuitement sur the daily diff dot dev, lien ci-dessous.

Quelle limite doit être révisée ?

5:10 Donc, le verdict d'aujourd'hui, NEEDS REVIEW. J'auditerai les chemins administratifs vers l'identité client avant de lui faire confiance pour les contrôles physiques. La correction rapportée aux États-Unis mérite d'être saluée. Qui peut redéfinir le propriétaire que chaque service en aval croit ? Et c'est le "diff" pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable.

Sources

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip