Seguridade de identidade de coche conectado: autoridade do propietario e proba física

Que abrangue este vídeo

• O control administrativo da identidade de cliente de confianza pode afectar a autoridade do vehículo concedida polos servizos de aplicacións descendentes.
• Curry limita as probas completas da cadea de vehículos a contas e vehículos dos EUA; o alcance do directorio rexional e a afirmación combinada máis ampla de Shah teñen diferentes ámbitos.
• A resposta de aproximadamente dúas horas pertence á cronoloxía de divulgación do complemento dos EUA. A conta australiana non dá unha data de remediación correspondente.
• Os comandos admitidos dependen do modelo, da subscrición e dos servizos conectados activos. Non se estableceu a condución ou a anulación do inmobilizador.
• Os investigadores actualizaron o estado do vehículo e confirmaron os efectos físicos co propietario xunto ao vehículo.
• A guía de produción con versión de PingIDM recomenda eliminar ou protexer as ferramentas de desenvolvemento e identifica un sistema de autenticación de consola separado.

Transcrición traducida

Traducido da narración orixinal en inglés. O audio e os subtítulos dispoñibles son controlados por YouTube.

Como se converteu un inicio de sesión nunha chave de coche?

0:00 A aplicación do teu coche comproba que es o propietario. Os investigadores fixeron que o seu servidor de identidades os avalase a eles no seu lugar. Neste vídeo, como se converteu o inicio de sesión en autoridade do vehículo? E que probou que un coche realmente obedeceu? É luns, nove de novembro, e este é The Daily Diff. Unha última comprobación separa unha pantalla convincente dun coche desbloqueado. Os servizos de coches conectados son os sistemas en liña detrás da aplicación de teléfono dun propietario. Shubham Shah e Sam Curry informan de que o acceso administrativo á identidade lles permitiu

0:25 obter a mesma autoridade de aplicación que un propietario. Demostraron comandos remotos en vehículos autorizados. A súa conta dos EUA di que os fallos foron arranxados despois da divulgación.

Que se publicou recentemente e que xa estaba arranxado?

0:33 Ambos os escritos apareceron o sete de novembro. Curry data a súa divulgación a principios deste ano. Shah describe a investigación australiana que comezou en xullo. Esas son cronoloxías diferentes. Lelas como unha emerxencia mundial daría máis potencia ao titular que á evidencia. Shah comprou un dos SUV do fabricante sen nome en 2023. Que servizo de internet recibe o toque cando desbloqueo o meu coche?

0:53 El e Curry pasaron dúas semanas examinando o sistema de identidade. O mando a distancia adquiriu un equipo de backend. A aplicación inicia a túa sesión e carga o teu garaxe.

En que identidade confía o servizo do vehículo?

1:01 O servizo conectado asocia esa conta con vehículos e comandos permitidos. Esa relación é a resposta útil. Quen controla a identidade de cliente de confianza pode herdar capacidades destinadas ao cliente. En Australia, unha ferramenta de xestión pública expuxo información de clientes a través de interfaces protexidas por chaves enviadas en JavaScript do navegador. Definición ambiciosa de segredo. Shah tamén atopou credenciais de administrador de identidade nun paquete do provedor,

1:24 e informou de que funcionaban en produción. O perímetro bloqueaba rutas sensibles. Pero as capas de software interpretaron a mesma solicitude de forma diferente. Curry di que a fronteira tratou un camiño como contido estático mentres o backend chegaba a unha consola de administración. O felpudo e a porta pechada consultaban mapas diferentes.

Por que era importante unha consola de desenvolvemento?

1:41 Esa consola aínda aceptaba credenciais de administrador predeterminadas, segundo Curry. A guía de produción xa indica aos operadores que a eliminen ou a protexan, e di que a súa autenticación é separada da autenticación do produto de identidade. Outro inicio de sesión escondido entre os puntos da lista de verificación. As ferramentas de administración expostas permitían executar código dentro do servizo de identidade. Os investigadores accederon a rexistros de clientes detrás do límite de filtrado público. Un filtro de perímetro comproba o tráfico que cruza ese perímetro.

2:06 Un proceso que xa está dentro do servizo ten unha relación diferente cos datos. Isto explica o problema multifactorial na conta dos EUA. Os rexistros de identidade proporcionaron a información de inicio de sesión e o destino para un código de verificación por correo electrónico. O control administrativo sobre eses rexistros permitiu aos investigadores completar o inicio de sesión. A definición ascendente do cliente xa cambiara. Shah describe unha mala configuración de autenticación australiana separada que permitiu á súa cadea saltar o factor extra.

2:31 Dicir que a autenticación multifactorial está rota en todas partes borraría os detalles de configuración que os desenvolvedores necesitan. Manteña o seu factor extra. Manteña o sistema que define o seu propietario tamén fiable. As credenciais teñen diferentes traballos. O acceso de administrador controla os rexistros de identidade.

Cando unha sesión se converte en autoridade da aplicación?

2:43 Unha sesión de cliente representa un inicio de sesión completado. A aplicación móbil obtén tokens aceptados polos seus servizos. Chamar a todos eses un token máxico fai que se perdan os límites que fixeron posible o acceso equivalente ao propietario. Curry describe os directorios de identidade de dous fabricantes de automóbiles sen nome en varias rexións. Limita as probas completas de vehículos a contas e vehículos dos EUA. Shah describe un fabricante de automóbiles en dúas marcas australianas, e despois afirma un alcance combinado máis amplo.

3:09 Eses diferentes ámbitos non nos dan base para identificar as empresas. Hacker News discute sobre se o desbloqueo do teléfono debería existir. Unha resposta apunta a comprobar un bloqueo esquecido e arrefriar ou quentar o coche. A xente gosta das funcións útiles. Dar comodidade aos clientes tamén lle dá ao servizo un traballo caro. Ten que gañar a súa autoridade. Curry informa de que ambos os fabricantes de automóbiles corrixiron a vulnerabilidade aproximadamente dúas horas despois de recibila e rotaron as credenciais afectadas.

Que cubriu realmente a remediación?

3:29 Esa é a cronoloxía do complemento dos EUA. A conta de xullo de Shah non proporciona unha cronoloxía de remediación correspondente. A súa conta deixa o estado de remediación actual de Australia sen especificar. Non podemos converter a resposta de dúas horas nun cronómetro de reparación global. Para os desenvolvedores, comece pola superficie de administración. Faga un inventario do que está exposto e que sistema de autenticación o protexe. Elimine as ferramentas de desenvolvemento non utilizadas. Protexa as ferramentas que conserve.

3:55 Revise a interpretación das solicitudes de cada capa antes de tratar unha regra de bordo como a última palabra sobre o acceso. Shah di que a cadea australiana finalmente funcionou arredor da medianoite, abrindo un coche que tiñan permiso para probar. Fontanería de identidade cun final satisfactorio. Un artigo gaña a súa conclusión comprobando o outro extremo. A confianza do backend é só a metade da conversación. A conta de Curry nos EUA di que as capacidades dependen do modelo do vehículo, da subscrición e dos servizos conectados activos.

4:14 Os comandos admitidos inclúen o desbloqueo da porta e o arranque remoto do motor. Ningún dos dous escritos establece que se conduciu ou se anula un inmobilizador. A evidencia cobre capacidades de aplicacións particulares e demostracións físicas autorizadas. Pregunte que servizo pode cambiar os feitos nos que se basea a súa autorización. Os restablecementos de contrasinal e os cambios de contacto importan porque outros sistemas os consomen como verdade. Un inicio de sesión válido pode basearse nunha identidade reescrita. Esta historia de coche convértese na súa historia de aplicación aí. A comprobación final ocorreu xunto ao coche.

4:41 Curry di que un comando API aceptado por si só non demostrou nada sobre o comportamento do coche. Actualizaron o seu estado e confirmaron o resultado físico co propietario ao seu lado. Shah desbloqueou e arrincou o vehículo, logo detívoo e volveuno a bloquear.

Que probou que o coche realmente obedeceu?

4:48 A proba chegou á entrada. Se prefires ler isto que escoitarmo, o diff chega á túa caixa de entrada cada mañá, gratis en thedailydiff.dev, ligazón a continuación. Entón, o veredicto de hoxe, NEEDS REVIEW. Auditaría as rutas administrativas cara á identidade do cliente de confianza antes de confiar nela para os controis físicos. A solución informada nos EUA merece crédito. Quen pode redefinir o propietario no que cre cada servizo descendente? Esa é a diferenza de hoxe. Son Niko de Axrisi. Fusiona con responsabilidade.

Que límite necesita revisión?

5:10 Merge responsibly. I'd audit administrative paths into customer identity before trusting it with physical controls. The reported US fix deserves credit. Who can redefine the owner that every downstream service believes? And that's the diff for today. I'm Niko from Axrisi. Merge responsibly.

Fontes

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip