કનેક્ટેડ-કાર ઓળખ સુરક્ષા: માલિકની સત્તા અને ભૌતિક પુરાવો

આ વીડિયોમાં શું આવરી લેવામાં આવ્યું છે

• વિશ્વસનીય ગ્રાહક ઓળખનું વહીવટી નિયંત્રણ ડાઉનસ્ટ્રીમ એપ્લિકેશન સેવાઓ દ્વારા આપવામાં આવતી વાહન સત્તાને અસર કરી શકે છે.
• કરી સંપૂર્ણ વાહન-ચેઇન પરીક્ષણને યુએસ એકાઉન્ટ્સ અને વાહનો સુધી મર્યાદિત રાખે છે; પ્રાદેશિક ડિરેક્ટરી પહોંચ અને શાહના વ્યાપક સંયુક્ત દાવાઓનો અવકાશ અલગ છે.
• આશરે બે કલાકનો પ્રતિભાવ યુએસ સાથીની જાહેરાત સમયરેખાનો છે. ઑસ્ટ્રેલિયન એકાઉન્ટ કોઈ મેળ ખાતી સુધારણા તારીખ આપતું નથી.
• સપોર્ટેડ કમાન્ડ્સ મોડેલ, સબ્સ્ક્રિપ્શન અને સક્રિય કનેક્ટેડ સેવાઓ પર આધાર રાખે છે. ડ્રાઇવિંગ અથવા ઇમોબિલાઇઝરને હરાવવાનું સ્થાપિત થયું ન હતું.
• સંશોધકોએ વાહનની સ્થિતિ તાજી કરી અને વાહનની બાજુમાં માલિક સાથે ભૌતિક અસરોની પુષ્ટિ કરી.
• PingIDM ની સંસ્કરણવાળી ઉત્પાદન માર્ગદર્શિકા વિકાસ સાધનોને દૂર કરવા અથવા સુરક્ષિત કરવાની ભલામણ કરે છે અને એક અલગ કન્સોલ પ્રમાણીકરણ સિસ્ટમ ઓળખે છે.

અનુવાદિત ટ્રાન્સક્રિપ્ટ

મૂળ અંગ્રેજી કથામાંથી અનુવાદિત. ઉપલબ્ધ ઑડિઓ અને કૅપ્શન્સ YouTube દ્વારા નિયંત્રિત થાય છે.

લોગિન કારની ચાવી કેવી રીતે બની ગયું?

0:00 તમારી કારની એપ્લિકેશન તપાસે છે કે તમે માલિક છો. સંશોધકોએ તેના બદલે તેમના માટે તેના ઓળખ સર્વરને બાંયધરી આપી. આ વીડિયોમાં, લોગિન વાહન સત્તા કેવી રીતે બન્યું? અને કાર ખરેખર પાલન કરે છે તે શું સાબિત થયું? આ સોમવાર, નવ નવેમ્બર છે, અને આ છે The Daily Diff. એક અંતિમ તપાસ એક મનાવનાર સ્ક્રીનને અનલૉક કરેલી કારથી અલગ પાડે છે. કનેક્ટેડ કાર સેવાઓ એ માલિકની ફોન એપ્લિકેશન પાછળની ઑનલાઇન સિસ્ટમ્સ છે. શુભમ શાહ અને સેમ કરી જણાવે છે કે વહીવટી ઓળખની ઍક્સેસ તેમને

0:25 માલિક જેવી જ એપ્લિકેશન સત્તા મેળવવા દે છે. તેઓએ પરવાનગીવાળા વાહનો પર રીમોટ કમાન્ડ્સનું પ્રદર્શન કર્યું. તેમનું યુએસ એકાઉન્ટ કહે છે કે જાહેરાત પછી ખામીઓ ઠીક કરવામાં આવી હતી.

નવીનતમ શું પ્રકાશિત થયું છે, અને શું પહેલેથી જ ઠીક કરવામાં આવ્યું હતું?

0:33 બંને લખાણો સાત નવેમ્બરે દેખાયા. કરી તેમની જાહેરાતને આ વર્ષની શરૂઆતની તારીખ આપે છે. શાહ જુલાઈમાં શરૂ થયેલા ઑસ્ટ્રેલિયન સંશોધનનું વર્ણન કરે છે. તે અલગ સમયરેખા છે. તેમને એક વિશ્વવ્યાપી કટોકટી તરીકે વાંચવાથી હેડલાઇનને વધુ અશ્વશક્તિ મળશે પુરાવા કરતાં. શાહે 2023 માં અનામી વાહન ઉત્પાદકની એક એસયુવી ખરીદી. જ્યારે હું મારી કાર અનલૉક કરું છું ત્યારે કઈ ઇન્ટરનેટ સેવા ટેપ મેળવે છે?

0:53 તે અને કરી ઓળખ સિસ્ટમની તપાસ કરવામાં બે અઠવાડિયા વિતાવ્યા. કી ફોબને બેકએન્ડ ટીમ મળી છે. એપ્લિકેશન તમને સાઇન ઇન કરે છે અને તમારું ગેરેજ લોડ કરે છે.

વાહન સેવા કઈ ઓળખ પર વિશ્વાસ કરે છે?

1:01 કનેક્ટેડ સેવા તે એકાઉન્ટને વાહનો અને પરવાનગીવાળા કમાન્ડ્સ સાથે સાંકળે છે. તે સંબંધ ઉપયોગી જવાબ છે. જે કોઈ વિશ્વસનીય ગ્રાહક ઓળખને નિયંત્રિત કરે છે તે ગ્રાહક માટે બનાવાયેલ ક્ષમતાઓનો વારસો મેળવી શકે છે. ગ્રાહક માટે બનાવાયેલ ક્ષમતાઓનો વારસો મેળવી શકે છે. ઑસ્ટ્રેલિયામાં, એક સાર્વજનિક વ્યવસ્થાપન સાધને બ્રાઉઝર JavaScript માં મોકલાયેલી કી દ્વારા સુરક્ષિત ઇન્ટરફેસ દ્વારા ગ્રાહક માહિતીને ખુલ્લી પાડી. ઇન્ટરફેસ દ્વારા ગ્રાહક માહિતીને ખુલ્લી પાડી. ગુપ્તની મહત્વાકાંક્ષી વ્યાખ્યા. શાહને વિક્રેતા બંડલમાં ઓળખ એડમિનિસ્ટ્રેટર ઓળખપત્રો પણ મળ્યા,

1:24 અને જાણ કરી કે તેઓ ઉત્પાદનમાં કામ કરતા હતા. પરિમિટર સંવેદનશીલ માર્ગોને અવરોધિત કરતું હતું. પરંતુ સૉફ્ટવેર સ્તરોએ સમાન વિનંતીનું અલગ રીતે અર્થઘટન કર્યું. કરી કહે છે કે કિનારે પાથને સ્થિર સામગ્રી તરીકે ગણવામાં આવતો હતો જ્યારે બેકએન્ડ એક વહીવટી કન્સોલ સુધી પહોંચતો હતો. એક વહીવટી કન્સોલ સુધી પહોંચતો હતો. સ્વાગત મેટ અને તાળું મારેલું દરવાજો અલગ નકશાની સલાહ લેતા હતા.

વિકાસ કન્સોલ શા માટે મહત્વનું હતું?

1:41 તે કન્સોલ હજી પણ ડિફૉલ્ટ એડમિનિસ્ટ્રેટર ઓળખપત્રો સ્વીકારતું હતું, કરી અનુસાર. ઉત્પાદન માર્ગદર્શિકા પહેલેથી જ ઓપરેટરોને તેને દૂર કરવા અથવા સુરક્ષિત કરવા માટે કહે છે, અને કહે છે કે તેનું પ્રમાણીકરણ ઓળખ ઉત્પાદનના પ્રમાણીકરણથી અલગ છે. ચેકલિસ્ટના બુલેટ પોઇન્ટ્સ વચ્ચે છુપાયેલું બીજું લોગિન. ખુલ્લું વહીવટી સાધન ઓળખ સેવાની અંદર કોડ ચલાવવાની મંજૂરી આપતું હતું. સંશોધકોએ જાહેર ફિલ્ટરિંગ સીમા પાછળ ગ્રાહક રેકોર્ડ્સને ઍક્સેસ કર્યા. એક પરિમિટર ફિલ્ટર તે પરિમિટરને પાર કરતા ટ્રાફિકને તપાસે છે.

2:06 સેવા અંદરની પ્રક્રિયાનો ડેટા સાથે અલગ સંબંધ હોય છે. આ યુએસ એકાઉન્ટમાં મલ્ટિ-ફેક્ટર સમસ્યા સમજાવે છે. ઓળખ રેકોર્ડ્સ ઇમેઇલ ચકાસણી કોડ માટે લોગિન માહિતી અને ગંતવ્ય પૂરા પાડતા હતા. તે રેકોર્ડ્સ પર વહીવટી નિયંત્રણથી સંશોધકો લોગિન પૂર્ણ કરી શક્યા. સંશોધકો લોગિન પૂર્ણ કરી શક્યા. ગ્રાહકની અપસ્ટ્રીમ વ્યાખ્યા પહેલેથી જ બદલાઈ ગઈ હતી. શાહ એક અલગ ઑસ્ટ્રેલિયન પ્રમાણીકરણ ખોટી ગોઠવણીનું વર્ણન કરે છે જેણે તેની સાંકળને વધારાના ફેક્ટરને છોડી દેવા દીધું. તેની સાંકળને વધારાના ફેક્ટરને છોડી દેવા દીધું.

2:31 દરેક જગ્યાએ મલ્ટિ-ફેક્ટર પ્રમાણીકરણ તૂટેલું છે એમ કહેવાથી ડેવલપર્સને જરૂરી ગોઠવણી વિગતો ભૂંસી નાખશે. ગોઠવણી વિગતો ભૂંસી નાખશે. તમારું વધારાનું ફેક્ટર રાખો. તેના માલિકને પણ વિશ્વાસપાત્ર વ્યાખ્યાયિત કરતી સિસ્ટમને રાખો. ઓળખપત્રોના અલગ-અલગ કાર્યો હોય છે.

સત્ર એપ્લિકેશન સત્તા ક્યારે બને છે?

2:43 એડમિનિસ્ટ્રેટર ઍક્સેસ ઓળખ રેકોર્ડ્સને નિયંત્રિત કરે છે. ગ્રાહક સત્ર પૂર્ણ થયેલ સાઇન-ઇનનું પ્રતિનિધિત્વ કરે છે. મોબાઇલ એપ્લિકેશન તેની સેવાઓ દ્વારા સ્વીકૃત ટોકન્સ મેળવે છે. તે બધાને જાદુઈ ટોકન કહેવાથી તે સીમાઓ ગુમાવી દે છે જેણે માલિક-સમકક્ષ ઍક્સેસ શક્ય બનાવી હતી. માલિક-સમકક્ષ ઍક્સેસ શક્ય બનાવી હતી. કરી બહુવિધ પ્રદેશોમાં બે અનામી વાહન ઉત્પાદકોની ઓળખ ડિરેક્ટરીઓનું વર્ણન કરે છે. તે સંપૂર્ણ વાહન પરીક્ષણને યુએસ એકાઉન્ટ્સ અને વાહનો સુધી મર્યાદિત રાખે છે. શાહ બે ઑસ્ટ્રેલિયન બ્રાન્ડ્સમાં એક વાહન ઉત્પાદકનું વર્ણન કરે છે,

3:09 પછી વ્યાપક સંયુક્ત પહોંચનો દાવો કરે છે. તે અલગ અવકાશ અમને કંપનીઓને ઓળખવાનો કોઈ આધાર આપતા નથી. Hacker News ચર્ચા કરે છે કે ફોન અનલૉકિંગ અસ્તિત્વમાં હોવું જોઈએ કે નહીં. એક જવાબ ભૂલી ગયેલા લોકને તપાસવા અને કારને ઠંડી કે ગરમ કરવા તરફ નિર્દેશ કરે છે. લોકો ઉપયોગી સુવિધાઓ પસંદ કરે છે. ગ્રાહકોને સુવિધા આપવાથી સેવાને મોંઘું કામ પણ મળે છે. તેને તેની સત્તા કમાવવી પડે છે.

સુધારણામાં ખરેખર શું આવરી લેવામાં આવ્યું હતું?

3:29 કરી જણાવે છે કે બંને વાહન ઉત્પાદકોએ સંવેદનશીલતા મળ્યાના લગભગ બે કલાક પછી તેને ઠીક કરી અને અસરગ્રસ્ત ઓળખપત્રો ફેરવ્યા. અસરગ્રસ્ત ઓળખપત્રો ફેરવ્યા. તે યુએસ સાથીની સમયરેખા છે. શાહનું જુલાઈ એકાઉન્ટ કોઈ મેળ ખાતી સુધારણા સમયરેખા પૂરી પાડતું નથી. તેમનું એકાઉન્ટ ઑસ્ટ્રેલિયાની વર્તમાન સુધારણા સ્થિતિ અસ્પષ્ટ રાખે છે. અમે બે કલાકના પ્રતિભાવને વૈશ્વિક સમારકામ સ્ટોપવોચમાં ફેરવી શકતા નથી. વિકાસકર્તાઓ માટે, વહીવટી સપાટીથી શરૂઆત કરો. કયું ખુલ્લું છે અને કઈ પ્રમાણીકરણ સિસ્ટમ તેને સુરક્ષિત કરે છે તેનો ઇન્વેન્ટરી કરો.

3:55 વપરાયેલ ન હોય તેવા વિકાસ સાધનો દૂર કરો. તમે જાળવી રાખો છો તે સાધનોને સુરક્ષિત કરો. ઍક્સેસ પર છેલ્લા શબ્દ તરીકે કિનારે નિયમને ગણતા પહેલા દરેક સ્તરની વિનંતી અર્થઘટનની સમીક્ષા કરો. ઍક્સેસ પર છેલ્લા શબ્દ તરીકે કિનારે નિયમને ગણતા પહેલા દરેક સ્તરની વિનંતી અર્થઘટનની સમીક્ષા કરો. શાહ કહે છે કે ઑસ્ટ્રેલિયન ચેઇન આખરે મધ્યરાત્રિની આસપાસ કામ કરી, જે કારનું પરીક્ષણ કરવાની તેમને મંજૂરી હતી તે ખોલી. સંતોષકારક અંત સાથે ઓળખ પ્લમ્બિંગ. એક લખાણ બીજા છેડાને તપાસીને તેનું નિષ્કર્ષ કમાય છે.

4:14 બેકએન્ડનો આત્મવિશ્વાસ વાતચીતનો માત્ર અડધો ભાગ છે. કરીનું યુએસ એકાઉન્ટ કહે છે કે ક્ષમતાઓ વાહન મોડેલ, સબ્સ્ક્રિપ્શન અને સક્રિય કનેક્ટેડ સેવાઓ પર આધાર રાખે છે. સબ્સ્ક્રિપ્શન, અને સક્રિય કનેક્ટેડ સેવાઓ પર આધાર રાખે છે. સપોર્ટેડ કમાન્ડ્સમાં દરવાજા અનલૉક અને રિમોટ એન્જિન સ્ટાર્ટ શામેલ છે. કોઈપણ લખાણ ડ્રાઇવિંગ દૂર કરવા અથવા ઇમોબિલાઇઝરને હરાવવાનું સ્થાપિત કરતું નથી. પુરાવા ચોક્કસ એપ્લિકેશન ક્ષમતાઓ અને પરવાનગીવાળા ભૌતિક પ્રદર્શનોને આવરી લે છે. પૂછો કે કઈ સેવા તમારા અધિકૃતતા આધારિત તથ્યોને બદલી શકે છે. પાસવર્ડ રીસેટ અને સંપર્ક ફેરફારો મહત્વપૂર્ણ છે કારણ કે અન્ય સિસ્ટમ્સ તેમને સત્ય તરીકે ઉપયોગ કરે છે.

4:41 તેમને સત્ય તરીકે ઉપયોગ કરે છે. એક માન્ય લોગિન ફરીથી લખેલી ઓળખ પર આધાર રાખી શકે છે. આ કાર વાર્તા ત્યાં તમારી એપ્લિકેશન વાર્તા બને છે.

કાર ખરેખર પાલન કરે છે તે શું સાબિત થયું?

4:48 અંતિમ તપાસ કારની બાજુમાં થઈ. કરી કહે છે કે સ્વીકૃત API કમાન્ડ એકલા કારના વર્તન વિશે કંઈપણ સાબિત કરતું નથી. તેમણે તેની સ્થિતિ તાજી કરી અને માલિક તેની બાજુમાં ઊભો હતો ત્યારે ભૌતિક પરિણામની પુષ્ટિ કરી. માલિક તેની બાજુમાં ઊભો હતો ત્યારે ભૌતિક પરિણામની પુષ્ટિ કરી. શાહે વાહન અનલૉક કર્યું અને સ્ટાર્ટ કર્યું, પછી તેને બંધ કર્યું અને ફરીથી લોક કર્યું. પુરાવા ડ્રાઇવવે સુધી પહોંચ્યા. જો તમે મને તે કહેવાને બદલે આ વાંચવાનું પસંદ કરશો, તો diff દરરોજ સવારે તમારા ઇનબૉક્સમાં આવે છે, daily diff dot dev પર મફત, નીચે લિંક.

કઈ સીમાને સમીક્ષાની જરૂર છે?

5:10 તો, આજનો ચુકાદો, NEEDS REVIEW. હું ભૌતિક નિયંત્રણો માટે તેના પર વિશ્વાસ કરતા પહેલા ગ્રાહક ઓળખમાં વહીવટી પાથનું ઑડિટ કરીશ. રિપોર્ટેડ યુએસ ફિક્સને શ્રેય મળે છે. કોણ માલિકને ફરીથી વ્યાખ્યાયિત કરી શકે છે જેના પર દરેક ડાઉનસ્ટ્રીમ સેવા વિશ્વાસ કરે છે? અને આજ માટે આ જ diff. હું Axrisi માંથી નિકો છું. જવાબદારીપૂર્વક મર્જ કરો.

સ્ત્રોતો

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip