אבטחת זהות ברכב מחובר: סמכות בעלים והוכחה פיזית

מה מכסה הסרטון הזה

• שליטה אדמיניסטרטיבית בזהות לקוח מהימנה יכולה להשפיע על סמכות הרכב הניתנת על ידי שירותי אפליקציות זורמים.
• קארי מגביל בדיקות שרשרת רכב מלאות לחשבונות ורכבים בארה"ב; טווח הגישה של ספריות אזוריות והטענה המשולבת הרחבה יותר של שאה הם בעלי היקפים שונים.
• התגובה של כשעתיים שייכת לציר הזמן של גילוי הנלווה בארה"ב. הדיווח האוסטרלי אינו מספק תאריך תיקון תואם.
• פקודות נתמכות תלויות בדגם, במנוי ובשירותים מחוברים פעילים. נהיגה או נטרול מנוע לא הוכחו.
• החוקרים רעננו את סטטוס הרכב ואישרו השפעות פיזיות עם הבעלים ליד הרכב.
• מדריך הייצור המותאם של PingIDM ממליץ להסיר או להגן על כלי פיתוח ומזהה מערכת אימות קונסולה נפרדת.

תמליל מתורגם

תורגם מהקריינות המקורית באנגלית. זמינות אודיו וכתוביות נשלטת על ידי YouTube.

איך התחברות הפכה למפתח לרכב?

0:00 האפליקציה של המכונית שלך בודקת שאתה הבעלים. חוקרים גרמו לשרת הזהויות שלה לאמת אותם במקום זאת. בסרטון זה, איך התחברות הפכה לסמכות רכב? ומה הוכיח שמכונית באמת צייתה? יום שני, התשיעי בנובמבר, וזהו The Daily Diff. בדיקה אחרונה אחת מפרידה בין מסך משכנע למכונית לא נעולה. שירותי רכב מחוברים הם המערכות המקוונות שמאחורי אפליקציית הטלפון של הבעלים. שובהאם שאה וסם קארי מדווחים כי גישת זהות אדמיניסטרטיבית אפשרה להם

0:25 להשיג את אותה סמכות אפליקציה כמו של בעלים. הם הדגימו פקודות מרחוק על כלי רכב מורשים. הדיווח שלהם בארה"ב אומר שהליקויים תוקנו לאחר הגילוי.

מה פורסם לאחרונה, ומה כבר תוקן?

0:33 שני הכתבים הופיעו ב-7 בנובמבר. קארי מתארך את גילויו לתחילת השנה. שאה מתאר מחקר אוסטרלי שהחל ביולי. אלה ציריי זמן שונים. קריאתם כחירום עולמי אחד תיתן לכותרת יותר כוח סוס מאשר העדויות. שאה קנה אחד מרכבי השטח של יצרן הרכב הלא-שם ב-2023. איזה שירות אינטרנט מקבל את הלחיצה כשאני פותח את מכוניתי?

0:53 הוא וקארי בילו שבועיים בבחינת מערכת הזהויות. למפתח הרכב הצטרף צוות בקאנד. האפליקציה מכניסה אותך ומעמיסה את המוסך שלך.

באיזו זהות שירות הרכב בוטח?

1:01 השירות המחובר מקשר את החשבון הזה לכלי רכב ולפקודות מורשות. קשר זה הוא התשובה השימושית. מי ששולט בזהות הלקוח המהימנה יכול לרשת יכולות שנועדו עבור הלקוח. באוסטרליה, כלי ניהול ציבורי חשף מידע לקוחות באמצעות ממשקים המוגנים על ידי מפתחות שנשלחו בקוד JavaScript של הדפדפן. הגדרה שאפתנית של סוד. שאה גם מצא אישורי מנהל זהות בחבילת ספק,

1:24 ודיווח שהם עבדו בייצור. ההיקף חסם נתיבים רגישים. אבל שכבות תוכנה פירשו את אותה בקשה באופן שונה. קארי אומר שהקצה טיפל בנתיב כתוכן סטטי בעוד שהבקאנד הגיע לקונסולת ניהול. שטיח הכניסה והדלת הנעולה התייעצו במפות שונות.

מדוע קונסולת פיתוח הייתה חשובה?

1:41 קונסולה זו עדיין קיבלה אישורי מנהל ברירת מחדל, לפי קארי. מדריך הייצור כבר אומר למפעילים להסיר או להגן עליו, ואומר שהאימות שלו נפרד מהאימות של מוצר הזהויות. התחברות נוספת מסתתרת בין נקודות הרשימה. כלי הניהול החשוף אפשרו הרצת קוד בתוך שירות הזהויות. החוקרים ניגשו לרשומות לקוחות שמאחורי גבול הסינון הציבורי. מסנן היקפי בודק תעבורה שחוצה את ההיקף הזה.

2:06 לתהליך שכבר נמצא בתוך השירות יש קשר שונה עם הנתונים. זה מסביר את בעיית הגורם הרב-גורמי בדיווח האמריקאי. רשומות הזהות סיפקו את פרטי ההתחברות והיעד לקוד אימות בדוא"ל. שליטה אדמיניסטרטיבית על רשומות אלו אפשרה לחוקרים להשלים את ההתחברות. ההגדרה העליונה של הלקוח כבר השתנתה. שאה מתאר תצורה שגויה נפרדת של אימות אוסטרלי שאפשרה לשרשרת שלו לדלג על הגורם הנוסף.

2:31 לקרוא לאימות רב-גורמי שבור בכל מקום היה מוחק את פרטי התצורה שהמפתחים צריכים. שמור על הגורם הנוסף שלך. שמור על המערכת המגדירה את הבעלים שלה כאמינה גם כן. לאישורים יש תפקידים שונים.

מתי סשן הופך לסמכות אפליקציה?

2:43 גישת מנהל שולטת ברשומות זהות. סשן לקוח מייצג כניסה שהושלמה. האפליקציה הניידת משיגה אסימונים המקובלים על ידי שירותיה. לקרוא לכל אלה אסימון קסם מאבד את הגבולות שאפשרו גישת בעלים-מקבילה. קארי מתאר ספריות זהות של שני יצרני רכב לא-שם על פני מספר אזורים. הוא מגביל בדיקות רכב מלאות לחשבונות ורכבים בארה"ב. שאה מתאר יצרן רכב אחד על פני שני מותגים אוסטרליים,

3:09 ולאחר מכן טוען לטווח גישה משולב רחב יותר. היקפים שונים אלה אינם נותנים לנו בסיס לזהות את החברות. Hacker News מתווכח אם פתיחת טלפון צריכה להתקיים. תשובה אחת מצביעה על בדיקת מנעול נשכח וקירור או חימום המכונית. אנשים אוהבים תכונות שימושיות. מתן נוחות ללקוחות מעניק גם לשירות עבודה יקרה. הוא צריך להרוויח את סמכותו.

מה כיסה התיקון בפועל?

3:29 קארי מדווח ששני יצרני הרכב תיקנו את הפגיעות כשעתיים לאחר קבלתה ושינו אישורים שהושפעו. זהו ציר הזמן של הדיווח האמריקאי הנלווה. הדיווח של שאה מיולי אינו מספק ציר זמן תיקון תואם. הדיווח שלו מותיר את סטטוס התיקון הנוכחי של אוסטרליה לא מוגדר. אנחנו לא יכולים להפוך את התגובה של שעתיים לשעון עצר תיקון עולמי. למפתחים, התחילו עם משטח הניהול. רשמו מה חשוף ואיזו מערכת אימות מגנה עליו.

3:55 הסירו כלי פיתוח שאינם בשימוש. הגנו על הכלים שאתם שומרים. בדקו את פירוש הבקשות של כל שכבה לפני התייחסות לכלל קצה כאל המילה האחרונה בגישה. בגישה. שאה אומר שהשרשרת האוסטרלית סוף סוף עבדה בסביבות חצות, ופתחה מכונית שהם הורשו לבדוק. צנרת זהויות עם סיום משביע רצון. כתב מרוויח את מסקנתו על ידי בדיקת הקצה השני.

4:14 הביטחון של הבקאנד הוא רק חצי מהשיחה. הדיווח של קארי בארה"ב אומר שהיכולות תלויות בדגם הרכב, מנוי, ושירותים מחוברים פעילים. הפקודות הנתמכות כוללות פתיחת דלת והתנעה מרוחקת של מנוע. אף אחד מהכתבים לא קובע נסיעה או נטרול מנוע. הראיות מכסות יכולות אפליקציה מסוימות והדגמות פיזיות מורשות. שאלו איזה שירות יכול לשנות את העובדות שההרשאה שלכם מסתמכת עליהן. איפוס סיסמאות ושינויי פרטי קשר חשובים מכיוון שמערכות אחרות צורכות אותם כאמת.

4:41 אותם כאמת. התחברות חוקית יכולה להתבסס על זהות שנכתבה מחדש. סיפור המכונית הזה הופך לסיפור היישום שלך שם.

מה הוכיח שהמכונית באמת צייתה?

4:48 הבדיקה האחרונה התרחשה ליד המכונית. קארי אומר שפקודת API מקובלת לבדה לא הוכיחה דבר על התנהגות המכונית. הם רעננו את מצבה ואישרו את התוצאה הפיזית עם הבעלים שעומד לידה. עומד לידה. שאה פתח והניע את הרכב, ואז עצר אותו ונעל אותו שוב. ההוכחה הגיעה לחניה. אם אתם מעדיפים לקרוא את זה מאשר לשמוע אותי אומר את זה, ה-diff נוחת בתיבת הדואר הנכנס שלכם בכל בוקר, בחינם ב-thedailydiff.dev, קישור למטה.

איזה גבול דורש בדיקה?

5:10 אז, הפסק הדין של היום, NEEDS REVIEW. הייתי בודק נתיבים אדמיניסטרטיביים לזהות לקוח מהימנה לפני שאני סומך עליהם עם בקרות פיזיות. התיקון האמריקאי המדווח ראוי לקרדיט. מי יכול להגדיר מחדש את הבעלים שכל שירות זורם מאמין בו? וזה ה-diff להיום. אני ניקו מ-Axrisi. מזג באחריות.

מקורות

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip