कनेक्टेड-कार पहचान सुरक्षा: मालिक का अधिकार और भौतिक प्रमाण

इस वीडियो में क्या शामिल है

• विश्वसनीय ग्राहक पहचान का प्रशासनिक नियंत्रण डाउनस्ट्रीम ऐप सेवाओं द्वारा दिए गए वाहन अधिकार को प्रभावित कर सकता है।
• करी यूएस खातों और वाहनों तक पूर्ण वाहन-श्रृंखला परीक्षण को सीमित करते हैं; क्षेत्रीय निर्देशिका पहुंच और शाह का व्यापक संयुक्त दावा अलग-अलग दायरे रखते हैं।
• लगभग दो घंटे की प्रतिक्रिया यूएस साथी की प्रकटीकरण समयरेखा से संबंधित है। ऑस्ट्रेलियाई खाते में कोई मेल खाने वाली समाधान तिथि नहीं दी गई है।
• समर्थित कमांड मॉडल, सदस्यता और सक्रिय कनेक्टेड सेवाओं पर निर्भर करते हैं। ड्राइविंग या इमोबिलाइज़र को निष्क्रिय करना स्थापित नहीं किया गया था।
• शोधकर्ताओं ने वाहन की स्थिति को ताज़ा किया और वाहन के बगल में मालिक के साथ भौतिक प्रभावों की पुष्टि की।
• पिंगआईडीएम का संस्करणित उत्पादन गाइड विकास उपकरणों को हटाने या सुरक्षित रखने की सिफारिश करता है और एक अलग कंसोल प्रमाणीकरण प्रणाली की पहचान करता है।

अनुवादित प्रतिलेख

मूल अंग्रेजी कथन से अनुवादित। उपलब्ध ऑडियो और कैप्शन YouTube द्वारा नियंत्रित होते हैं।

एक लॉगिन कार की चाबी कैसे बन गया?

0:00 आपकी कार का ऐप जांचता है कि आप मालिक हैं। शोधकर्ताओं ने इसके बजाय अपने पहचान सर्वर से उनके लिए प्रतिज्ञा करवाई। इस वीडियो में, लॉगिन वाहन प्राधिकरण कैसे बन गया? और क्या साबित हुआ कि एक कार ने वास्तव में आज्ञा मानी? आज सोमवार, नौ नवंबर है, और यह The Daily Diff है। एक अंतिम जांच एक ठोस स्क्रीन को एक अनलॉक की हुई कार से अलग करती है। कनेक्टेड कार सेवाएं मालिक के फोन ऐप के पीछे की ऑनलाइन प्रणालियाँ हैं। शुभम शाह और सैम करी की रिपोर्ट है कि प्रशासनिक पहचान पहुंच ने उन्हें

0:25 एक मालिक के समान ऐप प्राधिकरण प्राप्त करने दिया। उन्होंने अनुमत वाहनों पर दूरस्थ आदेशों का प्रदर्शन किया। उनके अमेरिकी खाते का कहना है कि प्रकटीकरण के बाद खामियों को ठीक कर दिया गया था।

नया क्या प्रकाशित हुआ है, और क्या पहले ही ठीक कर दिया गया था?

0:33 दोनों लेख 7 नवंबर को प्रकाशित हुए थे। करी ने इस साल की शुरुआत में अपना प्रकटीकरण दिनांकित किया है। शाह जुलाई में शुरू हुए ऑस्ट्रेलियाई अनुसंधान का वर्णन करते हैं। ये अलग-अलग समयरेखा हैं। उन्हें एक विश्वव्यापी आपातकाल के रूप में पढ़ने से हेडलाइन को अधिक अश्वशक्ति मिलेगी साक्ष्य की तुलना में। शाह ने 2023 में अज्ञात वाहन निर्माता की एक एसयूवी खरीदी। जब मैं अपनी कार अनलॉक करता हूं तो कौन सी इंटरनेट सेवा टैप प्राप्त करती है?

0:53 उन्होंने और करी ने पहचान प्रणाली की जांच में दो सप्ताह बिताए। की फ़ोब ने एक बैकएंड टीम प्राप्त कर ली है। ऐप आपको साइन इन करता है और आपका गैरेज लोड करता है।

वाहन सेवा किस पहचान पर भरोसा करती है?

1:01 कनेक्टेड सेवा उस खाते को वाहनों और अनुमत कमांड से जोड़ती है। वह संबंध उपयोगी उत्तर है। जो कोई भी विश्वसनीय ग्राहक पहचान को नियंत्रित करता है, वह उन क्षमताओं को प्राप्त कर सकता है जो ग्राहक के लिए अभिप्रेत हैं। ऑस्ट्रेलिया में, एक सार्वजनिक प्रबंधन उपकरण ने ब्राउज़र जावास्क्रिप्ट में शिप की गई कुंजियों द्वारा सुरक्षित इंटरफेस के माध्यम से ग्राहक जानकारी को उजागर किया। अति महत्वाकांक्षी गुप्त की परिभाषा। शाह को एक विक्रेता बंडल में पहचान प्रशासक क्रेडेंशियल भी मिले, और बताया कि वे उत्पादन में काम करते थे।

1:24 परिधि ने संवेदनशील मार्गों को अवरुद्ध कर दिया। लेकिन सॉफ्टवेयर परतें एक ही अनुरोध की अलग-अलग व्याख्या करती थीं। करी का कहना है कि किनारे ने एक पथ को स्थिर सामग्री के रूप में माना जबकि बैकएंड ने एक प्रशासन कंसोल तक पहुंच बनाई। वेलकम मैट और बंद दरवाजा अलग-अलग नक्शों से परामर्श कर रहे थे। वह कंसोल अभी भी डिफ़ॉल्ट प्रशासक क्रेडेंशियल स्वीकार करता था,

एक विकास कंसोल क्यों मायने रखता था?

1:41 करी के अनुसार। उत्पादन गाइड पहले ही ऑपरेटरों को इसे हटाने या सुरक्षित रखने के लिए कहता है, और कहता है कि इसका प्रमाणीकरण पहचान उत्पाद के प्रमाणीकरण से अलग है। चेकलिस्ट के बुलेट बिंदुओं के बीच छिपा एक और लॉगिन। खुले हुए प्रशासन टूलिंग ने कोड को पहचान सेवा के अंदर चलाने की अनुमति दी। शोधकर्ताओं ने सार्वजनिक फ़िल्टरिंग सीमा के पीछे ग्राहक रिकॉर्ड तक पहुंच बनाई। एक परिधि फ़िल्टर उस परिधि को पार करने वाले ट्रैफ़िक की जांच करता है। सेवा के अंदर पहले से मौजूद प्रक्रिया का डेटा के साथ एक अलग संबंध होता है।

2:06 यह अमेरिकी खाते में बहु-कारक समस्या की व्याख्या करता है। पहचान रिकॉर्ड ने ईमेल सत्यापन कोड के लिए लॉगिन जानकारी और गंतव्य प्रदान किया। उन रिकॉर्डों पर प्रशासनिक नियंत्रण ने शोधकर्ताओं को लॉगिन पूरा करने दिया। ग्राहक की अपस्ट्रीम परिभाषा पहले ही बदल चुकी थी। शाह ने एक अलग ऑस्ट्रेलियाई प्रमाणीकरण गलत कॉन्फ़िगरेशन का वर्णन किया जिसने उनकी श्रृंखला को अतिरिक्त कारक छोड़ने दिया। हर जगह बहु-कारक प्रमाणीकरण को टूटा हुआ कहने से

2:31 कॉन्फ़िगरेशन विवरण मिट जाएंगे जिनकी डेवलपर्स को आवश्यकता है। अपना अतिरिक्त कारक रखें। मालिक को भी विश्वसनीय परिभाषित करने वाली प्रणाली को बनाए रखें। क्रेडेंशियल के अलग-अलग कार्य होते हैं। प्रशासक पहुंच पहचान रिकॉर्ड को नियंत्रित करती है।

एक सत्र ऐप प्राधिकरण कब बनता है?

2:43 एक ग्राहक सत्र एक पूर्ण साइन-इन का प्रतिनिधित्व करता है। मोबाइल ऐप अपनी सेवाओं द्वारा स्वीकार किए गए टोकन प्राप्त करता है। इन सभी को एक जादुई टोकन कहने से उन सीमाओं का नुकसान होता है जिन्होंने मालिक-समतुल्य पहुंच को संभव बनाया। करी कई क्षेत्रों में दो अज्ञात वाहन निर्माताओं की पहचान निर्देशिकाओं का वर्णन करते हैं। वह पूर्ण वाहन परीक्षण को यूएस खातों और वाहनों तक सीमित रखते हैं। शाह दो ऑस्ट्रेलियाई ब्रांडों में एक वाहन निर्माता का वर्णन करते हैं, फिर व्यापक संयुक्त पहुंच का दावा करते हैं।

3:09 ये अलग-अलग दायरे हमें कंपनियों की पहचान करने का कोई आधार नहीं देते हैं। हैकर न्यूज इस बात पर बहस करता है कि क्या फोन अनलॉकिंग मौजूद होनी चाहिए। एक जवाब एक भूला हुआ ताला जांचने और कार को ठंडा या गर्म करने की ओर इशारा करता है। लोगों को उपयोगी सुविधाएँ पसंद हैं। ग्राहकों को सुविधा देने से सेवा को एक महंगा काम भी मिलता है। इसे अपना अधिकार अर्जित करना होगा। करी की रिपोर्ट है कि दोनों वाहन निर्माताओं ने इसे प्राप्त करने के लगभग दो घंटे बाद भेद्यता को ठीक कर दिया और प्रभावित क्रेडेंशियल को घुमाया।

समाधान में वास्तव में क्या शामिल था?

3:29 वह अमेरिकी साथी की समयरेखा है। शाह का जुलाई खाता कोई मेल खाने वाली समाधान समयरेखा प्रदान नहीं करता है। उनका खाता ऑस्ट्रेलिया की वर्तमान समाधान स्थिति को अनिर्दिष्ट छोड़ देता है। हम दो घंटे की प्रतिक्रिया को वैश्विक मरम्मत स्टॉपवॉच में नहीं बदल सकते। डेवलपर्स के लिए, प्रशासन सतह से शुरू करें। यह पता लगाएं कि क्या उजागर है और कौन सी प्रमाणीकरण प्रणाली इसे सुरक्षित करती है। अप्रयुक्त विकास उपकरणों को हटा दें। जिन उपकरणों को आप बनाए रखते हैं, उनकी सुरक्षा करें।

3:55 पहुंच पर अंतिम शब्द के रूप में किनारे के नियम को मानने से पहले प्रत्येक परत की अनुरोध व्याख्या की समीक्षा करें। शाह का कहना है कि ऑस्ट्रेलियाई श्रृंखला आखिरकार आधी रात के आसपास काम कर गई, एक कार खोल दी जिसकी उन्हें परीक्षण करने की अनुमति थी। संतोषजनक अंत के साथ पहचान प्लंबिंग। एक लेख दूसरे छोर की जांच करके अपना निष्कर्ष अर्जित करता है। बैकएंड का विश्वास केवल आधी बातचीत है। करी का अमेरिकी खाता कहता है कि क्षमताएं वाहन मॉडल पर निर्भर करती हैं, सदस्यता, और सक्रिय कनेक्टेड सेवाएं।

4:14 समर्थित कमांड में डोर अनलॉक और रिमोट इंजन स्टार्ट शामिल हैं। किसी भी लेख में गाड़ी चलाने या इमोबिलाइज़र को निष्क्रिय करने का उल्लेख नहीं है। साक्ष्य विशेष ऐप क्षमताओं और अनुमत भौतिक प्रदर्शनों को कवर करता है। पूछें कि कौन सी सेवा उन तथ्यों को बदल सकती है जिन पर आपका प्राधिकरण निर्भर करता है। पासवर्ड रीसेट और संपर्क परिवर्तन मायने रखते हैं क्योंकि अन्य सिस्टम उन्हें सत्य के रूप में उपभोग करते हैं। एक वैध लॉगिन एक फिर से लिखी गई पहचान पर निर्भर कर सकता है। यह कार कहानी वहां आपकी एप्लिकेशन कहानी बन जाती है। अंतिम जांच कार के बगल में हुई।

4:41 करी का कहना है कि एक स्वीकृत एपीआई कमांड ने अकेले कार के व्यवहार के बारे में कुछ भी साबित नहीं किया। उन्होंने इसकी स्थिति को ताज़ा किया और मालिक के बगल में खड़े होकर भौतिक परिणाम की पुष्टि की।

क्या साबित हुआ कि कार ने वास्तव में आज्ञा मानी?

4:48 शाह ने वाहन को अनलॉक किया और स्टार्ट किया, फिर उसे रोका और फिर से लॉक कर दिया। सबूत ड्राइववे तक पहुंच गया। यदि आप इसे सुनने के बजाय पढ़ना पसंद करते हैं, तो diff हर सुबह आपके इनबॉक्स में आता है, daily diff dot dev पर मुफ्त, नीचे लिंक। तो, आज का फैसला, समीक्षा की आवश्यकता है। मैं इसे भौतिक नियंत्रणों के साथ विश्वसनीय मानने से पहले ग्राहक पहचान में प्रशासनिक रास्तों का ऑडिट करूंगा। रिपोर्ट किए गए अमेरिकी फिक्स को श्रेय मिलना चाहिए। कौन उस मालिक को फिर से परिभाषित कर सकता है जिस पर हर डाउनस्ट्रीम सेवा विश्वास करती है? और यही आज का diff है।

किस सीमा को समीक्षा की आवश्यकता है?

5:10 मैं Axrisi से Niko हूं। जिम्मेदारी से विलय करें। पहचान-सर्वर पहुंच कनेक्टेड-कार प्राधिकरण कैसे बन गई? शुभम शाह और सैम करी के अनुसार, प्रशासनिक पहचान पहुंच ने शोधकर्ताओं को मालिक-समतुल्य ऐप प्राधिकरण प्राप्त करने दिया। कनेक्टेड सेवा ने ग्राहक खातों को वाहनों और समर्थित कमांड से जोड़ा। उनका खाता प्रशासक पहुंच, एक पूर्ण ग्राहक सत्र और उसकी सेवाओं द्वारा स्वीकार किए गए मोबाइल ऐप टोकन को अलग करता है। प्रदर्शनों में अनुमत वाहनों का उपयोग किया गया। रिपोर्ट की गई तारीखें और क्षेत्रीय दायरे क्या स्थापित करते हैं? अमेरिकी साथी पहले के अनुसंधान और प्रकटीकरण के बाद उसी दिन के फिक्स का वर्णन करता है। करी यूएस खातों और वाहनों तक पूर्ण वाहन-श्रृंखला परीक्षण को सीमित करते हैं, जबकि प्रभावित पहचान निर्देशिकाओं ने कई क्षेत्रों की सेवा की। शाह अलग से जुलाई में शुरू हुए ऑस्ट्रेलियाई अनुसंधान का वर्णन करते हैं। उनका लेख वर्तमान ऑस्ट्रेलियाई समाधान स्थिति को अनिर्दिष्ट छोड़ देता है, इसलिए स्रोत एक विश्वव्यापी खोज या मरम्मत समयरेखा स्थापित नहीं करते हैं। उत्पादन कठोरता मार्गदर्शन विकास कंसोल के बारे में क्या कहता है?

स्रोत

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip