Միացված ավտոմեքենայի ինքնության անվտանգություն. սեփականատիրոջ լիազորություն և ֆիզիկական ապացույց

Ինչ է ընդգրկում այս տեսանյութը

• Հաճախորդի վստահելի ինքնության վարչական վերահսկողությունը կարող է ազդել ստորին հոսքի հավելվածի ծառայությունների կողմից տրված տրանսպորտային միջոցի լիազորության վրա:
• Քարրին սահմանափակում է ամբողջական տրանսպորտային շղթայի փորձարկումը ԱՄՆ հաշիվներով և տրանսպորտային միջոցներով. տարածաշրջանային տեղեկատուի հասանելիությունը և Շահի ավելի լայն համակցված պնդումը ունեն տարբեր շրջանակներ:
• Մոտ երկու ժամվա արձագանքը պատկանում է ԱՄՆ զեկույցի բացահայտման ժամանակացույցին: Ավստրալիական հաշիվը չի տրամադրում համապատասխան շտկման ամսաթիվ:
• Աջակցվող հրամանները կախված են մոդելից, բաժանորդագրությունից և ակտիվ միացված ծառայություններից: Վարելու կամ իմոբիլայզերը շրջանցելու հնարավորություն չի հաստատվել:
• Հետազոտողները թարմացրել են տրանսպորտային միջոցի կարգավիճակը և հաստատել ֆիզիկական ազդեցությունները սեփականատիրոջ հետ՝ մեքենայի կողքին:
• PingIDM-ի տարբերակված արտադրության ուղեցույցը խորհուրդ է տալիս հեռացնել կամ պաշտպանել մշակման գործիքները և նույնականացնում է առանձին կոնսոլի նույնականացման համակարգ:

Թարգմանված արձանագրություն

Թարգմանվել է բնօրինակ անգլերեն պատմությունից։ Հասանելի աուդիո և ենթագրերը վերահսկվում են YouTube-ի կողմից։

Ինչպե՞ս մուտքը դարձավ մեքենայի բանալի:

0:00 Ձեր մեքենայի հավելվածը ստուգում է, որ դուք սեփականատերն եք: Հետազոտողները փոխարենը ստիպել են նրա ինքնության սերվերին երաշխավորել իրենց: Այս տեսանյութում, ինչպե՞ս մուտքը դարձավ մեքենայի լիազորություն: Եվ ի՞նչն ապացուցեց, որ մեքենան իրականում ենթարկվեց: Երկուշաբթի է, նոյեմբերի ինը, և սա The Daily Diff-ն է: Մեկ վերջին ստուգումը տարբերում է համոզիչ էկրանը բացված մեքենայից: Միացված մեքենայի ծառայությունները սեփականատիրոջ հեռախոսի հավելվածի հետևում գտնվող առցանց համակարգերն են: Շուբհամ Շահը և Սեմ Քարրին հայտնում են, որ վարչական ինքնության մուտքը թույլ է տվել նրանց

0:25 ստանալ նույն հավելվածի լիազորությունը, ինչ սեփականատերը: Նրանք ցուցադրել են հեռակա հրամաններ՝ թույլտվություն ունեցող մեքենաների վրա: Նրանց ԱՄՆ հաշվետվության մեջ ասվում է, որ թերությունները շտկվել են բացահայտումից հետո:

Ի՞նչ է նոր հրապարակվել, և ի՞նչն էր արդեն շտկված:

0:33 Երկու հոդվածներն էլ հայտնվել են նոյեմբերի յոթին: Քարրին իր բացահայտումը թվագրում է այս տարվա սկզբին: Շահը նկարագրում է ավստրալիական հետազոտությունը, որը սկսվել է հուլիսին: Դրանք տարբեր ժամանակացույցեր են: Դրանք որպես մեկ համաշխարհային արտակարգ իրավիճակ ընթերցելը վերնագրին ավելի շատ ձիաուժ կհաղորդեր քան ապացույցները: Շահը 2023 թվականին գնել է անանուն ավտոարտադրողի ամենագնացներից մեկը: Ո՞ր ինտերնետ ծառայությունն է ստանում հպումը, երբ ես բացում եմ իմ մեքենան:

0:53 Նա և Քարրին երկու շաբաթ անցկացրել են ինքնության համակարգը ուսումնասիրելով: Բանալու ֆոբը ձեռք է բերել backend թիմ: Հավելվածը մուտք է գործում ձեզ և բեռնում ձեր ավտոտնակը:

Ո՞ր ինքնությանն է վստահում տրանսպորտային միջոցի ծառայությունը:

1:01 Միացված ծառայությունը կապում է այդ հաշիվը տրանսպորտային միջոցների և թույլատրված հրամանների հետ: Այդ հարաբերությունն է օգտակար պատասխանը: Ով վերահսկում է վստահելի հաճախորդի ինքնությունը, կարող է ժառանգել հաճախորդի համար նախատեսված հնարավորությունները: հաճախորդի համար նախատեսված հնարավորությունները: Ավստրալիայում հանրային կառավարման գործիքը հաճախորդի տեղեկատվությունը բացահայտել է ինտերֆեյսների միջոցով, որոնք պաշտպանված են բրաուզերի JavaScript-ով առաքված բանալիներով: Գաղտնիի հավակնոտ սահմանում: Շահը նաև հայտնաբերել է ինքնության ադմինիստրատորի հավատարմագրեր մատակարարի փաթեթում,

1:24 և հայտնել է, որ դրանք աշխատել են արտադրության մեջ: Պարագիծը արգելափակել է զգայուն երթուղիները: Բայց ծրագրային ապահովման շերտերը նույն հարցումը տարբեր կերպ են մեկնաբանել: Քարրին ասում է, որ եզրը ուղին վերաբերվել է որպես ստատիկ բովանդակության, մինչդեռ backend-ը հասել է ադմինիստրատիվ կոնսոլին: Ողջույնի գորգը և կողպված դուռը խորհրդակցում էին տարբեր քարտեզներ:

Ինչո՞ւ էր կարևոր մշակման կոնսոլը:

1:41 Այդ կոնսոլը դեռ ընդունում էր լռելյայն ադմինիստրատորի հավատարմագրերը, ըստ Քարրիի: Արտադրության ուղեցույցն արդեն հուշում է օպերատորներին հեռացնել կամ պաշտպանել այն, և ասում է, որ դրա նույնականացումը առանձին է ինքնության արտադրանքի նույնականացումից: Մեկ այլ մուտք՝ թաքնված ստուգաթերթի կետերի միջև: Բացահայտված ադմինիստրատիվ գործիքները թույլ են տվել կոդին աշխատել ինքնության ծառայության ներսում: Հետազոտողները մուտք են ստացել հաճախորդների գրառումներ՝ հանրային ֆիլտրման սահմանից այն կողմ: Պարագծային ֆիլտրը ստուգում է այդ պարագիծը հատող տրաֆիկը:

2:06 Ծառայության ներսում գտնվող գործընթացը տվյալների հետ այլ հարաբերություն ունի: Սա բացատրում է բազմագործոն խնդիրը ԱՄՆ հաշվետվության մեջ: Ինքնության գրառումները տրամադրել են մուտքի տվյալները և նպատակակետը էլեկտրոնային փոստի ստուգման կոդի համար: Այդ գրառումների նկատմամբ վարչական վերահսկողությունը թույլ է տվել հետազոտողներին ավարտել մուտքը: Հաճախորդի վերին հոսքի սահմանումն արդեն փոխվել էր: Շահը նկարագրում է ավստրալիական առանձին նույնականացման սխալ կազմաձևում, որը թույլ է տվել իր շղթային բաց թողնել լրացուցիչ գործոնը:

2:31 Բազմագործոն նույնականացումն ամենուր անսարք անվանելը կջնջի կազմաձևման մանրամասները, որոնք անհրաժեշտ են մշակողներին: Պահպանեք ձեր լրացուցիչ գործոնը: Պահպանեք համակարգը, որը սահմանում է իր սեփականատիրոջը նույնպես վստահելի: Հավատարմագրերն ունեն տարբեր աշխատանքներ:

Ե՞րբ է նստաշրջանը դառնում հավելվածի լիազորություն:

2:43 Ադմինիստրատորի մուտքը վերահսկում է ինքնության գրառումները: Հաճախորդի նստաշրջանը ներկայացնում է ավարտված մուտքը: Բջջային հավելվածը ստանում է իր ծառայությունների կողմից ընդունված թոքեններ: Դրանք բոլորը կախարդական թոքեն անվանելը կորցնում է այն սահմանները, որոնք հնարավոր են դարձրել սեփականատիրոջը համարժեք մուտքը: Քարրին նկարագրում է երկու անանուն ավտոարտադրողների ինքնության գրացուցակները՝ բազմաթիվ տարածաշրջաններում: Նա սահմանափակում է տրանսպորտային միջոցների ամբողջական փորձարկումը ԱՄՆ հաշիվներով և տրանսպորտային միջոցներով: Շահը նկարագրում է մեկ ավտոարտադրողի երկու ավստրալիական ապրանքանիշերում,

3:09 ապա պնդում է ավելի լայն համակցված հասանելիություն: Այդ տարբեր շրջանակները մեզ հիմք չեն տալիս բացահայտել ընկերությունները: Hacker News-ը վիճում է, թե արդյոք հեռախոսի ապակողպումը պետք է գոյություն ունենա: Մեկ պատասխան մատնանշում է մոռացված կողպեքի ստուգումը և մեքենայի սառեցումը կամ տաքացումը: Մարդիկ սիրում են օգտակար գործառույթներ: Հաճախորդներին հարմարավետություն տրամադրելը նաև ծառայությանը թանկարժեք աշխատանք է տալիս: Այն պետք է վաստակի իր լիազորությունը:

Ի՞նչ էր իրականում ներառում շտկումը:

3:29 Քարրին հայտնում է, որ երկու ավտոարտադրողներն էլ շտկել են խոցելիությունը ստանալուց մոտ երկու ժամ հետո և պտտել են ազդեցված հավատարմագրերը: Դա ԱՄՆ զեկույցի ժամանակացույցն է: Շահի հուլիսյան հաշվետվությունը չի տրամադրում համապատասխան շտկման ժամանակացույց: Նրա հաշվետվությունը Ավստրալիայի ներկայիս շտկման կարգավիճակը թողնում է չճշտված: Մենք չենք կարող երկու ժամվա արձագանքը վերածել համաշխարհային վերանորոգման վայրկենաչափի: Մշակողների համար սկսեք վարչական մակերեսից: Գույքագրեք, թե ինչն է բացահայտված, և որ նույնականացման համակարգն է պաշտպանում այն:

3:55 Հեռացրեք չօգտագործված մշակման գործիքները: Պաշտպանեք այն գործիքները, որոնք պահպանում եք: Վերանայեք յուրաքանչյուր շերտի հարցման մեկնաբանությունը՝ նախքան եզրային կանոնը որպես մուտքի վերջին խոսք ընդունելը: Շահն ասում է, որ ավստրալիական շղթան վերջապես աշխատել է կեսգիշերին մոտ, բացելով մեքենան, որը նրանց թույլատրվել էր փորձարկել: Ինքնության խողովակաշար՝ բավարարող ավարտով: Հոդվածը վաստակում է իր եզրակացությունը՝ ստուգելով մյուս ծայրը:

4:14 Backend-ի վստահությունը խոսակցության միայն կեսն է: Քարրիի ԱՄՆ հաշվետվության մեջ ասվում է, որ հնարավորությունները կախված են տրանսպորտային միջոցի մոդելից, բաժանորդագրությունից և ակտիվ միացված ծառայություններից: Աջակցվող հրամանները ներառում են դռների ապակողպում և շարժիչի հեռակա գործարկում: Ոչ մի հոդված չի հաստատում հեռանալը կամ իմոբիլայզերի շրջանցումը: Ապացույցները ներառում են հավելվածի կոնկրետ հնարավորությունները և թույլտվություն ունեցող ֆիզիկական ցուցադրումները: Հարցրեք, թե որ ծառայությունը կարող է փոխել այն փաստերը, որոնց վրա հիմնված է ձեր թույլտվությունը: Գաղտնաբառի վերականգնումները և կոնտակտային տվյալների փոփոխությունները կարևոր են, քանի որ այլ համակարգեր դրանք ընդունում են որպես ճշմարտություն:

4:41 դրանք որպես ճշմարտություն: Վավեր մուտքը կարող է հիմնված լինել վերագրված ինքնության վրա: Այս մեքենայի պատմությունը ձեր հավելվածի պատմությունն է դառնում այնտեղ:

Ի՞նչն ապացուցեց, որ մեքենան իրականում ենթարկվեց:

4:48 Վերջնական ստուգումը տեղի է ունեցել մեքենայի կողքին: Քարրին ասում է, որ միայն ընդունված API հրամանը ոչինչ չի ապացուցել մեքենայի վարքի մասին: Նրանք թարմացրել են դրա կարգավիճակը և հաստատել ֆիզիկական արդյունքը՝ սեփականատիրոջ կողքին կանգնած: Շահը բացել և գործարկել է մեքենան, ապա կանգնեցրել է այն և նորից կողպել: Ապացույցը հասել է ճանապարհին: Եթե նախընտրում եք կարդալ սա, քան լսել, թե ինչպես եմ ես դա ասում, ապա տարբերությունը հայտնվում է ձեր մուտքի արկղում ամեն առավոտ, անվճար the daily diff dot dev կայքում, հղումը՝ ստորև:

Ո՞ր սահմանն է պահանջում վերանայում:

5:10 Այսպիսով, այսօրվա դատավճիռը՝ ՊԱՀԱՆՋՈՒՄ Է ՎԵՐԱՆԱՅՈՒՄ: Ես կստուգեի վարչական ուղիները դեպի հաճախորդի ինքնությունը՝ նախքան դրան վստահելը ֆիզիկական հսկիչներով: Հայտնի ԱՄՆ շտկումը արժանի է վարկի: Ով կարող է վերասահմանել այն սեփականատիրոջը, որին հավատում է յուրաքանչյուր ստորին հոսքի ծառայություն: Եվ այսքանը այսօրվա տարբերության համար: Ես Նիկոն եմ Axrisi-ից: Միավորեք պատասխանատվությամբ:

Աղբյուրներ

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip