Öryggi tengdra bílaauðkenni: heimild eiganda og líkamleg sönnun
Shubham Shah og Sam Curry tilkynna aðgang stjórnenda að auðkenni sem leiddi til jafngildra forréttinda í tengdum bílaforritum á bílum með leyfi.
Shubham Shah og Sam Curry tilkynna aðgang stjórnenda að auðkenni sem leiddi til jafngildra forréttinda í tengdum bílaforritum á bílum með leyfi. Útgáfur þeirra frá 7. nóvember lýsa fyrri rannsóknum. Fylgiskýrsla Bandaríkjanna greinir frá úrbótum samdægurs; hin aðskilda ástralska júlí-skýrsla skilur núverandi stöðu úrbóta ótilgreinda.
Lestu skriflegu útgáfuna (enska) ↗
Það sem þetta myndband fjallar um
- Stjórnunarstýring á treystu auðkenni viðskiptavina getur haft áhrif á heimild ökutækis sem veitt er af niðurstraums appþjónustum.
- Curry takmarkar heildarprófun ökutækja við bandaríska reikninga og ökutæki; svæðisbundið skráasafn og víðtækari sameiginleg krafa Shah hafa mismunandi umfang.
- Um það bil tveggja tíma viðbrögð tilheyra tímalínu upplýsingagjafar bandarísku fylgiskýrslunnar. Ástralska skýrslan gefur enga samsvarandi úrbótadagsetningu.
- Studdar skipanir eru háðar gerð, áskrift og virkum tengdum þjónustum. Akstur eða aðgerðaleysi var ekki staðfest.
- Vísindamennirnir endurnýjuðu stöðu ökutækisins og staðfestu líkamleg áhrif með eigandanum við hlið ökutækisins.
- Útgáfa PingIDM's framleiðsluleiðbeiningar mælir með því að fjarlægja eða vernda þróunartól og auðkennir sérstakt auðkenningarhkerfi fyrir stjórnborð.
Spurningar og svör
Hvernig varð aðgangur að auðkennisþjóni að heimild tengds bíls?
Stjórnunaraðgangur að auðkenni lét vísindamennina fá heimild í appi sem jafngildir eiganda, samkvæmt Shubham Shah og Sam Curry. Tengda þjónustan tengdi viðskiptavinareikninga við ökutæki og studdar skipanir. Reikningur þeirra greinir á milli stjórnunaraðgangs, lokins viðskiptavinartíma og farsímaapps-tákna sem þjónustur þess samþykkja. Sýningar notuðu leyfð ökutæki.
Hvað staðfesta tilkynntar dagsetningar og svæðisbundið umfang?
Bandaríska fylgiskýrslan lýsir fyrri rannsóknum og lagfæringu samdægurs eftir birtingu. Curry takmarkar heildarprófanir ökutækja við bandaríska reikninga og ökutæki, á meðan áhrifaðar auðkenniskerfi þjónuðu mörgum svæðum. Shah lýsir sérstaklega áströlskum rannsóknum sem hófust í júlí. Grein hans skilur eftir núverandi ástralska úrbótastöðu ótilgreinda, svo heimildirnar staðfesta ekki eina heimsvíðtæka uppgötvunar- eða viðgerðartímalínu.
Hvað segja leiðbeiningar um harðnám framleiðslu um þróunarstjórnborð?
Fjarlægðu eða verndaðu þróunar- og kembiforrit áður en þú ferð í framleiðslu, samkvæmt útgáfubundinni öryggisleiðbeiningu Ping Identity. Það auðkennir stjórnborðið sem hefur auðkenningu sem er aðskilin frá auðkenningu auðkennisvörunnar. Þessi aðgreining gerir stjórnborðið að eigin endurskoðunarmörkum. Þátturinn mælir með því að skrá stjórnunaryfirborð og athuga hvaða auðkenningarkerfi verndar hvert og eitt.
Hvernig staðfestu vísindamennirnir líkamlega niðurstöðu ökutækis?
Þeir endurnýjuðu stöðu ökutækisins og athuguðu líkamlega niðurstöðuna með eigandanum við hlið ökutækisins, samkvæmt bandarísku fylgiskýrslu Shah og Curry. Samþykki API eitt og sér sannaði ekki aðgerð. Shah aflæsti og ræsti ökutækið, stöðvaði það síðan og læsti því aftur. Tilkynnt gögn ná yfir studdar app-skipanir; akstur eða aðgerðaleysi var ekki staðfest.
Hver var dómur The Daily Diff um traustamörk auðkennis?
Dómur The Daily Diff var ÞARF ENDURSKOÐUN. Niko myndi endurskoða stjórnunarleiðir inn í treyst auðkenni viðskiptavina áður en hann treystir þeim fyrir líkamlegum stýringum, á meðan hann lofar tilkynnta bandaríska lagfæringu. Reikningar Shah og Curry sýna hvers vegna stjórnun á auðkennisgögnum á undan skiptir máli fyrir heimild niðurstraums. Dómurinn staðfestir ekki áframhaldandi heimsvíðtækan veikleika.
Þýtt afrit
Þýtt úr upprunalegri enskri frásögn. Tiltækt hljóð og textar eru stjórnaðir af YouTube.
Hvernig varð innskráning að bíllykli?
0:00 App bílsins þíns athugar hvort þú sért eigandinn. Vísindamenn létu auðkennisþjónninn staðfesta þá í staðinn. Hvernig varð innskráning að ökutækisheimild í þessu myndbandi? Og hvað sannaði að bíll hlýddi í raun? Það er mánudagur, níundi nóvember, og þetta er The Daily Diff. Ein lokaprófun skilur á milli sannfærandi skjás og ólæsts bíls. Tengdar bílaþjónustur eru netkerfi á bak við símaapp eiganda. Shubham Shah og Sam Curry greina frá því að stjórnunaraðgangur að auðkenni hafi leyft þeim
0:25 að fá sömu app-heimild og eigandi. Þeir sýndu fjarstýringar á leyfilegum ökutækjum. Bandaríski reikningurinn þeirra segir að gallarnir hafi verið lagaðir eftir birtingu.
Hvað er nýlega birt og hvað var þegar lagað?
0:33 Báðar ritgerðirnar birtust 7. nóvember. Curry dagssetur birtingu sína snemma á þessu ári. Shah lýsir áströlskum rannsóknum sem hófust í júlí. Þetta eru mismunandi tímalínur. Að lesa þær sem eitt heimsvíðtækt neyðarástand myndi gefa fyrirsögninni meiri kraft en sönnunargögnin. Shah keypti einn af ónefndum jeppum bílaframleiðandans árið tvö þúsund tuttugu og þrjú. Hvaða netþjónusta fær bankann þegar ég aflæsi bílnum mínum?
0:53 Hann og Curry eyddu tveimur vikum í að skoða auðkenniskerfið. Lykilhluturinn hefur eignast bakenda lið. Appið skráir þig inn og hleður bílskúrnum þínum.
Hvaða auðkenni treystir ökutækisþjónustan?
1:01 Tengda þjónustan tengir þann reikning við ökutæki og leyfðar skipanir. Þetta samband er gagnlega svarið. Sá sem stýrir treystu auðkenni viðskiptavinar getur erft hæfileika sem ætlaðir eru viðskiptavininum. Í Ástralíu sýndi opinbert stjórnunartól upplýsingar viðskiptavina í gegnum viðmót varin með lyklum sem fylgdu í vafrascripti. Metnaðarfull skilgreining á leyndarmáli. Shah fann einnig skilríki auðkennisstjórnanda í söluaðila-pakka,
1:24 og greindi frá því að þau virkuðu í framleiðslu. Jaðarinn lokaði fyrir viðkvæmar leiðir. En hugbúnaðarlög túlkuðu sömu beiðni á annan hátt. Curry segir að jaðarinn hafi meðhöndlað slóð sem fast efni á meðan bakendinn náði í stjórnborð. Velkomnismotta og læsta hurðin voru að skoða mismunandi kort.
Hvers vegna skipti þróunarstjórnborð máli?
1:41 Þetta stjórnborð samþykkti enn sjálfgefin stjórnunarskilríki, samkvæmt Curry. Framleiðsluleiðbeiningarnar segja rekstraraðilum nú þegar að fjarlægja eða vernda það, og segja að auðkenning þess sé aðskilin frá auðkenningu auðkennisvörunnar. Önnur innskráning felur sig á milli punktanna á gátlistanum. Afhjúpuðu stjórnunartólin leyfðu kóða að keyra innan auðkennisþjónustunnar. Vísindamennirnir fengu aðgang að skrám viðskiptavina á bak við opinbera síunarmörk. Jaðarsía athugar umferð sem fer yfir þessi mörk.
2:06 Ferli sem er þegar inni í þjónustunni hefur annað samband við gögnin. Þetta útskýrir fjölþátta vandamálið í bandaríska reikningnum. Auðkennisgögn veittu innskráningarupplýsingar og áfangastað fyrir staðfestingarkóða í tölvupósti. Stjórnunarstýring á þessum gögnum leyfði vísindamönnum að ljúka innskráningu. Efnis skilgreining viðskiptavinar hafði þegar breyst. Shah lýsir sérstakri ástralskri auðkenningarvillu sem lét keðju hans sleppa aukafaktornum.
2:31 Að kalla fjölþátta auðkenningu brotna alls staðar myndi eyða stillingarupplýsingunum sem forritarar þurfa. Hafðu aukafaktorinn þinn. Hafðu kerfið sem skilgreinir eiganda sinn traustvert líka. Skilríkin hafa mismunandi störf.
Hvenær verður fundur að app-heimild?
2:43 Stjórnunaraðgangur stjórnar auðkennisgögnum. Fundur viðskiptavinar táknar lokna innskráningu. Farsímaappið fær tákn sem þjónusturnar þess samþykkja. Að kalla allt þetta galdratákn tapar mörkunum sem gerðu eiganda-sambærilegan aðgang mögulegan. Curry lýsir auðkenniskerfum tveggja ónefndra bílaframleiðenda yfir margar svæði. Hann takmarkar heildarprófanir ökutækja við bandaríska reikninga og ökutæki. Shah lýsir einum bílaframleiðanda yfir tvö áströlsk vörumerki,
3:09 og heldur síðan fram víðtækari sameiginlegri náð. Þetta mismunandi umfang gefur okkur engan grundvöll til að bera kennsl á fyrirtækin. Hacker News ræðir um hvort aflæsing símans ætti að vera til. Eitt svar bendir á að athuga gleymda læsingu og kæla eða hita bílinn. Fólki líka vel við gagnlega eiginleika. Að veita viðskiptavinum þægindi gefur þjónustunni einnig dýrt starf. Hún þarf að vinna sér inn vald sitt.
Hvað náði úrbótum í raun yfir?
3:29 Curry greinir frá því að báðir bílaframleiðendur hafi lagað veikleikann um tveimur tímum eftir að hafa fengið hann og snúið við skilríkjum sem urðu fyrir áhrifum. Þetta er tímalína bandarísku fylgiskýrslunnar. Júlískýrsla Shah veitir enga samsvarandi tímalínu fyrir úrbætur. Reikningur hans skilur eftir núverandi úrbótastöðu Ástralíu ótilgreinda. Við getum ekki breytt tveggja tíma viðbrögðum í alþjóðlega viðgerðarstöðvunarklukku. Fyrir forritara, byrjaðu á stjórnborðinu. Gerðu skrá yfir hvað er afhjúpað og hvaða auðkenningarkerfi verndar það.
3:55 Fjarlægðu ónotuð þróunartól. Verndaðu tólunum sem þú heldur. Endurskoðaðu túlkun beiðni hvers lags áður en þú meðhöndlar jaðarreglu sem síðasta orðið um aðgang. Shah segir að ástralska keðjan hafi loksins virkað um miðnætti, opnað bíl sem þeim var leyft að prófa. Auðkennispípur með ánægjulegum endi. Ritgerð vinnur sér inn niðurstöðu með því að athuga hinn endann.
4:14 Traust bakendans er aðeins helmingur samtalsins. Bandaríski reikningur Curry's segir að hæfileikar séu háðir bílgerð, áskrift og virkum tengdum þjónustum. Studdar skipanir eru meðal annars hurðaropnun og fjarstart á vélinni. Engin ritgerð staðfestir akstur eða aðgerðaleysi. Sönnunargögnin ná yfir sérstaka app-hæfileika og leyfðar líkamlegar sýningar. Spyrðu hvaða þjónusta getur breytt þeim staðreyndum sem heimild þín byggir á. Endurstilling lykilorða og breytingar á tengiliðum skipta máli vegna þess að önnur kerfi neyta
4:41 þeirra sem sannleika. Gild innskráning getur byggst á endurskrifuðu auðkenni. Þessi bílasaga verður forritasaga þín þar.
Hvað sannaði að bíllinn hlýddi í raun?
4:48 Lokaprófunin gerðist við hlið bílsins. Curry segir að samþykkt API skipun ein og sér hafi ekkert sannað um hegðun bílsins. Þeir endurnýjuðu stöðu hans og staðfestu líkamlega niðurstöðuna með eigandanum sem stóð við hlið hans. Shah aflæsti og ræsti ökutækið, stöðvaði það síðan og læsti því aftur. Sönnunin náði inn í innkeyrsluna. Ef þú vilt frekar lesa þetta en heyra mig segja það, þá lendir diffið í pósthólfinu þínu á hverjum morgni, ókeypis á thedailydiff.dev, hlekkur hér að neðan.
Hvaða mörk þurfa endurskoðun?
5:10 Svo, dómur dagsins, þarf endurskoðun. Ég myndi endurskoða stjórnunarleiðir inn í auðkenni viðskiptavina áður en ég treysti þeim með líkamlegum stýringum. Tilkynnt bandarísk lagfæring á skilið lof. Hver getur endurskilgreint eigandann sem öll niðurstraumsþjónusta trúir? Og það er diffið í dag. Ég er Niko frá Axrisi. Samanburður af ábyrgð.
Heimildir
- Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
- unlocking any car from X brand in most of the worldShubham Shah
- Remove or protect development and debug tools — PingIDM 7.2Ping Identity
- Connected-car disclosure discussionHacker News
- Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
- Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
- Sam Curry's official About page corroborates portrait identitySam Curry
- Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
- GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
- Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip
