Sicurezza dell'identità dell'auto connessa: autorità del proprietario e prova fisica

Contenuto di questo video

• Il controllo amministrativo dell'identità del cliente fidato può influenzare l'autorità del veicolo concessa dai servizi di app a valle.
• Curry limita il test completo della catena del veicolo agli account e ai veicoli statunitensi; la portata della directory regionale e la rivendicazione combinata più ampia di Shah hanno ambiti diversi.
• La risposta di circa due ore appartiene alla cronologia di divulgazione del rapporto di accompagnamento statunitense. Il resoconto australiano non fornisce una data di risoluzione corrispondente.
• I comandi supportati dipendono dal modello, dall'abbonamento e dai servizi connessi attivi. Non è stata stabilita la guida o la disattivazione dell'immobilizzatore.
• I ricercatori hanno aggiornato lo stato del veicolo e confermato gli effetti fisici con il proprietario accanto al veicolo.
• La guida alla produzione versionata di PingIDM raccomanda di rimuovere o proteggere gli strumenti di sviluppo e identifica un sistema di autenticazione della console separato.

Trascrizione tradotta

Tradotto dalla narrazione originale inglese. L'audio e i sottotitoli disponibili sono controllati da YouTube.

Come un login è diventato una chiave dell'auto?

0:00 L'app della tua auto verifica che tu sia il proprietario. I ricercatori hanno fatto in modo che il suo server di identità garantisse per loro invece. In questo video, come un login è diventato autorità del veicolo? E cosa ha dimostrato che un'auto ha effettivamente obbedito? È lunedì, nove novembre, e questo è The Daily Diff. Un controllo finale separa uno schermo convincente da un'auto sbloccata. I servizi di auto connesse sono i sistemi online dietro l'app del telefono di un proprietario. Shubham Shah e Sam Curry riferiscono che l'accesso amministrativo all'identità ha permesso loro

0:25 di ottenere la stessa autorità dell'app di un proprietario. Hanno dimostrato comandi remoti su veicoli autorizzati. Il loro account statunitense afferma che i difetti sono stati risolti dopo la divulgazione.

Cosa è stato pubblicato di nuovo e cosa era già stato risolto?

0:33 Entrambi gli articoli sono apparsi il sette novembre. Curry data la sua divulgazione all'inizio di quest'anno. Shah descrive la ricerca australiana iniziata a luglio. Queste sono cronologie diverse. Leggerli come un'unica emergenza mondiale darebbe al titolo più potenza rispetto alle prove. Shah ha acquistato uno dei SUV della casa automobilistica senza nome nel duemilaventitre. Quale servizio internet riceve il tocco quando sblocco la mia auto?

0:53 Lui e Curry hanno trascorso due settimane esaminando il sistema di identità. Il portachiavi ha acquisito un team di backend. L'app ti fa accedere e carica il tuo garage.

Di quale identità si fida il servizio del veicolo?

1:01 Il servizio connesso associa quell'account ai veicoli e ai comandi consentiti. Questa relazione è la risposta utile. Chiunque controlli l'identità del cliente fidato può ereditare le capacità destinate al cliente. In Australia, uno strumento di gestione pubblica ha esposto le informazioni sui clienti attraverso interfacce protette da chiavi spedite in JavaScript del browser. Definizione ambiziosa di segreto. Shah ha anche trovato le credenziali dell'amministratore dell'identità in un bundle del fornitore,

1:24 e ha riferito che funzionavano in produzione. Il perimetro bloccava i percorsi sensibili. Ma gli strati software interpretavano la stessa richiesta in modo diverso. Curry dice che l'edge trattava un percorso come contenuto statico mentre il backend raggiungeva una console di amministrazione. Lo zerbino e la porta chiusa stavano consultando mappe diverse.

Perché una console di sviluppo era importante?

1:41 Quella console accettava ancora le credenziali di amministratore predefinite, secondo Curry. La guida alla produzione dice già agli operatori di rimuoverla o proteggerla, e dice che la sua autenticazione è separata dall'autenticazione del prodotto di identità. Un altro login nascosto tra i punti elenco della lista di controllo. Gli strumenti di amministrazione esposti permettevano l'esecuzione di codice all'interno del servizio di identità. I ricercatori hanno avuto accesso ai record dei clienti dietro il confine di filtraggio pubblico. Un filtro perimetrale controlla il traffico che attraversa quel perimetro.

2:06 Un processo già all'interno del servizio ha una relazione diversa con i dati. Questo spiega il problema multi-fattore nel resoconto statunitense. I record di identità fornivano le informazioni di accesso e la destinazione per un codice di verifica email. Il controllo amministrativo su tali record permetteva ai ricercatori di completare l'accesso. La definizione a monte del cliente era già cambiata. Shah descrive una separata errata configurazione dell'autenticazione australiana che permetteva alla sua catena di saltare il fattore extra.

2:31 Definire l'autenticazione multi-fattore rotta ovunque cancellerebbe i dettagli di configurazione di cui gli sviluppatori hanno bisogno. Mantieni il tuo fattore extra. Mantieni anche il sistema che definisce il suo proprietario affidabile. Le credenziali hanno lavori diversi.

Quando una sessione diventa autorità dell'app?

2:43 L'accesso dell'amministratore controlla i record di identità. Una sessione del cliente rappresenta un accesso completato. L'app mobile ottiene token accettati dai suoi servizi. Chiamare tutto questo un token magico fa perdere i confini che hanno reso possibile l'accesso equivalente al proprietario. Curry descrive le directory di identità di due case automobilistiche senza nome in diverse regioni. Limita il test completo del veicolo agli account e ai veicoli statunitensi. Shah descrive una casa automobilistica attraverso due marchi australiani,

3:09 quindi rivendica una portata combinata più ampia. Questi ambiti diversi non ci danno alcuna base per identificare le aziende. Hacker News discute se lo sblocco del telefono dovrebbe esistere. Una risposta indica la verifica di un blocco dimenticato e il raffreddamento o il riscaldamento dell'auto. Alla gente piacciono le funzionalità utili. Dare ai clienti comodità dà anche al servizio un compito costoso. Deve guadagnarsi la sua autorità.

Cosa ha effettivamente coperto la risoluzione?

3:29 Curry riferisce che entrambe le case automobilistiche hanno risolto la vulnerabilità circa due ore dopo averla ricevuta e hanno ruotato le credenziali interessate. Questa è la cronologia del rapporto di accompagnamento statunitense. Il resoconto di luglio di Shah non fornisce una cronologia di risoluzione corrispondente. Il suo resoconto lascia lo stato di risoluzione attuale dell'Australia non specificato. Non possiamo trasformare la risposta di due ore in un cronometro di riparazione globale. Per gli sviluppatori, iniziare dalla superficie di amministrazione. Inventariare ciò che è esposto e quale sistema di autenticazione lo protegge.

3:55 Rimuovere gli strumenti di sviluppo non utilizzati. Proteggere gli strumenti che si conservano. Rivedere l'interpretazione della richiesta di ogni livello prima di trattare una regola di edge come la parola definitiva sull'accesso. Shah dice che la catena australiana ha finalmente funzionato intorno a mezzanotte, aprendo un'auto che erano autorizzati a testare. Meccanismi di identità con un finale soddisfacente. Un resoconto si guadagna la sua conclusione controllando l'altra estremità.

4:14 La fiducia del backend è solo metà della conversazione. Il resoconto statunitense di Curry afferma che le capacità dipendono dal modello del veicolo, dall'abbonamento e dai servizi connessi attivi. I comandi supportati includono lo sblocco delle porte e l'avvio remoto del motore. Nessuno dei due resoconti stabilisce la possibilità di allontanarsi o disattivare un immobilizzatore. Le prove coprono particolari capacità dell'app e dimostrazioni fisiche autorizzate. Chiedere quale servizio può modificare i fatti su cui si basa l'autorizzazione. I reset delle password e i cambiamenti di contatto sono importanti perché altri sistemi li consumano

4:41 come verità. Un login valido può basarsi su un'identità riscritta. Questa storia dell'auto diventa la tua storia dell'applicazione lì.

Cosa ha dimostrato che l'auto ha effettivamente obbedito?

4:48 Il controllo finale è avvenuto accanto all'auto. Curry dice che un comando API accettato da solo non ha provato nulla sul comportamento dell'auto. Hanno aggiornato il suo stato e confermato il risultato fisico con il proprietario in piedi accanto ad essa. ad essa. Shah ha sbloccato e avviato il veicolo, poi lo ha spento e bloccato di nuovo. La prova è arrivata al vialetto. Se preferisci leggere questo anziché sentirmi dire, il diff arriva nella tua casella di posta ogni mattina, gratuitamente su the daily diff dot dev, link qui sotto.

Quale confine necessita di revisione?

5:10 Quindi, il verdetto di oggi, NEEDS REVIEW. Farei un audit dei percorsi amministrativi nell'identità del cliente prima di fidarmi di essa con i controlli fisici. La correzione statunitense segnalata merita credito. Chi può ridefinire il proprietario in cui ogni servizio a valle crede? E questo è il diff per oggi. Sono Niko di Axrisi. Esegui il merge in modo responsabile.

Fonti

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip