コネクテッドカーのIDセキュリティ：所有者の権限と物理的証明

この動画の要点

• 信頼された顧客IDの管理制御は、ダウンストリームのアプリサービスによって付与される車両権限に影響を与える可能性があります。
• カリーは完全な車両チェーンのテストを米国のNアカウントと車両に限定しています。地域のディレクトリリーチとシャーのより広範な複合的な主張は異なる範囲を持っています。
• 約2時間の対応は、米国の関連レポートの開示タイムラインに属します。オーストラリアのアカウントでは、一致する修正日は記載されていません。
• サポートされるコマンドは、モデル、サブスクリプション、およびアクティブなコネクテッドサービスによって異なります。運転またはイモビライザーの解除は確認されていません。
• 研究者たちは車両のステータスを更新し、所有者が車両のそばにいる状態で物理的な影響を確認しました。
• PingIDMのバージョン管理されたプロダクションガイドでは、開発ツールの削除または保護を推奨しており、別のコンソール認証システムを特定しています。

翻訳されたトランスクリプト

オリジナルの英語ナレーションから翻訳されています。利用可能なオーディオとキャプションはYouTubeによって管理されています。

ログインはどのようにして車のキーになったのか？

0:00 あなたの車のアプリは、あなたが所有者であることを確認します。 研究者たちは、代わりにIDサーバーが彼らを保証するようにしました。 このビデオでは、ログインはどのようにして車両の権限になったのでしょうか？ そして、車が実際に従ったことを証明したものは何でしょうか？ 11月9日月曜日、The Daily Diffです。 説得力のある画面とロック解除された車の間には、最後の確認が1つあります。 コネクテッドカーサービスとは、所有者の電話アプリの背後にあるオンラインシステムのことです。 Shubham ShahとSam Curryは、管理IDアクセスによって彼らが

0:25 所有者と同じアプリ権限を取得できたと報告しています。 彼らは許可された車両でリモートコマンドを実演しました。 彼らの米国アカウントによると、これらの欠陥は開示後に修正されました。

新たに公開された情報と、すでに修正された情報は何ですか？

0:33 両方の記事は11月7日に公開されました。 Curryは自身の開示を今年の初めと記載しています。 Shahは7月に始まったオーストラリアの研究について説明しています。 これらは異なるタイムラインです。 これらを世界的な緊急事態として読むと、見出しには証拠よりも多くの 馬力が与えられてしまいます。 Shahは2023年に、匿名の自動車メーカーのSUVの1つを購入しました。 車をロック解除するとき、どのインターネットサービスがタップを受け取るのでしょうか？

0:53 彼とCurryは2週間かけてIDシステムを調査しました。 キーフォブはバックエンドチームを獲得しました。 アプリはあなたをサインインさせ、あなたのガレージを読み込みます。

車両サービスはどのIDを信頼しているのか？

1:01 接続されたサービスは、そのアカウントを車両と許可された コマンドと関連付けます。その関係が有用な答えです。 信頼された顧客IDを制御する者は誰でも、顧客のために意図された機能を 継承できます。 オーストラリアでは、公開管理ツールがブラウザのJavaScriptで出荷されたキーで保護された インターフェースを通じて顧客情報を公開しました。 秘密という野心的な定義です。 Shahはまた、ベンダーバンドルでID管理者資格情報を見つけ、

1:24 それが本番環境で機能したと報告しました。 境界は機密性の高いルートをブロックしました。 しかし、ソフトウェア層は同じリクエストを異なる方法で解釈しました。 Curryによると、エッジはパスを静的コンテンツとして扱いましたが、バックエンドは 管理コンソールにアクセスしました。 ウェルカムマットと施錠されたドアは、異なる地図を参照していました。

なぜ開発コンソールが重要だったのか？

1:41 Curryによると、そのコンソールはまだデフォルトの管理者資格情報を受け入れていました。 生産ガイドでは、オペレーターに削除または保護するよう指示しており、 その認証はID製品の認証とは別であると記載されています。 チェックリストの箇条書きの間に隠された別のログインです。 公開された管理ツールは、IDサービス内でコードを実行することを許可しました。 研究者たちは、公開フィルタリング境界の背後にある顧客レコードにアクセスしました。 境界フィルターは、その境界を通過するトラフィックをチェックします。 サービス内部のプロセスは、データと異なる関係を持っています。

2:06 これは、米国アカウントの多要素問題も説明しています。 IDレコードは、メール検証コードのログイン情報と宛先を提供しました。 これらのレコードに対する管理制御により、研究者たちは ログインを完了することができました。 顧客の上流の定義はすでに変更されていました。 Shahは、オーストラリアの別の認証の誤設定により、彼のチェーンが追加の要素を スキップできたと説明しています。 多要素認証がどこでも壊れていると呼ぶことは、開発者が必要とする

2:31 設定の詳細を消し去ることになります。 追加の要素を保持してください。 その所有者を信頼できると定義するシステムも保持してください。 資格情報には異なる役割があります。 管理者アクセスはIDレコードを制御します。

セッションはいつアプリの権限になるのか？

2:43 顧客セッションは、完了したサインインを表します。 モバイルアプリは、そのサービスによって受け入れられるトークンを取得します。 これらすべてを魔法のトークンと呼ぶことは、所有者と同等のアクセスを可能にした 境界を見失うことになります。 Curryは、複数の地域にわたる2つの匿名自動車メーカーのIDディレクトリについて説明しています。 彼は完全な車両テストを米国のNアカウントと車両に限定しています。 Shahは、オーストラリアの2つのブランドにわたる1つの自動車メーカーについて説明し、 その後、より広範な複合的なリーチを主張しています。

3:09 これらの異なる範囲では、企業を特定する根拠がありません。 Hacker Newsでは、電話でのロック解除が存在すべきかどうかが議論されています。 ある返信では、忘れられたロックの確認や車の冷却または暖房を指摘しています。 人々は便利な機能を好みます。 顧客に利便性を提供することは、サービスに高価な仕事を与えることでもあります。 その権限を獲得しなければなりません。 Curryは、両自動車メーカーが脆弱性を2時間後に修正し、影響を受けた資格情報を

修正は実際に何をカバーしたのか？

3:29 ローテーションしたと報告しています。 これは米国の関連レポートのタイムラインです。 Shahの7月のアカウントには、一致する修正タイムラインは記載されていません。 彼のアカウントでは、オーストラリアの現在の修正状況は不明確です。 2時間の対応を世界的な修理ストップウォッチにすることはできません。 開発者の場合、管理画面から始めてください。 公開されているものと、どの認証システムがそれを保護しているかを棚卸ししてください。 使用されていない開発ツールを削除してください。

3:55 保持するツールを保護してください。 エッジルールをアクセスに関する最終的な言葉として扱う前に、各レイヤーのリクエスト 解釈をレビューしてください。 Shahによると、オーストラリアのチェーンは最終的に深夜ごろに機能し、 テストを許可された車を開放しました。 満足のいく結末を迎えたIDの基盤です。 記述は、反対側をチェックすることで結論を導き出します。 バックエンドの自信は、会話の半分にすぎません。

4:14 Curryの米国アカウントによると、機能は車両モデル、 サブスクリプション、およびアクティブなコネクテッドサービスに依存します。 サポートされるコマンドには、ドアのロック解除とリモートエンジンスタートが含まれます。 どちらの記述も、運転やイモビライザーの解除を確立していません。 証拠は、特定のアプリ機能と許可された物理的な デモンストレーションをカバーしています。あなたの承認が依存する事実をどのサービスが 変更できるかを尋ねてください。パスワードのリセットや連絡先の変更は、他のシステムが それらを真実として消費するため重要です。

4:41 有効なログインは、書き換えられたIDに基づいている可能性があります。 この車の話は、そこであなたのアプリケーションの話になります。 最終確認は車のそばで行われました。

車が実際に従ったことを証明したものは何か？

4:48 Curryによると、受け入れられたAPIコマンドだけでは車の動作について何も証明されませんでした。 彼らはそのステータスを更新し、所有者がそばに立っている状態で物理的な結果を 確認しました。 Shahは車両のロックを解除してエンジンを始動し、その後停止させて再びロックしました。 証拠は私道に到達しました。 私がこれを話すのを聞くよりも読みたい場合は、The Daily Diffが毎朝、無料で daily diff.devにあなたの受信トレイに届きます。リンクは以下です。 今日の評決は、NEEDS REVIEWです。

どの境界を見直す必要があるか？

5:10 私は、物理的な制御を信頼する前に、顧客IDへの管理パスを監査するでしょう。 報告された米国での修正は評価に値します。 すべてのダウンストリームサービスが信頼する所有者を再定義できるのは誰でしょうか？ 今日のThe Daily Diffは以上です。 AxrisiのNikoでした。 責任を持ってマージしてください。 責任を持ってマージしてください。

情報源

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip