დაკავშირებული მანქანის იდენტობის უსაფრთხოება: მფლობელის ავტორიტეტი და ფიზიკური მტკიცებულება

რას მოიცავს ეს ვიდეო

• სანდო მომხმარებლის იდენტობის ადმინისტრაციულ კონტროლს შეუძლია გავლენა მოახდინოს სატრანსპორტო საშუალების ავტორიტეტზე, რომელსაც ანიჭებს ქვედა დინების აპლიკაციის სერვისები.
• კური ზღუდავს სატრანსპორტო საშუალების სრული ჯაჭვის ტესტირებას აშშ-ის ანგარიშებითა და მანქანებით; რეგიონული დირექტორიის მიღწევადობას და შაჰის უფრო ფართო კომბინირებულ მოთხოვნას განსხვავებული სკოპები აქვს.
• დაახლოებით ორსაათიანი პასუხი ეკუთვნის აშშ-ის თანმხლები დოკუმენტის გამჟღავნების ვადებს. ავსტრალიური ანგარიში არ აფიქსირებს გამოსწორების შესაბამის თარიღს.
• მხარდაჭერილი ბრძანებები დამოკიდებულია მოდელზე, გამოწერაზე და აქტიურ დაკავშირებულ სერვისებზე. მართვის ან იმობილაიზერის გათიშვა არ დადგინდა.
• მკვლევარებმა განაახლეს მანქანის სტატუსი და დაადასტურეს ფიზიკური ეფექტები მფლობელთან ერთად მანქანის გვერდით.
• PingIDM-ის ვერსიირებული წარმოების სახელმძღვანელო რეკომენდაციას იძლევა დეველოპერული ხელსაწყოების ამოღებას ან დაცვას და ასახელებს ცალკე კონსოლის ავთენტიფიკაციის სისტემას.

ნათარგმნი ტრანსკრიპტი

ნათარგმნია ორიგინალური ინგლისური ნარატივიდან. ხელმისაწვდომი აუდიო და სუბტიტრები კონტროლდება YouTube-ის მიერ.

როგორ გახდა შესვლა მანქანის გასაღები?

0:00 თქვენი მანქანის აპლიკაცია ამოწმებს, რომ თქვენ ხართ მფლობელი. მკვლევარებმა მის იდენტობის სერვერს აიძულეს, რომ მათთვის დაემოწმებინა. ამ ვიდეოში, როგორ გახდა შესვლა მანქანის ავტორიტეტი? და რა დაამტკიცა, რომ მანქანამ რეალურად დაემორჩილა? ორშაბათია, 9 ნოემბერი, და ეს არის The Daily Diff. ერთი ბოლო შემოწმება ჰყოფს დამაჯერებელ ეკრანს განბლოკილი მანქანისგან. დაკავშირებული მანქანის სერვისები არის ონლაინ სისტემები მფლობელის ტელეფონის აპლიკაციის მიღმა. შუბჰამ შაჰი და სემ კური აფიქსირებენ, რომ ადმინისტრაციულმა იდენტობის წვდომამ მათ საშუალება მისცა

0:25 მოეპოვებინათ მფლობელის ეკვივალენტური აპლიკაციის ავტორიტეტი. მათ დემონსტრაცია გაუკეთეს დისტანციურ ბრძანებებს ნებართვის მქონე მანქანებზე. მათი აშშ-ის ანგარიში ამბობს, რომ ხარვეზები გამოსწორდა გამჟღავნების შემდეგ.

რა არის ახლად გამოქვეყნებული და რა იყო უკვე გამოსწორებული?

0:33 ორივე სტატია გამოქვეყნდა 7 ნოემბერს. კური ათარიღებს მის გამჟღავნებას ამ წლის დასაწყისით. შაჰი აღწერს ავსტრალიურ კვლევას, რომელიც დაიწყო ივლისში. ეს განსხვავებული ვადებია. მათი, როგორც ერთი მსოფლიო საგანგებო სიტუაციის წაკითხვა, სათაურს უფრო მეტ ცხენის ძალას მისცემდა, ვიდრე მტკიცებულებებს. შაჰმა შეიძინა უსახელო ავტომწარმოებლის ერთ-ერთი SUV 2023 წელს. რომელი ინტერნეტ სერვისი იღებს შეხებას, როდესაც მანქანას ვხსნი?

0:53 მან და კურიმ ორი კვირა დახარჯეს იდენტობის სისტემის შესასწავლად. გასაღებმა შეიძინა ბექენდ გუნდი. აპლიკაცია გაგამიჯვნებთ და ჩატვირთავს თქვენს ავტოფარეხს.

რომელ იდენტობას ენდობა მანქანის სერვისი?

1:01 დაკავშირებული სერვისი ამ ანგარიშს უკავშირებს მანქანებს და ნებართვის მქონე ბრძანებებს. ეს ურთიერთობა არის სასარგებლო პასუხი. ვინც აკონტროლებს სანდო მომხმარებლის იდენტობას, შეუძლია მემკვიდრეობით მიიღოს შესაძლებლობები, რომლებიც განკუთვნილია მომხმარებლისთვის. ავსტრალიაში, საჯარო მართვის ხელსაწყომ გამოავლინა მომხმარებლის ინფორმაცია ინტერფეისების მეშვეობით, რომლებიც დაცულია ბრაუზერის JavaScript-ში გაგზავნილი გასაღებებით. საიდუმლოს ამბიციური განმარტება. შაჰმა ასევე აღმოაჩინა იდენტობის ადმინისტრატორის სერთიფიკატები მომწოდებლის პაკეტში,

1:24 და განაცხადა, რომ ისინი მუშაობდნენ წარმოებაში. პერიმეტრი ბლოკავდა სენსიტიურ მარშრუტებს. მაგრამ პროგრამული უზრუნველყოფის ფენები იმავე მოთხოვნას სხვადასხვანაირად ინტერპრეტირებდნენ. კური ამბობს, რომ ზღვარი გზას სტატიკურ კონტენტად განიხილავდა, ხოლო ბექენდი მიაღწია ადმინისტრაციის კონსოლს. კეთილი იყოს თქვენი მობრძანება ხალიჩაზე და ჩაკეტილი კარი სხვადასხვა რუკებს კონსულტირებდნენ.

რატომ იყო მნიშვნელოვანი დეველოპერული კონსოლი?

1:41 ეს კონსოლი კვლავ იღებდა ნაგულისხმევ ადმინისტრატორის სერთიფიკატებს, კურის მიხედვით. წარმოების სახელმძღვანელო უკვე ეუბნება ოპერატორებს, რომ ამოიღონ ან დაიცვან იგი, და ამბობს, რომ მისი ავთენტიფიკაცია ცალკეა იდენტობის პროდუქტის ავთენტიფიკაციისგან. კიდევ ერთი შესვლა, რომელიც იმალება ჩამონათვალის ბულეტებს შორის. გამოვლენილმა ადმინისტრაციულმა ხელსაწყომ საშუალება მისცა კოდს გაშვებულიყო იდენტობის სერვისის შიგნით. მკვლევარებმა მომხმარებლის ჩანაწერებზე წვდომა მიიღეს საჯარო ფილტრაციის საზღვრის მიღმა. პერიმეტრის ფილტრი ამოწმებს ტრაფიკს, რომელიც კვეთს ამ პერიმეტრს.

2:06 პროცესს, რომელიც უკვე სერვისის შიგნით არის, განსხვავებული ურთიერთობა აქვს მონაცემებთან. ეს ხსნის მრავალფაქტორიან პრობლემას აშშ-ის ანგარიშში. იდენტობის ჩანაწერებმა მოგვაწოდეს შესვლის ინფორმაცია და დანიშნულება ელფოსტის ვერიფიკაციის კოდისთვის. ამ ჩანაწერებზე ადმინისტრაციულმა კონტროლმა მკვლევარებს საშუალება მისცა დაესრულებინათ შესვლა. მომხმარებლის აღმავალი დეფინიცია უკვე შეცვლილი იყო. შაჰი აღწერს ცალკე ავსტრალიურ ავთენტიფიკაციის არასწორ კონფიგურაციას, რამაც მისცა მის ჯაჭვს გამოტოვებინა დამატებითი ფაქტორი.

2:31 მრავალფაქტორიანი ავთენტიფიკაციის ყველგან გაუმართავად გამოცხადება წაშლიდა კონფიგურაციის დეტალებს, რომლებიც დეველოპერებს სჭირდებათ. შეინარჩუნეთ თქვენი დამატებითი ფაქტორი. შეინარჩუნეთ სისტემის მფლობელის განსაზღვრა სანდოც. სერთიფიკატებს განსხვავებული მოვალეობები აქვთ.

როდის ხდება სესია აპლიკაციის ავტორიტეტი?

2:43 ადმინისტრატორის წვდომა აკონტროლებს იდენტობის ჩანაწერებს. მომხმარებლის სესია წარმოადგენს დასრულებულ შესვლას. მობილური აპლიკაცია იღებს ტოკენებს, რომლებსაც მისი სერვისები იღებენ. ყველა მათგანის მაგიურ ტოკენად გამოცხადება კარგავს იმ საზღვრებს, რამაც შესაძლებელი გახადა მფლობელის ეკვივალენტური წვდომა. კური აღწერს ორი უსახელო ავტომწარმოებლის იდენტობის დირექტორიებს მრავალ რეგიონში. ის ზღუდავს სატრანსპორტო საშუალების სრულ ტესტირებას აშშ-ის ანგარიშებითა და მანქანებით. შაჰი აღწერს ერთ ავტომწარმოებელს ორ ავსტრალიურ ბრენდში,

3:09 შემდეგ კი აცხადებს უფრო ფართო კომბინირებულ მიღწევადობას. ეს განსხვავებული სკოპები არ გვაძლევს საფუძველს კომპანიების იდენტიფიცირებისთვის. Hacker News კამათობს იმის შესახებ, უნდა არსებობდეს თუ არა ტელეფონის განბლოკვა. ერთი პასუხი მიუთითებს დავიწყებული საკეტის შემოწმებაზე და მანქანის გაგრილებაზე ან გათბობაზე. ადამიანებს მოსწონთ სასარგებლო ფუნქციები. მომხმარებლებისთვის კომფორტის მინიჭება ასევე სერვისს ძვირადღირებულ სამუშაოს აძლევს. მას უნდა მოიპოვოს თავისი ავტორიტეტი.

რა მოიცვა გამოსწორებამ სინამდვილეში?

3:29 კური იუწყება, რომ ორივე ავტომწარმოებელმა დაახლოებით ორ საათში გამოასწორა მოწყვლადობა მისი მიღების შემდეგ და შეცვალეს დაზიანებული სერთიფიკატები. ეს არის აშშ-ის თანმხლები დოკუმენტის ვადები. შაჰის ივლისის ანგარიში არ აფიქსირებს გამოსწორების შესაბამის ვადებს. მისი ანგარიში არ აკონკრეტებს ავსტრალიის მიმდინარე გამოსწორების სტატუსს. ჩვენ არ შეგვიძლია ორსაათიანი პასუხი გლობალურ შეკეთების წამზომად ვაქციოთ. დეველოპერებისთვის, დაიწყეთ ადმინისტრაციული ზედაპირიდან. აღწერეთ, რა არის გამოვლენილი და რომელი ავთენტიფიკაციის სისტემა იცავს მას.

3:55 ამოიღეთ გამოუყენებელი დეველოპერული ხელსაწყოები. დაიცავით ის ხელსაწყოები, რომლებსაც შეინარჩუნებთ. გადახედეთ თითოეული ფენის მოთხოვნის ინტერპრეტაციას, სანამ ზღვრულ წესს წვდომის საბოლოო სიტყვად ჩათვლით. შაჰი ამბობს, რომ ავსტრალიური ჯაჭვი საბოლოოდ შუაღამისას ამუშავდა, გააღო მანქანა, რომლის ტესტირების ნებაც ჰქონდათ. იდენტობის სანტექნიკა დამაკმაყოფილებელი დასასრულით. სტატია თავის დასკვნას სხვა ბოლოს შემოწმებით იღებს.

4:14 ბექენდის ნდობა მხოლოდ საუბრის ნახევარია. კურის აშშ-ის ანგარიში ამბობს, რომ შესაძლებლობები დამოკიდებულია მანქანის მოდელზე, გამოწერაზე და აქტიურ დაკავშირებულ სერვისებზე. მხარდაჭერილი ბრძანებები მოიცავს კარის განბლოკვას და ძრავის დისტანციურად გაშვებას. არცერთი სტატია არ აფიქსირებს გაქცევას ან იმობილაიზერის გათიშვას. მტკიცებულებები მოიცავს კონკრეტულ აპლიკაციის შესაძლებლობებს და ნებართვის მქონე ფიზიკურ დემონსტრაციებს. იკითხეთ, რომელ სერვისს შეუძლია შეცვალოს ის ფაქტები, რომლებზეც თქვენი ავტორიზაცია ეყრდნობა. პაროლის გადაყენება და კონტაქტის შეცვლა მნიშვნელოვანია, რადგან სხვა სისტემები მათ

4:41 სიმართლედ მოიხმარენ. ვალიდური შესვლა შეიძლება ეფუძნებოდეს გადაწერილ იდენტობას. ეს მანქანის ამბავი ხდება თქვენი აპლიკაციის ამბავი იქ.

რა დაამტკიცა, რომ მანქანამ რეალურად დაემორჩილა?

4:48 საბოლოო შემოწმება მანქანის გვერდით მოხდა. კური ამბობს, რომ API ბრძანების მიღება მარტო არაფერს ამტკიცებდა მანქანის ქცევის შესახებ. მათ განაახლეს მისი სტატუსი და დაადასტურეს ფიზიკური შედეგი მფლობელთან ერთად, რომელიც მის გვერდით იდგა. შაჰმა განბლოკა და ჩართო მანქანა, შემდეგ გააჩერა და ისევ ჩაკეტა. მტკიცებულება მისასვლელამდე მივიდა. თუ ამას კითხვა გირჩევნიათ, ვიდრე ჩემი მოსმენა, diff ყოველ დილით თქვენს შემოსულებში ხვდება, უფასოდ the daily diff dot dev-ზე, ბმული ქვემოთ.

რომელ საზღვარს სჭირდება გადახედვა?

5:10 ასე რომ, დღევანდელი ვერდიქტი, NEEDS REVIEW. მე შევამოწმებდი ადმინისტრაციულ გზებს მომხმარებლის იდენტობისკენ, სანამ მას ფიზიკურ კონტროლს ვენდობოდი. შეტყობინებული აშშ-ის შესწორება ნამდვილად დასაფასებელია. ვის შეუძლია გადაგანსაზღვროს მფლობელი, რომელსაც ყოველი ქვედა დინების სერვისი ენდობა? და ეს არის დღევანდელი diff. მე ვარ ნიკო Axrisi-დან. პასუხისმგებლობით გაერთიანება.

წყაროები

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip