Жалғанған көліктің жеке басының қауіпсіздігі: иесінің өкілеттігі және физикалық дәлел

Бұл бейне не туралы

• Сенімді тұтынушы жеке басының әкімшілік бақылауы төменгі ағынды қолданба қызметтері беретін көлік өкілеттігіне әсер етуі мүмкін.
• Карри АҚШ есептері мен көліктерімен толық көлік тізбегін тестілеуді шектейді; аймақтық каталог ауқымы және Шахтың кеңірек біріктірілген талабы әртүрлі ауқымға ие.
• Шамамен екі сағаттық жауап АҚШ-тың ілеспе құжатының ақпаратты ашу кестесіне жатады. Австралиялық есепте сәйкес түзету күні көрсетілмеген.
• Қолдау көрсетілетін пәрмендер үлгіге, жазылымға және белсенді қосылған қызметтерге байланысты. Жүргізу немесе иммобилизаторды өшіру анықталған жоқ.
• Зерттеушілер көліктің жағдайын жаңартып, иесінің жанында тұрған көлікпен физикалық әсерлерді растады.
• PingIDM-нің нұсқаланған өндіріс нұсқаулығы әзірлеу құралдарын жоюды немесе қорғауды ұсынады және бөлек консоль аутентификация жүйесін анықтайды.

Аударылған транскрипция

Бастапқы ағылшын тіліндегі баяндамадан аударылған. Қолжетімді аудио және субтитрлерді YouTube басқарады.

Кіру қалай көлік кілтіне айналды?

0:00 Көлігіңіздің қолданбасы сіздің иесі екеніңізді тексереді. Зерттеушілер оның орнына жеке куәлік серверін олар үшін кепілдік беруге мәжбүр етті. Бұл бейнеде кіру қалай көлік өкілеттігіне айналды? Және көліктің шынымен бағынғанын не дәлелдеді? Бүгін дүйсенбі, қарашаның тоғызы, және бұл The Daily Diff. Бір соңғы тексеру сенімді экранды құлыптаулы көліктен ажыратады. Жалғанған көлік қызметтері - иесінің телефон қолданбасының артындағы онлайн жүйелер. Шубхам Шах пен Сэм Карри әкімшілік сәйкестендіруге қол жеткізу оларға

0:25 иесімен бірдей қолданба өкілеттігін алуға мүмкіндік бергенін хабарлайды. Олар рұқсат етілген көліктерде қашықтан пәрмендерді көрсетті. Олардың АҚШ есебінде ақаулар ашылғаннан кейін түзетілгені айтылады.

Жаңадан не жарияланды және не бұрыннан түзетілген?

0:33 Екі жазба да жетінші қарашада пайда болды. Карри өз мәлімдемесін осы жылдың басында жасайды. Шах шілдеде басталған австралиялық зерттеулерді сипаттайды. Бұл әртүрлі кестелер. Оларды бір әлемдік төтенше жағдай ретінде оқу тақырыпқа көбірек қуат берер еді дәлелдерге қарағанда. Шах аты аталмаған автокөлік өндірушілерінің бірінің жол талғамайтын көлігін жиырма жиырма үшінші жылы сатып алды. Көлігімнің құлпын ашқан кезде қай интернет қызметі хабарлама алады?

0:53 Ол және Карри екі апта бойы жеке куәлік жүйесін зерттеді. Кілт брелогы бэкенд командасын алды. Қолданба сізді кіргізіп, гаражыңызды жүктейді.

Көлік қызметі қай жеке басты сенімді деп санайды?

1:01 Жалғанған қызмет бұл тіркелгіні көліктермен және рұқсат етілген пәрмендермен байланыстырады. Бұл байланыс пайдалы жауап. Сенімді тұтынушы жеке куәлігін бақылайтын кез келген адам тұтынушыға арналған мүмкіндіктерді мұра ете алады. Австралияда қоғамдық басқару құралы браузер JavaScript-те жіберілген кілттермен қорғалған интерфейстер арқылы тұтынушы ақпаратын ашты. Құпияның амбициялы анықтамасы. Шах сонымен қатар жеткізуші пакетінен жеке куәлік әкімшісінің тіркелгі деректерін тапты,

1:24 және олардың өндірісте жұмыс істегенін хабарлады. Периметр сезімтал маршруттарды бұғаттады. Бірақ бағдарламалық қамтамасыз ету қабаттары бірдей сұранысты әртүрлі интерпретациялады. Карри шеті жолды статикалық мазмұн ретінде қарастырғанда, бэкенд әкімшілік консольге жеткенін айтады. Қарсы алу кілемі мен құлыпталған есік әртүрлі карталарды тексерді.

Әзірлеу консолі неге маңызды болды?

1:41 Бұл консоль әлі де әдепкі әкімші тіркелгі деректерін қабылдады, Карридің айтуынша. Өндіріс нұсқаулығы операторларға оны жоюды немесе қорғауды айтады, және оның аутентификациясы жеке куәлік өнімінің аутентификациясынан бөлек екенін айтады. Тізімнің тармақтары арасында жасырылған тағы бір кіру. Ашық әкімшілік құралдары жеке куәлік қызметі ішінде кодтың орындалуына мүмкіндік берді. Зерттеушілер қоғамдық сүзу шекарасының артындағы тұтынушы жазбаларына қол жеткізді. Периметр сүзгісі бұл периметрді

2:06 кесіп өтетін трафикті тексереді. Қызмет ішіндегі процесс деректермен әртүрлі қарым-қатынаста. Бұл АҚШ есебіндегі көп факторлы мәселені түсіндіреді. Жеке куәлік жазбалары электрондық поштаны тексеру коды үшін кіру ақпаратын және тағайындалған жерді берді. Бұл жазбаларды әкімшілік бақылау зерттеушілерге кіруді аяқтауға мүмкіндік берді. Тұтынушының жоғарғы ағынды анықтамасы бұрыннан өзгерген. Шах австралиялық бөлек аутентификацияның қате конфигурациясын сипаттайды, ол оның тізбегіне қосымша факторды өткізіп жіберуге мүмкіндік берді.

2:31 Көп факторлы аутентификацияның барлық жерде бұзылғанын айту әзірлеушілерге қажет конфигурация егжей-тегжейін өшіреді. Қосымша факторыңызды сақтаңыз. Өз иесін сенімді деп анықтайтын жүйені де сақтаңыз. Тіркелгі деректерінің әртүрлі жұмыстары бар.

Сессия қашан қолданба өкілеттігіне айналады?

2:43 Әкімшіге қол жеткізу жеке куәлік жазбаларын басқарады. Тұтынушы сессиясы аяқталған кіруді білдіреді. Мобильді қолданба оның қызметтері қабылдайтын токендерді алады. Барлығын сиқырлы токен деп атау иесіне баламалы қол жеткізуді мүмкін еткен шекараларды жоғалтады. Карри бірнеше аймақтағы екі аты аталмаған автокөлік өндірушілерінің жеке куәлік каталогтарын сипаттайды. Ол толық көлік тестілеуін АҚШ есептері мен көліктерімен шектейді. Шах екі австралиялық брендтегі бір автокөлік өндірушісін сипаттайды,

3:09 содан кейін кеңірек біріктірілген ауқымды талап етеді. Бұл әртүрлі ауқымдар бізге компанияларды анықтауға негіз бермейді. Hacker News телефон құлпын ашу керек пе, жоқ па деп пікірталас жүргізеді. Бір жауап ұмытылған құлыпты тексеруді және көлікті салқындатуды немесе жылытуды көрсетеді. Адамдар пайдалы функцияларды ұнатады. Тұтынушыларға ыңғайлылық беру қызметке қымбат жұмыс береді. Ол өз өкілеттігін табуы керек.

Түзету іс жүзінде нені қамтыды?

3:29 Карри екі автокөлік өндірушісі де осалдықты алғаннан кейін шамамен екі сағаттан кейін түзетіп, зақымдалған тіркелгі деректерін өзгерткенін хабарлайды. Бұл АҚШ-тың ілеспе құжатының кестесі. Шахтың шілдедегі есебінде сәйкес түзету кестесі жоқ. Оның есебі Австралияның ағымдағы түзету мәртебесін көрсетпейді. Біз екі сағаттық жауапты жаһандық жөндеу секундомеріне айналдыра алмаймыз. Әзірлеушілер үшін әкімшілік бетінен бастаңыз. Ненің ашық екенін және қай аутентификация жүйесі оны қорғайтынын тізімдеңіз.

3:55 Пайдаланылмаған әзірлеу құралдарын жойыңыз. Сақталған құралдарды қорғаңыз. Әр қабаттың сұраныс интерпретациясын шеткі ережені қол жеткізу туралы соңғы сөз ретінде қарастырмас бұрын қарап шығыңыз. Шах австралиялық тізбек ақыры түн ортасында жұмыс істеді дейді, оларға сынауға рұқсат етілген көлікті ашып. Қанағаттанарлық нәтижеге ие жеке куәлік сантехникасы. Жазба басқа соңын тексеру арқылы өз қорытындысын табады.

4:14 Бэкендтің сенімділігі әңгіменің жартысы ғана. Карридің АҚШ есебі мүмкіндіктер көлік үлгісіне, жазылымға және белсенді қосылған қызметтерге байланысты екенін айтады. Қолдау көрсетілетін пәрмендерге есікті ашу және қашықтан қозғалтқышты іске қосу кіреді. Ешбір жазбада көлікті айдап кету немесе иммобилизаторды өшіру анықталмаған. Дәлелдер нақты қолданба мүмкіндіктерін және рұқсат етілген физикалық көрсетулерді қамтиды. Авторизацияңызға сүйенетін фактілерді қай қызмет өзгерте алатынын сұраңыз. Құпия сөзді қалпына келтіру және байланыс өзгерістері маңызды, өйткені басқа жүйелер оларды

4:41 шындық ретінде қабылдайды. Жарамды кіру қайта жазылған жеке куәлікке негізделуі мүмкін. Бұл көлік оқиғасы сол жерде сіздің қолданбаңыздың оқиғасына айналады.

Көлік шынымен бағынғанын не дәлелдеді?

4:48 Соңғы тексеру көліктің жанында өтті. Карри қабылданған API пәрменінің өзі көліктің мінез-құлқы туралы ештеңе дәлелдемегенін айтады. Олар оның жағдайын жаңартып, иесінің жанында тұрған кезде физикалық нәтижені растады. Шах көлікті ашып, іске қосып, содан кейін тоқтатып, қайта құлыптады. Дәлелдер кіреберіске жетті. Егер сіз мұны естігеннен гөрі оқығыңыз келсе, diff әр таңда сіздің пошта жәшігіңізге тегін келеді, the daily diff dot dev мекенжайында, төмендегі сілтеме.

Қай шекараға шолу қажет?

5:10 Сонымен, бүгінгі үкім, NEEDS REVIEW. Мен физикалық басқару элементтеріне сенбес бұрын тұтынушы жеке куәлігіне әкімшілік жолдарды тексерген болар едім. Хабарланған АҚШ түзетуі мақтауға тұрарлық. Әрбір төменгі ағынды қызмет сенетін иесін кім қайта анықтай алады? Және бұл бүгінгі diff. Мен Axrisi-ден Никомын. Жауапкершілікпен біріктіріңіз.

Дереккөздер

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip