커넥티드 카 신원 보안: 소유자 권한 및 물리적 증명

이 동영상에서 다루는 내용

• 신뢰할 수 있는 고객 신원에 대한 관리 통제는 다운스트림 앱 서비스가 부여하는 차량 권한에 영향을 미칠 수 있습니다.
• Curry는 완전한 차량 체인 테스트를 미국 계정 및 차량으로 제한합니다. 지역 디렉토리 범위와 Shah의 더 넓은 통합 주장은 범위가 다릅니다.
• 약 2시간의 응답은 미국 동반 보고서의 공개 타임라인에 속합니다. 호주 보고서는 일치하는 시정 날짜를 제공하지 않습니다.
• 지원되는 명령은 모델, 구독 및 활성 커넥티드 서비스에 따라 다릅니다. 주행 또는 이모빌라이저 무력화는 확인되지 않았습니다.
• 연구원들은 차량 상태를 새로 고치고 차량 옆에서 소유자와 함께 물리적 효과를 확인했습니다.
• PingIDM의 버전 관리된 생산 가이드는 개발 도구를 제거하거나 보호할 것을 권장하며 별도의 콘솔 인증 시스템을 식별합니다.

번역된 스크립트

원래 영어 내레이션에서 번역되었습니다. 사용 가능한 오디오 및 캡션은 YouTube에서 제어합니다.

로그인이 어떻게 자동차 키가 되었을까요?

0:00 자동차 앱은 당신이 소유자임을 확인합니다. 연구원들은 대신 신원 서버가 그들을 보증하도록 만들었습니다. 이 비디오에서 로그인이 어떻게 차량 권한이 되었을까요? 그리고 차가 실제로 순종했다는 것을 무엇이 증명했을까요? 오늘은 11월 9일 월요일, The Daily Diff입니다. 납득할 만한 화면과 잠금 해제된 자동차 사이에는 마지막 확인이 있습니다. 커넥티드 카 서비스는 소유자의 휴대폰 앱 뒤에 있는 온라인 시스템입니다. Shubham Shah와 Sam Curry는 관리 신원 접근으로 인해

0:25 소유자와 동일한 앱 권한을 얻을 수 있었다고 보고합니다. 그들은 권한이 부여된 차량에서 원격 명령을 시연했습니다. 미국 보고서에 따르면 공개 후 결함이 수정되었습니다.

새로 출판된 내용은 무엇이며, 이미 수정된 내용은 무엇일까요?

0:33 두 보고서 모두 11월 7일에 발표되었습니다. Curry는 그의 공개를 올해 초로 거슬러 올라갑니다. Shah는 7월에 시작된 호주 연구에 대해 설명합니다. 이것들은 다른 타임라인입니다. 이것들을 전 세계적인 비상사태로 읽는다면 헤드라인에 더 많은 힘이 실릴 것입니다. 증거보다는요. Shah는 2023년에 이름 없는 자동차 제조사의 SUV 중 하나를 구입했습니다. 차를 잠금 해제할 때 어떤 인터넷 서비스가 탭을 받나요?

0:53 그와 Curry는 신원 시스템을 두 주 동안 조사했습니다. 키 리모컨은 백엔드 팀을 얻었습니다. 앱은 당신을 로그인시키고 차고를 로드합니다.

차량 서비스는 어떤 신원을 신뢰할까요?

1:01 연결된 서비스는 해당 계정을 차량 및 허용된 명령과 연결합니다. 그 관계가 유용한 답변입니다. 신뢰할 수 있는 고객 신원을 제어하는 사람은 고객을 위해 의도된 기능을 물려받을 수 있습니다. 호주에서는 공개 관리 도구가 브라우저 JavaScript에 포함된 키로 보호되는 인터페이스를 통해 고객 정보를 노출했습니다. 비밀에 대한 야심찬 정의입니다. Shah는 또한 공급업체 번들에서 신원 관리자 자격 증명을 발견했으며, 그것들이 프로덕션에서 작동했다고 보고했습니다. 경계는 민감한 경로를 차단했습니다.

1:24 그러나 소프트웨어 계층은 동일한 요청을 다르게 해석했습니다. Curry는 엣지가 경로를 정적 콘텐츠로 처리하는 동안 백엔드는 관리 콘솔에 도달했다고 말합니다. 환영 매트와 잠긴 문은 다른 지도를 참고하고 있었습니다. Curry에 따르면 해당 콘솔은 여전히 기본 관리자 자격 증명을 수락했습니다. 생산 가이드는 이미 운영자에게 이를 제거하거나 보호하라고 지시하고 있으며, 인증은 신원 제품의 인증과 별개라고 말합니다. 체크리스트의 글머리 기호 사이에 숨어 있는 또 다른 로그인입니다.

개발 콘솔이 왜 중요했을까요?

1:41 노출된 관리 도구를 통해 신원 서비스 내에서 코드를 실행할 수 있었습니다. 연구원들은 공개 필터링 경계 뒤에 있는 고객 기록에 접근했습니다. 경계 필터는 해당 경계를 가로지르는 트래픽을 확인합니다. 서비스 내부에 이미 있는 프로세스는 데이터와 다른 관계를 가집니다. 이것은 미국 계정의 다단계 문제에 대해 설명합니다. 신원 기록은 이메일 확인 코드의 로그인 정보와 대상을 제공했습니다. 해당 기록에 대한 관리 통제는 연구원들이 로그인을 완료할 수 있도록 했습니다. 고객에 대한 업스트림 정의는 이미 변경되었습니다.

2:06 Shah는 그의 체인이 추가 요소를 건너뛰도록 허용한 별도의 호주 인증 오구성에 대해 설명합니다. 모든 곳에서 다단계 인증이 깨졌다고 부르는 것은 개발자가 필요로 하는 구성 세부 정보를 지울 것입니다. 추가 요소를 유지하세요. 소유자를 정의하는 시스템도 신뢰할 수 있도록 유지하세요. 자격 증명은 다른 작업을 가집니다. 관리자 접근은 신원 기록을 제어합니다. 고객 세션은 완료된 로그인을 나타냅니다. 모바일 앱은 서비스에서 허용하는 토큰을 얻습니다.

2:31 이 모든 것을 마법의 토큰이라고 부르는 것은 소유자와 동등한 접근을 가능하게 한 경계를 잃게 합니다. Curry는 여러 지역에 걸쳐 두 개의 이름 없는 자동차 제조사의 신원 디렉토리에 대해 설명합니다. 그는 완전한 차량 테스트를 미국 계정 및 차량으로 제한합니다. Shah는 두 개의 호주 브랜드에 걸쳐 한 자동차 제조사에 대해 설명하고, 더 넓은 통합 범위를 주장합니다.

세션은 언제 앱 권한이 될까요?

2:43 이러한 다른 범위는 회사들을 식별할 근거를 제공하지 않습니다. Hacker News는 휴대폰 잠금 해제가 존재해야 하는지에 대해 논쟁합니다. 한 답변은 잊어버린 잠금을 확인하고 차를 냉각하거나 따뜻하게 하는 것을 지적합니다. 사람들은 유용한 기능을 좋아합니다. 고객에게 편의를 제공하는 것은 또한 서비스에 비싼 작업을 제공합니다. 그것은 권한을 얻어야 합니다. Curry는 두 자동차 제조사 모두 취약점을 받은 후 약 2시간 만에 수정하고 영향을 받은 자격 증명을 교체했다고 보고합니다. 이것은 미국 동반 보고서의 타임라인입니다.

3:09 Shah의 7월 보고서는 일치하는 시정 타임라인을 제공하지 않습니다. 그의 보고서는 호주의 현재 시정 상태를 명시하지 않습니다. 우리는 2시간의 응답을 글로벌 수리 스톱워치로 바꿀 수 없습니다. 개발자를 위해 관리 표면부터 시작하세요. 노출된 것과 어떤 인증 시스템이 그것을 보호하는지 재고조사하세요. 사용되지 않는 개발 도구를 제거하세요. 보유하는 도구를 보호하세요.

시정 조치는 실제로 무엇을 다루었을까요?

3:29 엣지 규칙을 접근에 대한 최종 답변으로 간주하기 전에 각 계층의 요청 해석을 검토하세요. Shah는 호주 체인이 마침내 자정쯤에 작동하여 테스트할 수 있도록 허용된 차를 열었다고 말합니다. 만족스러운 결말을 가진 신원 파이프라인입니다. 보고서는 다른 쪽 끝을 확인하여 결론을 얻습니다. 백엔드의 확신은 대화의 절반에 불과합니다. Curry의 미국 보고서에 따르면 기능은 차량 모델, 구독 및 활성 연결 서비스에 따라 다릅니다. 지원되는 명령에는 도어 잠금 해제 및 원격 엔진 시동이 포함됩니다.

3:55 두 보고서 모두 주행하거나 이모빌라이저를 무력화하는 것을 확인하지 않습니다. 증거는 특정 앱 기능 및 권한이 부여된 물리적 시연을 다룹니다. 권한 부여가 의존하는 사실을 변경할 수 있는 서비스가 무엇인지 물어보세요. 비밀번호 재설정 및 연락처 변경은 다른 시스템이 이를 진실로 소비하기 때문에 중요합니다. 유효한 로그인은 다시 작성된 신원에 기반할 수 있습니다. 이 자동차 이야기는 거기서부터 당신의 애플리케이션 이야기가 됩니다. 최종 확인은 차 옆에서 이루어졌습니다. Curry는 승인된 API 명령만으로는 차의 행동에 대해 아무것도 증명하지 못했다고 말합니다.

4:14 그들은 상태를 새로 고치고 차 옆에 서 있는 소유자와 함께 물리적 결과를 확인했습니다. Shah는 차량을 잠금 해제하고 시동을 걸고, 멈춘 다음 다시 잠갔습니다. 증거는 진입로에 도달했습니다. 내가 말하는 것을 듣기보다 읽고 싶다면, 매일 아침 당신의 받은 편지함에 무료로 도착하는 diff는 thedailydiff.dev에 있습니다. 링크는 아래에 있습니다. 그래서, 오늘 판결, NEEDS REVIEW. 나는 물리적 제어에 사용하기 전에 고객 신원에 대한 관리 경로를 감사할 것입니다. 보고된 미국 수정은 칭찬받을 만합니다. 모든 다운스트림 서비스가 믿는 소유자를 누가 재정의할 수 있을까요? 그리고 그것이 오늘의 diff입니다.

4:41 저는 Axrisi의 Niko입니다. 책임감 있게 병합하세요. 귀하의 차량 앱은 귀하가 소유자임을 확인합니다.

차가 실제로 순종했다는 것을 무엇이 증명했을까요?

4:48 연구원들은 대신 신원 서버가 그들을 보증하도록 만들었습니다. 이 비디오에서 로그인이 어떻게 차량 권한이 되었을까요? 그리고 차가 실제로 순종했다는 것을 무엇이 증명했을까요? 오늘은 11월 9일 월요일, The Daily Diff입니다. 납득할 만한 화면과 잠금 해제된 자동차 사이에는 마지막 확인이 있습니다. 커넥티드 카 서비스는 소유자의 휴대폰 앱 뒤에 있는 온라인 시스템입니다. Shubham Shah와 Sam Curry는 관리 신원 접근으로 인해 소유자와 동일한 앱 권한을 얻을 수 있었다고 보고합니다.

어떤 경계에 대한 검토가 필요할까요?

5:10 그들은 권한이 부여된 차량에서 원격 명령을 시연했습니다. 미국 보고서에 따르면 공개 후 결함이 수정되었습니다. 두 보고서 모두 11월 7일에 발표되었습니다. Curry는 그의 공개를 올해 초로 거슬러 올라갑니다. Shah는 7월에 시작된 호주 연구에 대해 설명합니다. 이것들은 다른 타임라인입니다. 이것들을 전 세계적인 비상사태로 읽는다면 헤드라인에 더 많은 힘이 실릴 것입니다.

출처

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip