Prijungto automobilio tapatybės saugumas: savininko autoritetas ir fizinis įrodymas

Kas aptariama šiame vaizdo įraše

• Administracinė patikimos kliento tapatybės kontrolė gali paveikti transporto priemonės valdžią, suteikiamą paslaugų programėlių.
• Curry visą transporto priemonės grandinės testavimą apriboja JAV paskyromis ir transporto priemonėmis; regioninės prieigos ir Shah platesnio bendro teiginio apimtys skiriasi.
• Apytiksliai dviejų valandų atsakas priklauso JAV ataskaitos atskleidimo laiko juostai. Australijos ataskaitoje nėra atitinkamos ištaisymo datos.
• Palaikomos komandos priklauso nuo modelio, prenumeratos ir aktyvių prijungtų paslaugų. Vairavimas ar imobilizatoriaus išjungimas nebuvo nustatytas.
• Tyrėjai atnaujino transporto priemonės būseną ir patvirtino fizinius poveikius savininkui esant šalia transporto priemonės.
• PingIDM versijos gamybos vadove rekomenduojama pašalinti arba apsaugoti kūrimo įrankius ir nurodoma atskira konsolės autentifikavimo sistema.

Išverstas transkriptas

Išversta iš originalo anglų kalbos. Galimas garso ir subtitrų valdymas per YouTube.

Kaip prisijungimas tapo automobilio raktu?

0:00 Jūsų automobilio programėlė patikrina, ar esate savininkas. Tyrėjai privertė tapatybės serverį garantuoti už juos. Šiame vaizdo įraše, kaip prisijungimas tapo transporto priemonės autoritetu? Ir kas įrodė, kad automobilis iš tikrųjų pakluso? Pirmadienis, lapkričio devintoji, ir tai yra "The Daily Diff". Vienas paskutinis patikrinimas skiria įtikinamą ekraną nuo atrakinto automobilio. Prijungtos automobilio paslaugos yra internetinės sistemos, esančios už savininko telefono programėlės. Shubham Shah ir Sam Curry praneša, kad administracinė tapatybės prieiga leido jiems

0:25 įgyti tą patį programėlės autoritetą, kaip ir savininkui. Jie pademonstravo nuotolines komandas leidimą turinčiose transporto priemonėse. Jų JAV ataskaita teigia, kad trūkumai buvo ištaisyti po atskleidimo.

Kas yra naujai paskelbta ir kas jau buvo ištaisyta?

0:33 Abu aprašymai pasirodė lapkričio septintąją. Curry savo atskleidimą datuoja šių metų pradžia. Shah aprašo Australijos tyrimus, prasidėjusius liepos mėnesį. Tai skirtingos laiko juostos. Skaitant jas kaip vieną pasaulinę avariją, antraštė turėtų daugiau galios nei įrodymai. Shah nusipirko vieną iš neįvardytų automobilių gamintojų visureigių 2023 m. Kokia interneto paslauga gauna signalą, kai atrakinu savo automobilį?

0:53 Jis ir Curry dvi savaites nagrinėjo tapatybės sistemą. Rakto pultelis įgijo užpakalinės komandos palaikymą. Programėlė prisijungia ir įkelia jūsų garažą.

Kokia tapatybe pasitiki transporto priemonės paslauga?

1:01 Prijungta paslauga susieja tą paskyrą su transporto priemonėmis ir leidžiamomis komandomis. Tas ryšys yra naudingas atsakymas. Kas valdo patikimą kliento tapatybę, gali paveldėti galimybes, skirtas klientui. Australijoje viešas valdymo įrankis atskleidė klientų informaciją per sąsajas, apsaugotas naršyklės JavaScript koduose esančiais raktais. Ambicingas slaptumo apibrėžimas. Shah taip pat rado tapatybės administratoriaus prisijungimo duomenis tiekėjo pakete,

1:24 ir pranešė, kad jie veikė gamyboje. Perimetras blokavo jautrius maršrutus. Tačiau programinės įrangos sluoksniai tą pačią užklausą interpretavo skirtingai. Curry teigia, kad kraštas traktavo kelią kaip statinį turinį, o užpakalinė dalis pasiekė administravimo konsolę. Pasveikinimo kilimėlis ir užrakintos durys konsultavosi su skirtingais žemėlapiais.

Kodėl kūrimo konsolė buvo svarbi?

1:41 Ta konsolė vis dar priėmė numatytuosius administratoriaus prisijungimo duomenis, pasak Curry. Gamybos vadove jau nurodoma operatoriams ją pašalinti arba apsaugoti, ir teigiama, kad jos autentifikavimas yra atskirtas nuo tapatybės produkto autentifikavimo. Dar vienas prisijungimas, paslėptas tarp kontrolinio sąrašo punktų. Atskiras administravimo įrankis leido kodui veikti tapatybės paslaugoje. Tyrėjai pasiekė klientų įrašus už viešo filtravimo ribos. Perimetro filtras tikrina srautą, kertantį tą perimetrą.

2:06 Procesas, jau esantis paslaugos viduje, turi kitokį ryšį su duomenimis. Tai paaiškina daugiafaktorinės problemos esmę JAV ataskaitoje. Tapatybės įrašai pateikė prisijungimo informaciją ir paskirties vietą el. pašto patvirtinimo kodui. Administracinė tų įrašų kontrolė leido tyrėjams užbaigti prisijungimą. Prieš tai kliento apibrėžimas jau buvo pasikeitęs. Shah aprašo atskirą Australijos autentifikavimo klaidingą konfigūraciją, kuri leido jo grandinei praleisti papildomą faktorių.

2:31 Tvirtinimas, kad daugiafaktorinis autentifikavimas yra sugadintas visur, ištrintų konfigūracijos detales, reikalingas kūrėjams. Išlaikykite savo papildomą faktorių. Taip pat išlaikykite sistemą, kuri apibrėžia jos savininką, patikima. Kredencialai turi skirtingas funkcijas.

Kada sesija tampa programėlės autoritetu?

2:43 Administratoriaus prieiga kontroliuoja tapatybės įrašus. Kliento sesija atspindi užbaigtą prisijungimą. Mobilioji programėlė gauna žetonus, kuriuos priima jos paslaugos. Visų šių dalykų pavadinimas stebuklingu žetonu praranda ribas, dėl kurių savininko lygio prieiga tapo įmanoma. Curry aprašo dviejų neįvardytų automobilių gamintojų tapatybės katalogus keliuose regionuose. Jis riboja visą transporto priemonės bandymą JAV paskyroms ir transporto priemonėms. Shah aprašo vieną automobilių gamintoją per du Australijos prekės ženklus,

3:09 tada teigia platesnį bendrą pasiekiamumą. Šios skirtingos apimtys neduoda pagrindo mums identifikuoti įmones. Hacker News ginčijasi, ar telefono atrakinimas turėtų egzistuoti. Vienas atsakymas nurodo pamiršto užrakto patikrinimą ir automobilio atvėsinimą ar sušildymą. Žmonėms patinka naudingos funkcijos. Suteikiant klientams patogumą, paslaugai taip pat suteikiamas brangus darbas. Ji turi užsitarnauti savo autoritetą.

Ką iš tikrųjų apėmė ištaisymas?

3:29 Curry praneša, kad abu automobilių gamintojai pašalino pažeidžiamumą maždaug po dviejų valandų nuo jos gavimo ir atnaujino paveiktus kredencialus. Tai yra JAV ataskaitos laiko juosta. Shah liepos mėn. ataskaitoje nepateikiama atitinkama ištaisymo laiko juosta. Jo ataskaitoje dabartinė Australijos ištaisymo būsena nepatikslinta. Mes negalime dviejų valandų atsako paversti pasauliniu remonto chronometru. Kūrėjams, pradėkite nuo administravimo paviršiaus. Nustatyti, kas yra atskleista ir kokia autentifikavimo sistema tai saugo.

3:55 Pašalinkite nenaudojamus kūrimo įrankius. Apsaugokite išlaikytus įrankius. Peržiūrėkite kiekvieno sluoksnio užklausos interpretavimą prieš traktuodami krašto taisyklę kaip paskutinį žodį dėl prieigos. Shah sako, kad Australijos grandinė galiausiai suveikė apie vidurnaktį, atidarydama automobilį, kurį jiems buvo leista išbandyti. Tapatybės sistemos su patenkinama pabaiga. Aprašymas užsitarnauja savo išvadą patikrinant kitą galą.

4:14 Užpakalinės sistemos pasitikėjimas yra tik pusė pokalbio. Curry JAV ataskaita teigia, kad galimybės priklauso nuo transporto priemonės modelio, prenumeratos ir aktyvių prijungtų paslaugų. Palaikomos komandos apima durų atrakinimą ir nuotolinį variklio paleidimą. Nė viename aprašyme nenurodoma, kad buvo galima nuvažiuoti ar išjungti imobilizatorių. Įrodymai apima konkrečias programėlės galimybes ir leidžiamas fizines demonstracijas. Paklauskite, kuri paslauga gali pakeisti faktus, kuriais remiasi jūsų autorizacija. Slaptažodžio atstatymai ir kontaktų pakeitimai yra svarbūs, nes kitos sistemos juos priima

4:41 kaip tiesą. Galiojantis prisijungimas gali būti pagrįstas perrašyta tapatybe. Ši automobilio istorija tampa jūsų programos istorija ten.

Kas įrodė, kad automobilis iš tikrųjų pakluso?

4:48 Galutinis patikrinimas įvyko prie automobilio. Curry teigia, kad vien priimta API komanda nieko neįrodė apie automobilio elgesį. Jie atnaujino jo būseną ir patvirtino fizinį rezultatą savininkui stovint šalia. Shah atrakino ir užvedė transporto priemonę, tada ją sustabdė ir vėl užrakino. Įrodymai pasiekė įvažiavimą. Jei mieliau skaitytumėte tai, nei girdėtumėte mane sakant, skirtumas ateina į jūsų pašto dėžutę kiekvieną rytą, nemokamai daily diff dot dev, nuoroda žemiau.

Kurią ribą reikia peržiūrėti?

5:10 Taigi, šiandienos verdiktas, REIKIA PERŽIŪRĖTI. Aš audituočiau administracinius kelius į klientų tapatybę prieš ja pasitikėdamas fizinėmis kontrolėmis. Nurodytas JAV pataisymas nusipelno pagyrų. Kas gali iš naujo apibrėžti savininką, kuriuo tiki kiekviena žemesnio lygio paslauga? Ir tai yra skirtumas šiandien. Aš esu Niko iš Axrisi. Sujunkite atsakingai.

Šaltiniai

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip