Savienotās automašīnas identitātes drošība: īpašnieka pilnvaras un fiziski pierādījumi

Ko aptver šis video

• Uzticamas klientu identitātes administratīvā kontrole var ietekmēt transportlīdzekļa pilnvaras, ko piešķir pakārtotie lietotņu pakalpojumi.
• Karijs ierobežo pilnīgu transportlīdzekļu ķēdes testēšanu ar ASV kontiem un transportlīdzekļiem; reģionālā direktorija sasniedzamība un Šaha plašākais kopīgais apgalvojums ir atšķirīgi.
• Aptuveni divu stundu atbilde pieder pie ASV pavadošā paziņojuma laika grafika. Austrālijas pārskatā nav norādīts atbilstošs labošanas datums.
• Atbalstītās komandas ir atkarīgas no modeļa, abonementa un aktīviem savienotajiem pakalpojumiem. Braukšanas vai imobilizatora atspējošana netika konstatēta.
• Pētnieki atsvaidzināja transportlīdzekļa statusu un apstiprināja fiziskos efektus, īpašniekam atrodoties blakus transportlīdzeklim.
• PingIDM versijas ražošanas ceļvedis iesaka noņemt vai aizsargāt izstrādes rīkus un identificē atsevišķu konsoles autentifikācijas sistēmu.

Tulkotais transkripts

Tulkojums no oriģinālā angļu stāstījuma. Pieejamais audio un subtitri tiek kontrolēti no YouTube.

Kā pieteikšanās kļuva par automašīnas atslēgu?

0:00 Jūsu automašīnas lietotne pārbauda, vai esat īpašnieks. Pētnieki lika tās identitātes serverim apliecināt viņus. Šajā video, kā pieteikšanās kļuva par transportlīdzekļa pilnvarām? Un kas pierādīja, ka automašīna patiešām paklausīja? Ir pirmdiena, devītais novembris, un šis ir The Daily Diff. Viena pēdējā pārbaude atdala pārliecinošu ekrānu no atbloķētas automašīnas. Savienotie automašīnu pakalpojumi ir tiešsaistes sistēmas, kas atrodas aiz īpašnieka tālruņa lietotnes. Šubhams Šahs un Sems Karijs ziņo, ka administratīvā identitātes piekļuve viņiem ļāva

0:25 iegūt tādas pašas lietotņu pilnvaras kā īpašniekam. Viņi demonstrēja attālinātas komandas ar atļautiem transportlīdzekļiem. Viņu ASV kontā teikts, ka kļūdas tika novērstas pēc atklāšanas.

Kas ir jaunpublicēts, un kas jau tika salabots?

0:33 Abi raksti parādījās 7. novembrī. Karijs savu atklāšanu datē ar šī gada sākumu. Šahs apraksta Austrālijas pētījumus, kas sākās jūlijā. Tie ir atšķirīgi laika grafiki. Lasot tos kā vienu pasaules mēroga ārkārtas situāciju, virsraksts iegūtu lielāku jaudu nekā pierādījumi. Šahs iegādājās vienu no nenosauktā automašīnu ražotāja apvidus automobiļiem divdesmit divdesmit trīs. gadā Kurš interneta pakalpojums saņem pieskārienu, kad atbloķēju savu automašīnu?

0:53 Viņš un Karijs divas nedēļas pētīja identitātes sistēmu. Atslēgas piekariņš ir ieguvis aizmugures komandu. Lietotne jūs pieraksta un ielādē jūsu garāžu.

Kurai identitātei uzticas transportlīdzekļa pakalpojums?

1:01 Savienotais pakalpojums saista šo kontu ar transportlīdzekļiem un atļautajām komandām. Šīs attiecības ir noderīgā atbilde. Tas, kurš kontrolē uzticamo klientu identitāti, var mantot iespējas, kas paredzētas klientam. Austrālijā publisks pārvaldības rīks atklāja klientu informāciju, izmantojot saskarnes, kas aizsargātas ar atslēgām, kas piegādātas pārlūka JavaScript. Ambicioza "noslēpuma" definīcija. Šahs arī atrada identitātes administratora akreditācijas datus piegādātāja paketē,

1:24 un ziņoja, ka tie darbojās ražošanā. Perimetrs bloķēja sensitīvus maršrutus. Taču programmatūras slāņi interpretēja to pašu pieprasījumu atšķirīgi. Karijs saka, ka mala uztvēra ceļu kā statisku saturu, kamēr aizmugure sasniedza administrācijas konsoli. Laipni lūgtais paklājs un slēgtās durvis konsultējās ar dažādām kartēm.

Kāpēc izstrādes konsole bija svarīga?

1:41 Šī konsole joprojām pieņēma noklusējuma administratora akreditācijas datus, saskaņā ar Kariju. Ražošanas ceļvedis jau norāda operatoriem to noņemt vai aizsargāt, un norāda, ka tā autentifikācija ir atsevišķa no identitātes produkta autentifikācijas. Vēl viena pieteikšanās, kas slēpjas starp kontrolsaraksta punktiem. Atklātā administrācijas rīku sistēma ļāva kodam darboties identitātes pakalpojumā. Pētnieki piekļuva klientu ierakstiem aiz publiskā filtrēšanas robežas. Perimetra filtrs pārbauda datplūsmu, kas šķērso šo perimetru.

2:06 Procesam, kas jau atrodas pakalpojumā, ir atšķirīgas attiecības ar datiem. Tas izskaidro daudzfaktoru problēmu ASV kontā. Identitātes ieraksti nodrošināja pieteikšanās informāciju un galamērķi e-pasta verifikācijas kodam. Administratīvā kontrole pār šiem ierakstiem ļāva pētniekiem pabeigt pieteikšanos. Klienta definīcija augšup pa straumi jau bija mainījusies. Šahs apraksta atsevišķu Austrālijas autentifikācijas nepareizu konfigurāciju, kas ļāva viņa ķēdei izlaist papildu faktoru.

2:31 Nosaucot daudzfaktoru autentifikāciju par salauztu visur, tiktu izdzēstas konfigurācijas detaļas, kas nepieciešamas izstrādātājiem. Saglabājiet savu papildu faktoru. Saglabājiet arī sistēmu, kas definē tās īpašnieku, uzticamu. Akreditācijas datiem ir atšķirīgi uzdevumi.

Kad sesija kļūst par lietotnes pilnvarām?

2:43 Administratora piekļuve kontrolē identitātes ierakstus. Klienta sesija apzīmē pabeigtu pieteikšanos. Mobilā lietotne iegūst tokenus, ko pieņem tās pakalpojumi. Nosaucot tos visus par maģisku tokenu, tiek zaudētas robežas, kas padarīja īpašniekam līdzvērtīgu piekļuvi iespējamu. Karijs apraksta divu nenosauktu automašīnu ražotāju identitātes direktorijus vairākos reģionos. Viņš ierobežo pilnīgu transportlīdzekļu testēšanu ar ASV kontiem un transportlīdzekļiem. Šahs apraksta vienu automašīnu ražotāju divos Austrālijas zīmolos,

3:09 pēc tam apgalvo plašāku kopējo sasniedzamību. Šīs atšķirīgās jomas nedod mums pamatu identificēt uzņēmumus. Hacker News strīdas par to, vai tālruņa atbloķēšanai vajadzētu pastāvēt. Viena atbilde norāda uz aizmirstas slēdzenes pārbaudi un automašīnas dzesēšanu vai sildīšanu. Cilvēkiem patīk noderīgas funkcijas. Nodrošinot klientiem ērtības, pakalpojums iegūst arī dārgu darbu. Tam ir jāiegūst savas pilnvaras.

Ko patiesībā aptvēra novēršana?

3:29 Karijs ziņo, ka abi automašīnu ražotāji novērsa ievainojamību aptuveni divas stundas pēc saņemšanas un mainīja ietekmētos akreditācijas datus. Tas ir ASV pavadošā paziņojuma laika grafiks. Šaha jūlija pārskats nesniedz atbilstošu labošanas laika grafiku. Viņa pārskats atstāj Austrālijas pašreizējo labošanas statusu nenoteiktu. Mēs nevaram pārvērst divu stundu atbildi par globālu remonta hronometru. Izstrādātājiem sāciet ar administrācijas virsmu. Apkopojiet, kas ir atklāts un kura autentifikācijas sistēma to aizsargā.

3:55 Noņemiet neizmantotos izstrādes rīkus. Aizsargājiet rīkus, ko saglabājat. Pirms malas noteikuma uzskatīšanas par pēdējo vārdu par piekļuvi, pārskatiet katra slāņa pieprasījuma interpretāciju. pēdējo vārdu par piekļuvi. Šahs saka, ka Austrālijas ķēde beidzot sāka darboties ap pusnakti, atverot automašīnu, kuru viņiem bija atļauts testēt. Identitātes santehnika ar apmierinošu beigām. Raksts nopelna savu secinājumu, pārbaudot otru galu.

4:14 Aizmugures sistēmas pārliecība ir tikai puse sarunas. Karija ASV kontā teikts, ka iespējas ir atkarīgas no transportlīdzekļa modeļa, abonementa un aktīviem savienotiem pakalpojumiem. Atbalstītās komandas ietver durvju atbloķēšanu un dzinēja attālinātu iedarbināšanu. Neviens no rakstiem nekonstatē braukšanu prom vai imobilizatora atspējošanu. Pierādījumi aptver konkrētas lietotnes iespējas un atļautas fiziskas demonstrācijas. Pajautājiet, kurš pakalpojums var mainīt faktus, uz kuriem balstās jūsu autorizācija. par. Paroles atiestatīšana un kontaktu maiņa ir svarīga, jo citas sistēmas tās izmanto

4:41 kā patiesību. Derīga pieteikšanās var balstīties uz pārrakstītu identitāti. Šis automašīnas stāsts tur kļūst par jūsu lietojumprogrammas stāstu.

Kas pierādīja, ka automašīna patiešām paklausīja?

4:48 Galīgā pārbaude notika pie automašīnas. Karijs saka, ka pieņemta API komanda viena pati neko neapliecināja par automašīnas uzvedību. Viņi atsvaidzināja tās statusu un apstiprināja fizisko rezultātu, īpašniekam stāvot blakus. Šahs atbloķēja un iedarbināja transportlīdzekli, pēc tam to apturēja un atkal bloķēja. Pierādījums nonāca piebraucamā ceļā. Ja vēlaties to lasīt, nevis dzirdēt, kā es to saku, "diff" nonāk jūsu iesūtnē katru rītu, bez maksas vietnē "thedailydiff.dev", saite zemāk.

Kura robeža jāpārskata?

5:10 Tātad, šodienas spriedums, NEPICIETIET PĀRSKATĪT. Es auditētu administratīvos ceļus uz klientu identitāti, pirms uzticētos tai ar fiziskām kontrolēm. Ziņotais ASV labojums ir pelnījis atzinību. Kurš var pārdefinēt īpašnieku, kam tic katrs pakārtotais pakalpojums? Un tas ir šodienas "diff". Esmu Niko no Axrisi. Skaisti sapludiniet.

Avoti

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip