Безбедност на идентитетот на поврзани автомобили: овластување на сопственикот и физички доказ

Што покрива ова видео

• Административната контрола на доверливиот идентитет на клиентот може да влијае на овластувањето на возилото што го даваат апликациските услуги.
• Кари го ограничува комплетното тестирање на синџирот на возила на сметки и возила од САД; опфатот на регионалниот директориум и поширокото комбинирано тврдење на Шах имаат различни опфати.
• Приближно двочасовниот одговор припаѓа на временската рамка за откривање на придружниот извештај од САД. Австралискиот извештај не дава соодветен датум за отстранување на проблемот.
• Поддржаните команди зависат од моделот, претплатата и активните поврзани услуги. Возењето или деактивирањето на имобилизаторот не беше утврдено.
• Истражувачите го освежија статусот на возилото и ги потврдија физичките ефекти со сопственикот покрај возилото.
• Верзионираниот производствен водич на PingIDM препорачува отстранување или заштита на алатките за развој и идентификува посебен систем за автентикација на конзолата.

Преведен транскрипт

Преведено од оригиналната англиска нарација. Достапното аудио и наслови се контролирани од YouTube.

Како најавувањето стана клуч за автомобил?

0:00 Апликацијата на вашиот автомобил проверува дали сте сопственик. Истражувачите наместо тоа, го натераа неговиот сервер за идентитет да гарантира за нив. Во ова видео, како најавувањето стана овластување за возило? И што докажа дека автомобилот навистина послушал? Денес е понеделник, деветти ноември, и ова е The Daily Diff. Една последна проверка го дели убедливиот екран од отклучен автомобил. Услугите за поврзани автомобили се онлајн системи зад апликацијата на телефонот на сопственикот. Шубам Шах и Сем Кари известуваат дека пристапот до административен идентитет им овозможил

0:25 да добијат ист авторитет на апликацијата како сопственик. Тие демонстрираа далечински команди на дозволени возила. Нивната американска сметка вели дека недостатоците биле поправени по откривањето.

Што е новообјавено, а што беше веќе поправено?

0:33 Двете написи се појавија на седми ноември. Кари го датира своето откривање на почетокот на оваа година. Шах го опишува австралиското истражување кое започнало во јули. Тоа се различни временски рамки. Читањето на ова како една светска итна ситуација би ѝ дало на насловната страница повеќе моќ отколку доказите. Шах купи едно од теренските возила на неименуваниот производител на автомобили во две илјади дваесет и третата. Која интернет услуга го прима допирот кога го отклучувам автомобилот?

0:53 Тој и Кари поминаа две недели испитувајќи го системот за идентитет. Клучот доби позадински тим. Апликацијата ве најавува и ја вчитува вашата гаража.

На кој идентитет му верува услугата за возила?

1:01 Поврзаната услуга ја поврзува таа сметка со возила и дозволени команди. Таа врска е корисниот одговор. Кој го контролира доверливиот идентитет на клиентот може да наследи можности наменети за клиентот. Во Австралија, јавна алатка за управување откри информации за клиентите преку интерфејси заштитени со клучеви испорачани во JavaScript на прелистувачот. Амбициозна дефиниција за тајна. Шах исто така пронајде административни акредитиви за идентитет во пакет на продавач,

1:24 и извести дека тие функционирале во продукција. Периметарот ги блокираше чувствителните патеки. Но, софтверските слоеви го толкуваа истото барање различно. Кари вели дека работ третирал патека како статична содржина, додека позадината пристапувала до административна конзола. Тепихот за добредојде и заклучената врата консултираа различни мапи.

Зошто конзолата за развој беше важна?

1:41 Таа конзола сè уште прифаќала стандардни администраторски акредитиви, според Кари. Водичот за производство веќе им кажува на операторите да го отстранат или заштитат, и вели дека неговата автентикација е одделна од автентикацијата на производот за идентитет. Друго најавување скриено помеѓу точките на контролната листа. Откриената административна алатка дозволи код да работи во рамките на услугата за идентитет. Истражувачите пристапија до евиденцијата на клиентите зад јавната филтрирачка граница. Периметарски филтер го проверува сообраќајот што ја поминува таа граница.

2:06 Процес веќе во рамките на услугата има поинаков однос со податоците. Ова го објаснува мулти-факторниот проблем во американската сметка. Записите за идентитет ги обезбедија информациите за најавување и дестинацијата за код за верификација на е-пошта. Административната контрола над тие записи им овозможи на истражувачите да го комплетираат најавувањето. Горната дефиниција за клиентот веќе беше променета. Шах опишува посебна австралиска погрешна конфигурација на автентикација што му овозможи на неговиот ланец да го прескокне дополнителниот фактор.

2:31 Нарекувањето на мулти-факторската автентикација скршена насекаде би ги избришало деталите за конфигурација што им се потребни на развивачите. Чувајте го вашиот дополнителен фактор. Чувајте го системот што го дефинира неговиот сопственик исто така доверлив. Акредитивите имаат различни работи.

Кога сесијата станува авторитет на апликацијата?

2:43 Администраторскиот пристап ги контролира записите за идентитет. Сесијата на корисникот претставува завршено најавување. Мобилната апликација добива токени прифатени од нејзините услуги. Нарекувањето на сето тоа магичен токен ги губи границите што го овозможија пристапот еквивалентен на сопственикот. Кари опишува директориуми за идентитет на два неименувани производители на автомобили во повеќе региони. Тој го ограничува комплетното тестирање на возилата на американски сметки и возила. Шах опишува еден производител на автомобили со два австралиски бренда,

3:09 потоа тврди поширок комбиниран дострел. Тие различни опфати не ни даваат основа за идентификување на компаниите. Hacker News расправа дали треба да постои отклучување на телефонот. Еден одговор укажува на проверка на заборавен заклучување и ладење или загревање на автомобилот. Луѓето сакаат корисни функции. Давањето погодност на клиентите, исто така, ѝ дава на услугата скапа работа. Таа мора да го заработи својот авторитет.

Што всушност опфати санацијата?

3:29 Кари известува дека и двата производители на автомобили ја поправиле ранливоста околу два часа по примањето и ги ротирале засегнатите акредитиви. Тоа е временската рамка на американскиот придружник. Јулската сметка на Шах не дава соодветна временска рамка за отстранување на проблемот. Неговата сметка го остава тековниот статус на отстранување на проблемот во Австралија неодреден. Не можеме да го претвориме двочасовниот одговор во глобален часовник за поправка. За развивачите, започнете со административната површина. Инвентаризирајте што е изложено и кој систем за автентикација го штити.

3:55 Отстранете ги неискористените алатки за развој. Заштитете ги алатките што ги задржувате. Прегледајте го толкувањето на барањето на секој слој пред да го третирате правилото на работ како последен збор за пристап. Шах вели дека австралискиот ланец конечно проработел околу полноќ, отворајќи автомобил што им било дозволено да го тестираат. Идентитетско поврзување со задоволителен крај. Написот го заработува својот заклучок со проверка на другиот крај.

4:14 Довербата на позадината е само половина од разговорот. Американската сметка на Кари вели дека можностите зависат од моделот на возилото, претплата и активни поврзани услуги. Поддржаните команди вклучуваат отклучување врата и далечинско стартување на моторот. Ниту еден од написите не утврдува оддалечување со возење или деактивирање на имобилизатор. Доказите опфаќаат одредени можности на апликациите и дозволени физички демонстрации. Прашајте која услуга може да ги промени фактите на кои се потпира вашето овластување. Ресетирањето лозинки и промените на контактите се важни бидејќи другите системи ги користат

4:41 како вистина. Важечкото најавување може да се заснова на препишан идентитет. Оваа автомобилска приказна станува приказна за вашата апликација таму.

Што докажа дека автомобилот навистина послушал?

4:48 Конечната проверка се случи покрај автомобилот. Кари вели дека само прифатена API команда не докажала ништо за однесувањето на автомобилот. Тие го освежиле неговиот статус и го потврдиле физичкиот резултат со сопственикот кој стоел покрај него. Шах го отклучи и стартуваше возилото, потоа го запре и повторно го заклучи. Доказот стигна до приодот. Ако повеќе сакате да го прочитате ова отколку да ме слушнете како го кажувам, разликата слетува во вашето сандаче секое утро, бесплатно на the daily diff dot dev, линк подолу.

Која граница треба да се прегледа?

5:10 Значи, денешната пресуда, NEEDS REVIEW. Би ги проверил административните патеки до идентитетот на клиентот пред да им верувам со физички контроли. Пријавената поправка во САД заслужува признание. Кој може да го редефинира сопственикот во кого верува секоја следна услуга? И тоа е разликата за денес. Јас сум Нико од Axrisi. Спојувајте одговорно.

Извори

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip