कनेक्टेड-कार आयडेंटिटी सुरक्षा: मालकाचे अधिकार आणि भौतिक पुरावा

या व्हिडिओमध्ये काय समाविष्ट आहे

• विश्वासार्ह ग्राहक आयडेंटिटीचे प्रशासकीय नियंत्रण डाउनस्ट्रीम ॲप सेवांद्वारे प्रदान केलेल्या वाहन अधिकारावर परिणाम करू शकते.
• करी यूएस खात्यांपर्यंत आणि वाहनांपर्यंत संपूर्ण वाहन-साखळी चाचणी मर्यादित करतात; प्रादेशिक निर्देशिका पोहोच आणि शाहचा व्यापक एकत्रित दावा यांच्या कक्षा वेगवेगळ्या आहेत.
• सुमारे दोन तासांचा प्रतिसाद यूएस साथीदाराच्या माहितीच्या टाइमलाइनशी संबंधित आहे. ऑस्ट्रेलियन खात्यामध्ये दुरुस्तीची कोणतीही जुळणारी तारीख नाही.
• समर्थित कमांड्स मॉडेल, सबस्क्रिप्शन आणि सक्रिय कनेक्टेड सेवांवर अवलंबून असतात. ड्रायव्हिंग किंवा इममोबिलायझरला निष्क्रिय करणे स्थापित केले गेले नाही.
• संशोधकांनी वाहनाची स्थिती रीफ्रेश केली आणि मालकासोबत वाहनाशेजारी उभे राहून भौतिक परिणामांची पुष्टी केली.
• पिंगआयडीच्या आवृत्त उत्पादन मार्गदर्शक तत्त्वानुसार विकास साधने काढून टाकण्याची किंवा संरक्षित करण्याची शिफारस केली जाते आणि एक स्वतंत्र कन्सोल प्रमाणीकरण प्रणाली ओळखली जाते.

अनुवादित प्रतिलेख

मूळ इंग्रजी निवेदनातून अनुवादित. उपलब्ध ऑडिओ आणि मथळे YouTube द्वारे नियंत्रित आहेत.

लॉगिन कारची चावी कशी बनली?

0:00 तुमच्या कारचे ॲप तुम्ही मालक आहात की नाही हे तपासते. संशोधकांनी त्याऐवजी त्यांच्या आयडेंटिटी सर्व्हरला त्यांच्यासाठी हमी देण्यास लावले. या व्हिडिओमध्ये, लॉगिन वाहन अधिकार कसे बनले? आणि कारने खरोखरच आज्ञा पाळली हे कशाने सिद्ध झाले? आज सोमवार, नऊ नोव्हेंबर, आणि हे आहे The Daily Diff. एक अंतिम तपासणी एक आकर्षक स्क्रीन अनलॉक केलेल्या कारपासून वेगळे करते. कनेक्टेड कार सेवा मालकाच्या फोन ॲपमागील ऑनलाइन सिस्टम आहेत. शुभम शाह आणि सॅम करी यांनी अहवाल दिला की प्रशासकीय आयडेंटिटी ॲक्सेसमुळे त्यांना

0:25 मालकासारखेच ॲप अधिकार मिळाले. त्यांनी परवानगी असलेल्या वाहनांवर रिमोट कमांड्सचे प्रात्यक्षिक केले. त्यांच्या यूएस खात्यानुसार, उघड केल्यानंतर त्रुटी निश्चित करण्यात आल्या.

नवीन काय प्रकाशित झाले आहे आणि आधीच काय निश्चित केले गेले आहे?

0:33 दोन्ही लेख 7 नोव्हेंबर रोजी प्रकाशित झाले. करी त्यांच्या माहितीची तारीख या वर्षाच्या सुरुवातीची सांगतात. शाह जुलैमध्ये सुरू झालेल्या ऑस्ट्रेलियन संशोधनाचे वर्णन करतात. त्या वेगवेगळ्या टाइमलाइन्स आहेत. त्यांना एक जागतिक आपत्कालीन स्थिती म्हणून वाचल्यास मथळ्याला पुराव्यापेक्षा जास्त ताकद मिळेल. शाहने 2023 मध्ये एका अज्ञात ऑटोमेकरची एसयूव्ही खरेदी केली. मी माझी कार अनलॉक करतो तेव्हा कोणती इंटरनेट सेवा टॅप करते?

0:53 त्याने आणि करीने आयडेंटिटी प्रणालीची तपासणी करण्यासाठी दोन आठवडे घालवले. की फोबला बॅकएंड टीम मिळाली आहे. ॲप तुम्हाला साइन इन करते आणि तुमचे गॅरेज लोड करते.

वाहन सेवा कोणत्या आयडेंटिटीवर विश्वास ठेवते?

1:01 कनेक्टेड सेवा ते खाते वाहने आणि परवानगी असलेल्या कमांड्सशी जोडते. हे नाते उपयुक्त उत्तर आहे. जो कोणी विश्वसनीय ग्राहक आयडेंटिटी नियंत्रित करतो तो ग्राहकासाठी उद्दिष्ट असलेल्या क्षमतांचा वारस होऊ शकतो. ऑस्ट्रेलियामध्ये, एका सार्वजनिक व्यवस्थापन साधनामुळे ब्राउझर JavaScript मध्ये पाठवलेल्या कीजद्वारे संरक्षित इंटरफेसद्वारे ग्राहकांची माहिती उघड झाली. गुपिताची महत्त्वाकांक्षी व्याख्या. शाहला एका विक्रेता बंडलमध्ये आयडेंटिटी ॲडमिनिस्ट्रेटर क्रेडेन्शियल्स देखील

1:24 सापडले आणि ते उत्पादनात काम करत असल्याचे त्याने नोंदवले. परिमिटीने संवेदनशील मार्ग अवरोधित केले. परंतु सॉफ्टवेअर स्तरांनी त्याच विनंतीचा अर्थ वेगळ्या पद्धतीने लावला. करी म्हणतात की किनार्याने एका मार्गावर स्थिर सामग्री म्हणून प्रक्रिया केली तर बॅकएंडने एक प्रशासन कन्सोल गाठले. स्वागत मॅट आणि कुलूपबंद दार वेगवेगळ्या नकाशांचा सल्ला घेत होते.

विकास कन्सोल महत्त्वाचा का होता?

1:41 तो कन्सोल अजूनही डीफॉल्ट ॲडमिनिस्ट्रेटर क्रेडेन्शियल्स स्वीकारत होता, करी यांच्या मते. उत्पादन मार्गदर्शिकेत आधीच ऑपरेटरना ते काढून टाकण्यास किंवा संरक्षित करण्यास सांगितले आहे, आणि त्याच्या प्रमाणीकरणाची आयडेंटिटी उत्पादनाच्या प्रमाणीकरणापासून वेगळी असल्याची माहिती दिली आहे. चेकलिस्टच्या बुलेट पॉईंट्समध्ये लपलेले आणखी एक लॉगिन. उघड झालेल्या प्रशासन साधनामुळे आयडेंटिटी सेवेमध्ये कोड चालवता आला. संशोधकांनी सार्वजनिक फिल्टरिंग सीमेमागील ग्राहक रेकॉर्डमध्ये प्रवेश केला. एक परिमिटी फिल्टर त्या परिमिटी ओलांडणाऱ्या ट्रॅफिकची तपासणी करतो.

2:06 सेवेमध्ये आधीपासून असलेल्या प्रक्रियेचा डेटाशी वेगळा संबंध असतो. हे यूएस खात्यातील बहु-घटक समस्या स्पष्ट करते. आयडेंटिटी रेकॉर्ड्सनी लॉगिन माहिती आणि ईमेल पडताळणी कोडसाठी गंतव्यस्थान पुरवले. त्या रेकॉर्ड्सवरील प्रशासकीय नियंत्रणामुळे संशोधकांना लॉगिन पूर्ण करता आले. ग्राहकाची अपस्ट्रीम व्याख्या आधीच बदलली होती. शाह एका स्वतंत्र ऑस्ट्रेलियन प्रमाणीकरण चुकीच्या कॉन्फिगरेशनचे वर्णन करतात ज्यामुळे त्यांच्या साखळीने अतिरिक्त घटक वगळला.

2:31 सर्वत्र बहु-घटक प्रमाणीकरण तुटले आहे असे म्हटल्यास विकसकांना आवश्यक असलेले कॉन्फिगरेशन तपशील मिटवले जातील. तुमचा अतिरिक्त घटक ठेवा. त्याच्या मालकाला विश्वसनीय परिभाषित करणारी प्रणाली देखील ठेवा. क्रेडेन्शियल्सची कामे वेगवेगळी असतात.

एक सत्र ॲप अधिकार कधी बनते?

2:43 ॲडमिनिस्ट्रेटर ॲक्सेस आयडेंटिटी रेकॉर्ड्स नियंत्रित करतो. एक ग्राहक सत्र पूर्ण झालेले साइन-इन दर्शवते. मोबाइल ॲप त्याच्या सेवांद्वारे स्वीकारलेले टोकन प्राप्त करते. या सर्वांना जादूचे टोकन म्हणण्याने मालकासारखा ॲक्सेस शक्य करणाऱ्या सीमा गमावतात. करी अनेक प्रदेशांमधील दोन अज्ञात ऑटोमेकर्सच्या आयडेंटिटी डिरेक्टरीजचे वर्णन करतात. ते यूएस खात्यांपर्यंत आणि वाहनांपर्यंत संपूर्ण वाहन चाचणी मर्यादित करतात. शाह दोन ऑस्ट्रेलियन ब्रँड्समधील एका ऑटोमेकरचे वर्णन करतात,

3:09 नंतर व्यापक एकत्रित पोहोच असल्याचा दावा करतात. या वेगवेगळ्या कक्षांमुळे आपल्याला कंपन्यांना ओळखण्याचा कोणताही आधार मिळत नाही. हॅकर न्यूजमध्ये फोन अनलॉक अस्तित्वात असावे की नाही याबद्दल वाद होतो. एका उत्तरामध्ये विसरलेले लॉक तपासणे आणि कारला थंड किंवा गरम करण्याकडे लक्ष वेधले आहे. लोकांना उपयुक्त वैशिष्ट्ये आवडतात. ग्राहकांना सोयीस्करता दिल्याने सेवेला एक महागडे काम देखील मिळते. त्याला त्याचे अधिकार मिळवावे लागतात.

दुरुस्तीमध्ये प्रत्यक्षात काय समाविष्ट होते?

3:29 करी अहवाल देतात की दोन्ही ऑटोमेकर्सनी भेद्यता मिळाल्यानंतर सुमारे दोन तासांनी ती निश्चित केली आणि प्रभावित क्रेडेन्शियल्स फिरवले. ती यूएस साथीदाराची टाइमलाइन आहे. शाहच्या जुलैच्या खात्यामध्ये जुळणारी दुरुस्ती टाइमलाइन नाही. त्यांचे खाते ऑस्ट्रेलियाची सध्याची दुरुस्ती स्थिती अनिर्दिष्ट सोडते. आम्ही दोन तासांच्या प्रतिसादाला जागतिक दुरुस्ती स्टॉपवॉचमध्ये रूपांतरित करू शकत नाही. विकसकांसाठी, प्रशासन पृष्ठभागापासून सुरुवात करा. काय उघड झाले आहे आणि कोणती प्रमाणीकरण प्रणाली त्याचे संरक्षण करते याची यादी करा.

3:55 न वापरलेली विकास साधने काढून टाका. तुम्ही ठेवलेली साधने संरक्षित करा. एखाद्या किनार्याच्या नियमाला प्रवेशाबद्दल अंतिम शब्द मानण्यापूर्वी प्रत्येक स्तराच्या विनंतीच्या व्याख्याचे पुनरावलोकन करा. शाह म्हणतात की ऑस्ट्रेलियन साखळी अखेर मध्यरात्रीच्या सुमारास काम केली, त्यांनी चाचणी करण्याची परवानगी असलेल्या कारचे दार उघडले. समाधानकारक शेवट असलेले आयडेंटिटी प्लंबिंग. एक लेख दुसऱ्या टोकाला तपासणी करून त्याचे निष्कर्ष मिळवतो.

4:14 बॅकएंडचा आत्मविश्वास हा संभाषणाचा फक्त अर्धा भाग आहे. करीच्या यूएस खात्यानुसार, क्षमता वाहन मॉडेलवर अवलंबून असतात, सबस्क्रिप्शन आणि सक्रिय कनेक्टेड सेवा. समर्थित कमांड्समध्ये दार अनलॉक करणे आणि रिमोट इंजिन स्टार्ट करणे समाविष्ट आहे. कोणत्याही लेखामध्ये गाडी चालवणे किंवा इममोबिलायझरला निष्क्रिय करणे स्थापित केलेले नाही. पुरावा विशिष्ट ॲप क्षमता आणि परवानगी असलेल्या भौतिक प्रात्यक्षिकांचा समावेश करतो. तुमचे प्रमाणीकरण अवलंबून असलेल्या तथ्यांमध्ये कोणती सेवा बदल करू शकते ते विचारा. पासवर्ड रीसेट आणि संपर्क बदल महत्त्वाचे आहेत कारण इतर प्रणाली त्यांना

4:41 सत्य मानतात. एक वैध लॉगिन पुन्हा लिहिलेल्या आयडेंटिटीवर आधारित असू शकते. ही कार कथा तुमची ॲप्लिकेशन कथा तिथे बनते.

कारने खरोखरच आज्ञा पाळली हे कशाने सिद्ध झाले?

4:48 अंतिम तपासणी कारशेजारी झाली. करी म्हणतात की स्वीकारलेल्या API कमांडने कारच्या वर्तनाबद्दल काहीही सिद्ध केले नाही. त्यांनी त्याची स्थिती रीफ्रेश केली आणि मालकासोबत उभे राहून भौतिक परिणामाची पुष्टी केली. शाहने वाहन अनलॉक केले आणि स्टार्ट केले, नंतर ते थांबवले आणि पुन्हा लॉक केले. पुरावा ड्राईव्हवेपर्यंत पोहोचला. तुम्हाला हे ऐकण्याऐवजी वाचायला आवडत असेल तर, 'द डेली डिफ' दररोज सकाळी तुमच्या इनबॉक्समध्ये येते, 'द डेली डिफ डॉट देव' वर विनामूल्य, लिंक खाली आहे.

कोणत्या सीमेचे पुनरावलोकन आवश्यक आहे?

5:10 तर, आजचा निकाल, NEEDS REVIEW. मी भौतिक नियंत्रणांसाठी विश्वसनीय ग्राहक आयडेंटिटीमधील प्रशासकीय मार्गांचे ऑडिट करेन, तर अहवालित यूएस दुरुस्तीला श्रेय देईन. प्रत्येक डाउनस्ट्रीम सेवा कोणाला मालक म्हणून परिभाषित करू शकते? आणि आजसाठी हाच फरक आहे. मी ॲक्स्रिसीमधून निको आहे. जबाबदारीने विलीन करा.

स्रोत

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip