Keselamatan identiti kereta terhubung: kuasa pemilik dan bukti fizikal

Apa yang diliputi video ini

• Kawalan pentadbiran identiti pelanggan yang dipercayai boleh mempengaruhi kuasa kenderaan yang diberikan oleh perkhidmatan aplikasi hiliran.
• Curry mengehadkan ujian rantaian kenderaan lengkap kepada akaun dan kenderaan AS; jangkauan direktori serantau dan tuntutan gabungan Shah yang lebih luas mempunyai skop yang berbeza.
• Tindakan balas kira-kira dua jam adalah milik garis masa pendedahan laporan sampingan AS. Akaun Australia tidak memberikan tarikh pemulihan yang sepadan.
• Perintah yang disokong bergantung pada model, langganan dan perkhidmatan terhubung yang aktif. Pemanduan atau pemusnahan imobilizer tidak dibuktikan.
• Para penyelidik menyegarkan status kenderaan dan mengesahkan kesan fizikal dengan pemilik di sebelah kenderaan.
• Panduan pengeluaran berversi PingIDM mengesyorkan membuang atau melindungi alat pembangunan dan mengenal pasti sistem pengesahan konsol yang berasingan.

Transkrip terjemahan

Diterjemahkan daripada penceritaan asal Bahasa Inggeris. Audio dan kapsyen yang tersedia dikawal oleh YouTube.

Bagaimana log masuk menjadi kunci kereta?

0:00 Aplikasi kereta anda menyemak sama ada anda pemiliknya. Para penyelidik membuat pelayan identitinya menjamin mereka pula. Dalam video ini, bagaimana log masuk menjadi kuasa kenderaan? Dan apakah yang membuktikan kereta itu sebenarnya patuh? Hari ini Isnin, sembilan November, dan ini The Daily Diff. Satu semakan terakhir memisahkan skrin yang meyakinkan dari kereta yang tidak berkunci. Perkhidmatan kereta terhubung adalah sistem dalam talian di belakang aplikasi telefon pemilik. Shubham Shah dan Sam Curry melaporkan bahawa akses identiti pentadbiran membolehkan mereka

0:25 mendapatkan kuasa aplikasi yang sama seperti pemilik. Mereka menunjukkan arahan jarak jauh pada kenderaan yang dibenarkan. Akaun AS mereka mengatakan kecacatan itu telah diperbaiki selepas pendedahan.

Apakah yang baru diterbitkan, dan apakah yang telah diperbaiki?

0:33 Kedua-dua tulisan itu muncul pada tujuh November. Curry menarikhkan pendedahannya pada awal tahun ini. Shah menerangkan penyelidikan Australia bermula pada bulan Julai. Itu adalah garis masa yang berbeza. Membacanya sebagai satu kecemasan seluruh dunia akan memberikan tajuk utama lebih kuasa kuda daripada bukti. Shah membeli salah satu SUV pengeluar kereta yang tidak dinamakan itu pada tahun dua ribu dua puluh tiga. Perkhidmatan internet mana yang menerima ketukan apabila saya membuka kunci kereta saya?

0:53 Dia dan Curry menghabiskan dua minggu meneliti sistem identiti. Kunci fob telah memperoleh pasukan backend. Aplikasi itu memasukkan anda dan memuatkan garaj anda.

Identiti mana yang dipercayai oleh perkhidmatan kenderaan?

1:01 Perkhidmatan terhubung mengaitkan akaun itu dengan kenderaan dan perintah yang dibenarkan. Hubungan itu adalah jawapan yang berguna. Sesiapa yang mengawal identiti pelanggan yang dipercayai boleh mewarisi keupayaan yang bertujuan untuk pelanggan. Di Australia, alat pengurusan awam mendedahkan maklumat pelanggan melalui antara muka yang dilindungi oleh kunci yang dihantar dalam JavaScript pelayar. Definisi rahsia yang bercita-cita tinggi. Shah juga menemui kelayakan pentadbir identiti dalam satu bundel vendor,

1:24 dan melaporkan bahawa ia berfungsi dalam pengeluaran. Perimeter menyekat laluan sensitif. Tetapi lapisan perisian mentafsir permintaan yang sama secara berbeza. Curry mengatakan tepi itu melayan laluan sebagai kandungan statik manakala backend mencapai konsol pentadbiran. Tikar alu-aluan dan pintu berkunci merujuk peta yang berbeza.

Mengapa konsol pembangunan penting?

1:41 Konsol itu masih menerima kelayakan pentadbir lalai, menurut Curry. Panduan pengeluaran sudah memberitahu pengendali untuk membuang atau melindunginya, dan mengatakan pengesahannya berasingan dari pengesahan produk identiti. Satu lagi log masuk tersembunyi di antara mata-mata senarai semak. Alat pentadbiran yang terdedah membenarkan kod berjalan di dalam perkhidmatan identiti. Para penyelidik mengakses rekod pelanggan di sebalik sempadan penapisan awam. Penapis perimeter menyemak trafik yang melintasi perimeter itu.

2:06 Proses yang sudah berada di dalam perkhidmatan mempunyai hubungan yang berbeza dengan data. Ini menerangkan masalah multi-faktor dalam akaun AS. Rekod identiti membekalkan maklumat log masuk dan destinasi untuk kod pengesahan e-mel. Kawalan pentadbiran ke atas rekod itu membolehkan para penyelidik melengkapkan log masuk. Definisi hulu pelanggan telah berubah. Shah menerangkan salah konfigurasi pengesahan Australia yang berasingan yang membolehkan rantainya melangkau faktor tambahan.

2:31 Mengatakan pengesahan multi-faktor rosak di mana-mana akan menghapuskan butiran konfigurasi yang diperlukan oleh pembangun. Kekalkan faktor tambahan anda. Pastikan sistem yang menentukan pemiliknya juga boleh dipercayai. Kelayakan mempunyai tugas yang berbeza.

Bilakah sesi menjadi kuasa aplikasi?

2:43 Akses pentadbir mengawal rekod identiti. Sesi pelanggan mewakili daftar masuk yang lengkap. Aplikasi mudah alih mendapatkan token yang diterima oleh perkhidmatannya. Mengatakan semua itu token ajaib menghilangkan batasan yang membuat akses setara pemilik mungkin. Curry menerangkan direktori identiti dua pengeluar kereta yang tidak dinamakan di beberapa rantau. Dia mengehadkan ujian kenderaan lengkap kepada akaun dan kenderaan AS. Shah menerangkan satu pengeluar kereta di dua jenama Australia,

3:09 kemudian menuntut jangkauan gabungan yang lebih luas. Skop yang berbeza itu tidak memberi kita asas untuk mengenal pasti syarikat-syarikat itu. Hacker News berdebat sama ada membuka kunci telefon harus wujud. Satu balasan menunjukkan memeriksa kunci yang terlupa dan menyejukkan atau memanaskan kereta. Orang suka ciri yang berguna. Memberi kemudahan kepada pelanggan juga memberi perkhidmatan tugas yang mahal. Ia perlu mendapatkan kuasanya.

Apakah yang sebenarnya dilindungi oleh pemulihan?

3:29 Curry melaporkan kedua-dua pengeluar kereta membaiki kelemahan itu kira-kira dua jam selepas menerimanya dan memutar kelayakan yang terjejas. Itu adalah garis masa laporan sampingan AS. Akaun Shah pada bulan Julai tidak membekalkan garis masa pemulihan yang sepadan. Akaunnya tidak menyatakan status pemulihan semasa Australia. Kita tidak boleh mengubah tindak balas dua jam menjadi jam randik pembaikan global. Untuk pembangun, mulakan dengan permukaan pentadbiran. Inventori apa yang terdedah dan sistem pengesahan mana yang melindunginya.

3:55 Buang alat pembangunan yang tidak digunakan. Lindungi alat yang anda simpan. Semak tafsiran permintaan setiap lapisan sebelum melayan peraturan tepi sebagai kata akhir mengenai akses. Shah mengatakan rantaian Australia akhirnya berfungsi sekitar tengah malam, membuka kereta yang mereka dibenarkan untuk menguji. Plumbum identiti dengan penamat yang memuaskan. Tulisan itu mendapatkan kesimpulannya dengan memeriksa hujung yang lain.

4:14 Keyakinan backend hanyalah separuh perbualan. Akaun AS Curry mengatakan keupayaan bergantung pada model kenderaan, langganan, dan perkhidmatan terhubung yang aktif. Perintah yang disokong termasuk membuka kunci pintu dan menghidupkan enjin jarak jauh. Kedua-dua tulisan itu tidak membuktikan memandu pergi atau memusnahkan imobilizer. Bukti itu meliputi keupayaan aplikasi tertentu dan demonstrasi fizikal yang dibenarkan. Tanya perkhidmatan mana yang boleh mengubah fakta yang diandalkan oleh kebenaran anda. Penetapan semula kata laluan dan perubahan hubungan penting kerana sistem lain

4:41 menggunakannya sebagai kebenaran. Log masuk yang sah boleh berdasarkan identiti yang ditulis semula. Kisah kereta ini menjadi kisah aplikasi anda di sana.

Apakah yang membuktikan kereta itu sebenarnya patuh?

4:48 Semakan terakhir berlaku di sebelah kereta. Curry mengatakan arahan API yang diterima sendiri tidak membuktikan apa-apa tentang tingkah laku kereta itu. Mereka menyegarkan statusnya dan mengesahkan hasil fizikal dengan pemilik berdiri di sebelahnya. Shah membuka kunci dan menghidupkan kenderaan, kemudian menghentikannya dan menguncinya semula. Bukti itu sampai ke jalan masuk. Jika anda lebih suka membaca ini daripada mendengar saya mengatakannya, diff itu sampai ke peti masuk anda setiap pagi, percuma di the daily diff dot dev, pautan di bawah.

Sempadan mana yang memerlukan semakan?

5:10 Jadi, keputusan hari ini, NEEDS REVIEW. Saya akan mengaudit laluan pentadbiran ke dalam identiti pelanggan yang dipercayai sebelum mempercayainya dengan kawalan fizikal. Pembaikan AS yang dilaporkan patut diberi penghargaan. Siapa yang boleh mentakrifkan semula pemilik yang dipercayai oleh setiap perkhidmatan hiliran? Dan itulah diff untuk hari ini. Saya Niko dari Axrisi. Gabungkan secara bertanggungjawab.

Sumber

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip