जडान गरिएको कारको पहिचान सुरक्षा: मालिकको अधिकार र भौतिक प्रमाण

यो भिडियोले के समेट्छ

• विश्वसनीय ग्राहक पहिचानको प्रशासनिक नियन्त्रणले डाउनस्ट्रीम एप सेवाहरूद्वारा प्रदान गरिएको सवारी साधनको अधिकारलाई असर गर्न सक्छ।
• करीले पूर्ण सवारी साधन-चेन परीक्षणलाई अमेरिकी खाता र सवारी साधनहरूमा सीमित गर्दछ; क्षेत्रीय निर्देशिकाको पहुँच र शाहको फराकिलो संयुक्त दाबीको दायरा फरक-फरक छन्।
• लगभग दुई घण्टाको प्रतिक्रिया अमेरिकी प्रतिवेदनको खुलासा समयरेखामा पर्छ। अस्ट्रेलियाली खाताले कुनै मिल्दो समाधान मिति दिँदैन।
• समर्थित आदेशहरू मोडेल, सदस्यता र सक्रिय जडान गरिएका सेवाहरूमा निर्भर गर्दछ। ड्राइभिङ वा इमोबिलाइजरलाई परास्त गरिएको स्थापित थिएन।
• अनुसन्धानकर्ताहरूले सवारी साधनको स्थिति ताजा गरे र सवारी साधनको छेउमा मालिकसँग भौतिक प्रभावहरू पुष्टि गरे।
• PingIDM को संस्करणबद्ध उत्पादन गाइडले विकास उपकरणहरू हटाउन वा सुरक्षित गर्न सिफारिस गर्दछ र छुट्टै कन्सोल प्रमाणीकरण प्रणाली पहिचान गर्दछ।

अनुवादित ट्रान्सक्रिप्ट

मूल अंग्रेजी कथाबाट अनुवादित। उपलब्ध अडियो र क्याप्सनहरू YouTube द्वारा नियन्त्रित हुन्छन्।

लगइन कसरी कारको चाबी बन्यो?

0:00 तपाईंको कारको एपले तपाईं मालिक हुनुहुन्छ भनी जाँच गर्छ। अनुसन्धानकर्ताहरूले यसको पहिचान सर्भरलाई उनीहरूको लागि गवाही दिन लगाए। यस भिडियोमा, लगइन कसरी सवारी साधनको अधिकार बन्यो? र कारले वास्तवमा पालना गरेको के कुराले प्रमाणित गर्यो? आज सोमबार, नोभेम्बर नौ तारिख हो, र यो द डेली डिफ हो। एउटा अन्तिम जाँचले एक विश्वसनीय स्क्रिनलाई अनलक गरिएको कारबाट अलग गर्छ। जडान गरिएका कार सेवाहरू मालिकको फोन एप पछाडिका अनलाइन प्रणालीहरू हुन्। शुभम शाह र साम करीले रिपोर्ट गरे कि प्रशासनिक पहिचान पहुँचले उनीहरूलाई

0:25 मालिकको जस्तै एप अधिकार प्राप्त गर्न दियो। उनीहरूले अनुमति प्राप्त सवारी साधनहरूमा रिमोट आदेशहरू प्रदर्शन गरे। उनीहरूको अमेरिकी खाताले खुलासा पछि त्रुटिहरू ठीक गरिएको बताएको छ।

नयाँ के प्रकाशित भयो, र के पहिले नै ठीक गरिएको थियो?

0:33 दुवै लेख नोभेम्बर सातमा देखा परेका थिए। करीले आफ्नो खुलासालाई यस वर्षको सुरुमा मिति दिएका छन्। शाहले जुलाईमा सुरु भएको अस्ट्रेलियाली अनुसन्धानको वर्णन गर्दछ। ती फरक समयरेखाहरू हुन्। तिनीहरूलाई एक विश्वव्यापी आपत्कालको रूपमा पढ्दा शीर्षकलाई बढी अश्वशक्ति दिनेछ प्रमाण भन्दा। शाहले २०२० मा अज्ञात मोटर वाहन निर्माताको एउटा एसयूभी किनेका थिए। मैले मेरो कार अनलक गर्दा कुन इन्टरनेट सेवाले ट्याप प्राप्त गर्छ?

0:53 उनले र करीले पहिचान प्रणालीको जाँचमा दुई हप्ता बिताए। की फोबले एक ब्याकएन्ड टोली प्राप्त गरेको छ। एपले तपाईंलाई साइन इन गर्छ र तपाईंको ग्यारेज लोड गर्छ।

सवारी साधन सेवाले कुन पहिचानलाई विश्वास गर्छ?

1:01 जडान गरिएको सेवाले त्यो खातालाई सवारी साधन र अनुमति प्राप्त आदेशहरूसँग जोड्दछ। त्यो सम्बन्ध नै उपयोगी उत्तर हो। विश्वसनीय ग्राहक पहिचान नियन्त्रण गर्ने जो कोहीले ग्राहकको लागि अभिप्रेरित क्षमताहरू विरासतमा प्राप्त गर्न सक्छन्। अस्ट्रेलियामा, एक सार्वजनिक व्यवस्थापन उपकरणले ब्राउजर जाभास्क्रिप्टमा पठाइएका कुञ्जीहरूद्वारा सुरक्षित गरिएका इन्टरफेसहरू मार्फत ग्राहक जानकारी उजागर गर्यो। गोप्यको महत्वाकांक्षी परिभाषा। शाहले विक्रेता बन्डलमा पहिचान प्रशासक प्रमाणहरू पनि फेला पारे,

1:24 र तिनीहरू उत्पादनमा काम गरेको रिपोर्ट गरे। परिधिले संवेदनशील मार्गहरूलाई रोक्यो। तर सफ्टवेयर तहहरूले उही अनुरोधलाई फरक-फरक तरिकाले व्याख्या गरे। करी भन्छन् कि किनाराले मार्गलाई स्थिर सामग्रीको रूपमा व्यवहार गर्यो जबकि ब्याकएन्डले एक प्रशासन कन्सोलमा पहुँच गर्यो। स्वागत म्याट र लक गरिएको ढोकाले फरक-फरक नक्साहरू हेरिरहेका थिए।

विकास कन्सोल किन महत्त्वपूर्ण थियो?

1:41 त्यो कन्सोलले अझै पनि पूर्वनिर्धारित प्रशासक प्रमाणहरू स्वीकार गर्यो, करीका अनुसार। उत्पादन गाइडले पहिले नै अपरेटरहरूलाई यसलाई हटाउन वा सुरक्षित गर्न भन्छ, र यसको प्रमाणीकरण पहिचान उत्पादनको प्रमाणीकरणबाट छुट्टै छ भन्छ। चेकलिस्टको बुलेट पोइन्टहरू बीच लुकेको अर्को लगइन। उजागर गरिएको प्रशासन उपकरणले पहिचान सेवा भित्र कोड चलाउन अनुमति दियो। अनुसन्धानकर्ताहरूले सार्वजनिक फिल्टरिङ सीमा पछाडिका ग्राहक रेकर्डहरूमा पहुँच गरे। एक परिधि फिल्टरले त्यो परिधि पार गर्ने ट्राफिक जाँच गर्छ।

2:06 सेवा भित्र पहिले नै रहेको प्रक्रियाको डेटासँग फरक सम्बन्ध हुन्छ। यसले अमेरिकी खातामा बहु-कारक समस्याको व्याख्या गर्छ। पहिचान रेकर्डहरूले इमेल प्रमाणीकरण कोडको लागि लगइन जानकारी र गन्तव्य प्रदान गर्यो। ती रेकर्डहरूमाथिको प्रशासनिक नियन्त्रणले अनुसन्धानकर्ताहरूलाई लगइन पूरा गर्न दियो। ग्राहकको अपस्ट्रीम परिभाषा पहिले नै परिवर्तन भइसकेको थियो। शाहले छुट्टै अस्ट्रेलियाली प्रमाणीकरणको गलत कन्फिगरेसनको वर्णन गर्दछ जसले उनको चेनलाई अतिरिक्त कारक छोड्न दियो।

2:31 बहु-कारक प्रमाणीकरण सबै ठाउँमा टुटेको छ भन्नुले विकासकर्ताहरूलाई आवश्यक पर्ने कन्फिगरेसन विवरणहरू मेटाइदिनेछ। आफ्नो अतिरिक्त कारक राख्नुहोस्। यसको मालिकलाई पनि विश्वसनीय परिभाषित गर्ने प्रणाली राख्नुहोस्। प्रमाणहरूको फरक-फरक कामहरू छन्।

एक सत्र कहिले एप अधिकार बन्छ?

2:43 प्रशासक पहुँचले पहिचान रेकर्डहरू नियन्त्रण गर्छ। एक ग्राहक सत्रले पूरा भएको साइन-इनलाई प्रतिनिधित्व गर्दछ। मोबाइल एपले यसको सेवाहरूद्वारा स्वीकार गरिएका टोकनहरू प्राप्त गर्छ। ती सबैलाई जादुई टोकन भन्नुले मालिक-बराबरको पहुँच सम्भव बनाएका सीमाहरूलाई हराउँछ। करीले धेरै क्षेत्रहरूमा दुई अज्ञात मोटर वाहन निर्माताहरूको पहिचान निर्देशिकाको वर्णन गर्दछन्। उनले पूर्ण सवारी साधन परीक्षणलाई अमेरिकी खाता र सवारी साधनहरूमा सीमित गर्छन्। शाहले दुई अस्ट्रेलियाली ब्रान्डहरूमा एक मोटर वाहन निर्माताको वर्णन गर्दछन्,

3:09 त्यसपछि फराकिलो संयुक्त पहुँचको दाबी गर्छन्। ती फरक-फरक दायराहरूले हामीलाई कम्पनीहरू पहिचान गर्ने कुनै आधार दिँदैनन्। ह्याकर न्यूजले फोन अनलकिङ अवस्थित हुनुपर्छ कि पर्दैन भन्ने बारेमा बहस गर्छ। एक जवाफले बिर्सिएको लक जाँच गर्ने र कारलाई चिसो वा तातो गर्ने कुरालाई औंल्याउँछ। मानिसहरूलाई उपयोगी सुविधाहरू मनपर्छ। ग्राहकहरूलाई सुविधा दिनुले सेवालाई महँगो काम पनि दिन्छ। यसले आफ्नो अधिकार कमाउनुपर्छ।

समाधानले वास्तवमा के कभर गर्यो?

3:29 करीले दुवै मोटर वाहन निर्माताहरूले यसलाई प्राप्त गरेको करिब दुई घण्टा पछि कमजोरीलाई ठीक गरेको र प्रभावित प्रमाणहरू घुमाएको रिपोर्ट गर्छन्। त्यो अमेरिकी प्रतिवेदनको समयरेखा हो। शाहको जुलाईको खाताले कुनै मिल्दो समाधान समयरेखा प्रदान गर्दैन। उनको खाताले अस्ट्रेलियाको हालको समाधानको स्थिति अस्पष्ट छोड्छ। हामी दुई घण्टाको प्रतिक्रियालाई विश्वव्यापी मर्मत स्टपवाचमा परिवर्तन गर्न सक्दैनौं। विकासकर्ताहरूको लागि, प्रशासन सतहबाट सुरु गर्नुहोस्। के उजागर भएको छ र कुन प्रमाणीकरण प्रणालीले यसलाई सुरक्षित गर्छ त्यसको सूची बनाउनुहोस्।

3:55 प्रयोग नगरिएका विकास उपकरणहरू हटाउनुहोस्। तपाईंले राख्ने उपकरणहरूलाई सुरक्षित गर्नुहोस्। पहुँचमा अन्तिम शब्दको रूपमा किनारा नियमलाई व्यवहार गर्नु अघि प्रत्येक तहको अनुरोध व्याख्याको समीक्षा गर्नुहोस्। शाह भन्छन् कि अस्ट्रेलियाली चेन अन्ततः मध्यरातमा काम गर्यो, उनीहरूलाई परीक्षण गर्न अनुमति दिइएको कार खोल्दै। सन्तोषजनक अन्त्य भएको पहिचान प्लम्बिङ। एक लेखले अर्को छेउ जाँच गरेर आफ्नो निष्कर्ष कमाउँछ।

4:14 ब्याकएन्डको आत्मविश्वास कुराकानीको आधा मात्र हो। करीको अमेरिकी खाताले क्षमताहरू सवारी साधनको मोडेलमा निर्भर गर्दछ भन्छ, सदस्यता, र सक्रिय जडान गरिएका सेवाहरू। समर्थित आदेशहरूमा ढोका अनलक र रिमोट इन्जिन स्टार्ट समावेश छन्। कुनै पनि लेखले ड्राइभ गरेर टाढा जानु वा इमोबिलाइजरलाई परास्त गर्नु स्थापित गर्दैन। प्रमाणले विशेष एप क्षमताहरू र अनुमति प्राप्त भौतिक प्रदर्शनहरू कभर गर्दछ। कुन सेवाले तपाईंको प्राधिकरणले निर्भर गर्ने तथ्यहरू परिवर्तन गर्न सक्छ भनी सोध्नुहोस्। पासवर्ड रिसेट र सम्पर्क परिवर्तनहरू महत्त्वपूर्ण छन् किनभने अन्य प्रणालीहरूले तिनीहरूलाई

4:41 सत्यको रूपमा प्रयोग गर्छन्। एक मान्य लगइन एक पुन: लेखिएको पहिचानमा आधारित हुन सक्छ। यो कार कथा त्यहाँ तपाईंको अनुप्रयोग कथा बन्छ।

कारले वास्तवमा पालना गरेको के कुराले प्रमाणित गर्यो?

4:48 अन्तिम जाँच कारको छेउमा भयो। करी भन्छन् कि स्वीकृत एपीआई आदेश एक्लैले कारको व्यवहारको बारेमा केही पनि प्रमाणित गर्दैन। उनीहरूले यसको स्थिति ताजा गरे र मालिकलाई छेउमा उभ्याएर भौतिक परिणाम पुष्टि गरे। शाहले सवारी साधन अनलक गरे र स्टार्ट गरे, त्यसपछि यसलाई रोके र फेरि लक गरे। प्रमाण ड्राइभवेमा पुग्यो। यदि तपाईं मलाई यो भन्न सुन्नुको सट्टा यो पढ्न चाहनुहुन्छ भने, डिफ हरेक बिहान तपाईंको इनबक्समा निःशुल्क the daily diff dot dev मा आउँछ, तल लिङ्क छ।

कुन सीमालाई समीक्षा आवश्यक छ?

5:10 त्यसोभए, आजको फैसला, समीक्षा आवश्यक छ। म भौतिक नियन्त्रणहरूको लागि विश्वास गर्नु अघि ग्राहक पहिचानमा प्रशासनिक मार्गहरूको अडिट गर्नेछु। रिपोर्ट गरिएको अमेरिकी समाधानले श्रेय पाउनुपर्छ। प्रत्येक डाउनस्ट्रीम सेवाले विश्वास गर्ने मालिकलाई कसले पुन: परिभाषित गर्न सक्छ? र आजको लागि यो नै डिफ हो। म Axrisi बाट निको हुँ। जिम्मेवारीपूर्वक मर्ज गर्नुहोस्।

स्रोतहरू

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip