Beveiliging van de identiteit van verbonden auto's: eigenaarsbevoegdheid en fysiek bewijs

Wat deze video behandelt

• Administratieve controle over de vertrouwde klantidentiteit kan de voertuigautoriteit beïnvloeden die wordt verleend door downstream app-diensten.
• Curry beperkt complete voertuigketen-tests tot Amerikaanse accounts en voertuigen; de regionale directory-bereik en Shah's bredere gecombineerde claim hebben verschillende toepassingsgebieden.
• De respons van ongeveer twee uur behoort tot de openbaarmakingstijdlijn van de Amerikaanse tegenhanger. De Australische rekening geeft geen overeenkomstige remediëringsdatum.
• Ondersteunde commando's zijn afhankelijk van het model, het abonnement en actieve verbonden diensten. Wegrijden of het uitschakelen van een startonderbreker is niet vastgesteld.
• De onderzoekers hebben de voertuigstatus vernieuwd en fysieke effecten bevestigd met de eigenaar naast het voertuig.
• De geverifieerde productiehandleiding van PingIDM adviseert het verwijderen of beschermen van ontwikkelingstools en identificeert een afzonderlijk console-authenticatiesysteem.

Vertaald transcript

Vertaald vanuit de originele Engelse gesproken tekst. Beschikbare audio en ondertiteling worden beheerd door YouTube.

Hoe werd een login een autosleutel?

0:00 De app van uw auto controleert of u de eigenaar bent. Onderzoekers lieten in plaats daarvan de identiteitsserver voor hen instaan. Hoe werd in deze video een login voertuigautoriteit? En wat bewees dat een auto daadwerkelijk gehoorzaamde? Het is maandag negen november, en dit is The Daily Diff. Eén laatste controle scheidt een overtuigend scherm van een ontgrendelde auto. Connected car services zijn de online systemen achter de telefoon-app van een eigenaar. Shubham Shah en Sam Curry melden dat administratieve identiteitstoegang hen in staat stelde

0:25 dezelfde app-autoriteit te verkrijgen als een eigenaar. Ze demonstreerden op afstand commando's op voertuigen met toestemming. Hun Amerikaanse account zegt dat de gebreken na openbaarmaking zijn verholpen.

Wat is nieuw gepubliceerd en wat was al gerepareerd?

0:33 Beide verslagen verschenen op zeven november. Curry dateert zijn openbaarmaking begin dit jaar. Shah beschrijft Australisch onderzoek dat in juli begon. Dat zijn verschillende tijdlijnen. Als je ze als één wereldwijde noodsituatie leest, zou de kop meer pk's krijgen dan het bewijs. Shah kocht in 2023 een van de SUV's van de ongenoemde autofabrikant. Welke internetdienst ontvangt de tik wanneer ik mijn auto ontgrendel?

0:53 Hij en Curry besteedden twee weken aan het onderzoeken van het identiteitssysteem. De sleutelhanger heeft een backend-team gekregen. De app logt u in en laadt uw garage.

Welke identiteit vertrouwt de voertuigdienst?

1:01 De verbonden dienst associeert dat account met voertuigen en toegestane commando's. Die relatie is het bruikbare antwoord. Wie de vertrouwde klantidentiteit controleert, kan functionaliteiten erven die bedoeld zijn voor de klant. In Australië exposeerde een openbare beheertool klantinformatie via interfaces die werden beschermd door sleutels die in browser-JavaScript werden verzonden. Ambitieuze definitie van geheim. Shah vond ook inloggegevens van identiteitsbeheerders in een leveranciersbundel,

1:24 en meldde dat ze in productie werkten. De perimeter blokkeerde gevoelige routes. Maar softwarelagen interpreteerden hetzelfde verzoek anders. Curry zegt dat de rand een pad behandelde als statische inhoud, terwijl de backend een beheerconsole bereikte. De welkomstmat en de gesloten deur raadpleegden verschillende kaarten.

Waarom was een ontwikkelconsole belangrijk?

1:41 Die console accepteerde nog steeds de standaard inloggegevens van de beheerder, aldus Curry. De productiehandleiding zegt operators al om het te verwijderen of te beschermen, en zegt dat de authenticatie ervan gescheiden is van de authenticatie van het identiteitsproduct. Nog een login die zich tussen de opsommingstekens van de checklist verschuilt. De blootgestelde administratieve tooling stond toe dat code binnen de identiteitsdienst draaide. De onderzoekers kregen toegang tot klantgegevens achter de openbare filtergrens. Een perimeterfilter controleert verkeer dat die perimeter overschrijdt.

2:06 Een proces dat al binnen de dienst is, heeft een andere relatie met de gegevens. Dit verklaart het multi-factor probleem in het Amerikaanse account. Identiteitsgegevens leverden de logininformatie en bestemming voor een e-mailverificatiecode. Administratieve controle over die gegevens stelde de onderzoekers in staat de login te voltooien. De stroomopwaartse definitie van de klant was al veranderd. Shah beschrijft een afzonderlijke Australische authenticatie-misconfiguratie die zijn keten de extra factor liet overslaan. Als je multi-factor authenticatie overal kapot verklaart, wis je de

2:31 configuratiedetails uit die ontwikkelaars nodig hebben. Behoud je extra factor. Houd het systeem dat de eigenaar definieert ook betrouwbaar. De inloggegevens hebben verschillende taken. Administratorrechten controleren identiteitsgegevens.

Wanneer wordt een sessie app-autoriteit?

2:43 Een klantensessie vertegenwoordigt een voltooide aanmelding. De mobiele app verkrijgt tokens die door haar diensten worden geaccepteerd. Als je al die dingen een magisch token noemt, verlies je de grenzen die eigenaars-equivalente toegang mogelijk maakten. Curry beschrijft identiteitsmappen van twee ongenoemde autofabrikanten in meerdere regio's. Hij beperkt volledige voertuigtests tot Amerikaanse accounts en voertuigen. Shah beschrijft één autofabrikant in twee Australische merken, en claimt vervolgens een breder gecombineerd bereik.

3:09 Die verschillende scopes geven ons geen basis om de bedrijven te identificeren. Hacker News discussieert over de vraag of ontgrendeling via de telefoon zou moeten bestaan. Eén reactie wijst op het controleren van een vergeten slot en het koelen of verwarmen van de auto. Mensen houden van handige functies. Klanten gemak bieden, geeft de dienst ook een dure taak. Het moet zijn autoriteit verdienen. Curry meldt dat beide autofabrikanten de kwetsbaarheid ongeveer twee uur na ontvangst hebben opgelost en de getroffen inloggegevens hebben geroteerd.

Wat omvatte de remediëring precies?

3:29 Dat is de tijdlijn van de Amerikaanse tegenhanger. Shah's juli-account levert geen overeenkomstige remediëringstijdlijn. Zijn account laat de huidige Australische remediëringsstatus ongespecificeerd. We kunnen de reactie van twee uur niet omzetten in een wereldwijde reparatie-tijdklok. Voor ontwikkelaars, begin met het administratieve oppervlak. Inventariseer wat er is blootgesteld en welk authenticatiesysteem het beschermt. Verwijder ongebruikte ontwikkelingstools. Bescherm de tools die u behoudt.

3:55 Controleer de aanvraaginterpretatie van elke laag voordat u een randregel beschouwt als het laatste woord over toegang. Shah zegt dat de Australische keten uiteindelijk rond middernacht werkte, en een auto opende die ze mochten testen. Identiteitspijpleiding met een bevredigend einde. Een verslag verdient zijn conclusie door het andere uiteinde te controleren. Het vertrouwen van de backend is slechts de helft van het gesprek. Curry's Amerikaanse account zegt dat de mogelijkheden afhankelijk zijn van het voertuigmodel,

4:14 abonnement en actieve verbonden diensten. Ondersteunde commando's zijn onder meer het ontgrendelen van de deuren en het op afstand starten van de motor. Geen van beide verslagen stelt het wegrijden of het uitschakelen van een startonderbreker vast. Het bewijs omvat specifieke app-mogelijkheden en geautoriseerde fysieke demonstraties. Vraag welke dienst de feiten kan wijzigen waarop uw autorisatie vertrouwt. Wachtwoordresets en contactwijzigingen zijn belangrijk omdat andere systemen ze als waarheid accepteren. Een geldige login kan rusten op een herschreven identiteit. Dit autoverhaal wordt daar uw applicatieverhaal.

4:41 De laatste controle vond plaats naast de auto. Curry zegt dat een geaccepteerd API-commando alleen niets bewees over het gedrag van de auto. Ze vernieuwden de status ervan en bevestigden het fysieke resultaat met de

Wat bewees dat de auto daadwerkelijk gehoorzaamde?

4:48 eigenaar die ernaast stond. Shah ontgrendelde en startte het voertuig, stopte het vervolgens en vergrendelde het opnieuw. Het bewijs bereikte de oprit. Als u dit liever leest dan mij het te horen zeggen, landt de diff elke ochtend gratis in uw inbox op thedailydiff.dev, link hieronder. Dus, het oordeel van vandaag, NEEDS REVIEW. Ik zou administratieve paden naar klantidentiteit controleren voordat ik ze vertrouw met fysieke controles. De gemelde Amerikaanse oplossing verdient erkenning. Wie kan de eigenaar herdefiniëren die elke downstream dienst gelooft?

Welke grens moet worden gecontroleerd?

5:10 En dat is de diff voor vandaag. Ik ben Niko van Axrisi. Voeg verantwoordelijk samen. Ik ben Niko van Axrisi. Voeg verantwoordelijk samen. Ik ben Niko van Axrisi. Voeg verantwoordelijk samen.

Bronnen

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip