Identitetssikkerhet for "connected car": eierautoritet og fysisk bevis

Hva denne videoen dekker

• Administrativ kontroll over betrodd kundeidentitet kan påvirke kjøretøyautoriteten som gis av nedstrøms apptjenester.
• Curry begrenser fullstendig testing av kjøretøy-kjeden til amerikanske kontoer og kjøretøy; regional katalogrekkevidde og Shahs bredere kombinerte påstand har forskjellige omfang.
• Den omtrent to timer lange responsen tilhører den amerikanske rapportens tidslinje for offentliggjøring. Den australske rapporten oppgir ingen samsvarende utbedringsdato.
• Støttede kommandoer avhenger av modell, abonnement og aktive tilkoblede tjenester. Kjøring eller deaktivering av startsperre ble ikke etablert.
• Forskerne oppdaterte kjøretøyets status og bekreftet fysiske effekter med eieren ved siden av kjøretøyet.
• PingIDMs versjonerte produksjonsguide anbefaler å fjerne eller beskytte utviklingsverktøy og identifiserer et separat konsollautentiseringssystem.

Oversatt transkripsjon

Oversatt fra den originale engelske fortellingen. Tilgjengelig lyd og undertekster kontrolleres av YouTube.

Hvordan ble en innlogging en bilnøkkel?

0:00 Bilens app sjekker at du er eieren. Forskere fikk identitetsserveren til å gå god for dem i stedet. I denne videoen, hvordan ble innlogging kjøretøyautoritet? Og hva beviste at en bil faktisk adlød? Det er mandag 9. november, og dette er The Daily Diff. En siste sjekk skiller en overbevisende skjerm fra en ulåst bil. Tjenester for tilkoblede biler er online-systemene bak en eiers telefonapp. Shubham Shah og Sam Curry rapporterer at administrativ identitetstilgang lot dem

0:25 oppnå samme app-autoritet som en eier. De demonstrerte fjernkommandoer på kjøretøy med tillatelse. Deres amerikanske rapport sier at feilene ble fikset etter offentliggjøring.

Hva er nylig publisert, og hva var allerede fikset?

0:33 Begge rapportene dukket opp 7. november. Curry daterer sin offentliggjøring til tidlig i år. Shah beskriver australsk forskning som startet i juli. Det er forskjellige tidslinjer. Å lese dem som en verdensomspennende nødsituasjon ville gi overskriften mer hestekrefter enn bevisene. Shah kjøpte en av den unavngitte bilprodusentens SUV-er i 2023. Hvilken internettjeneste mottar trykket når jeg låser opp bilen min?

0:53 Han og Curry brukte to uker på å undersøke identitetssystemet. Nøkkelbrikken har fått et backend-team. Appen logger deg på og laster garasjen din.

Hvilken identitet stoler kjøretøytjenesten på?

1:01 Den tilkoblede tjenesten knytter den kontoen til kjøretøy og tillatte kommandoer. Det forholdet er det nyttige svaret. Den som kontrollerer den betrodde kundeidentiteten, kan arve funksjoner ment for kunden. I Australia eksponerte et offentlig administrasjonsverktøy kundeinformasjon gjennom grensesnitt beskyttet av nøkler sendt i nettleser-JavaScript. Ambisøs definisjon av hemmelig. Shah fant også administratorlegitimasjon for identitet i en leverandørbunt,

1:24 og rapporterte at de fungerte i produksjon. Perimeteren blokkerte sensitive ruter. Men programvarelag tolket den samme forespørselen forskjellig. Curry sier at grensen behandlet en sti som statisk innhold mens backenden nådde en administrasjonskonsoll. Velkomstdøren og den låste døren konsulterte forskjellige kart.

Hvorfor spilte en utviklingskonsoll en rolle?

1:41 Den konsollen aksepterte fortsatt standard administratorlegitimasjon, ifølge Curry. Produksjonsguiden forteller allerede operatører å fjerne eller beskytte den, og sier at autentiseringen er atskilt fra identitetsproduktets autentisering. En annen innlogging som skjuler seg mellom sjekklistens punkter. De eksponerte administrasjonsverktøyene tillot kode å kjøre inne i identitetstjenesten. Forskerne fikk tilgang til kunderegistre bak den offentlige filtreringsgrensen. Et perimeterfilter sjekker trafikk som krysser det perimeteret.

2:06 En prosess som allerede er inne i tjenesten, har et annet forhold til dataene. Dette forklarer flerfaktorproblemet i den amerikanske rapporten. Identitetsoppføringer ga innloggingsinformasjon og destinasjon for en e-postbekreftelseskode. Administrativ kontroll over disse oppføringene lot forskerne fullføre innloggingen. Den oppstrøms definisjonen av kunden hadde allerede endret seg. Shah beskriver en egen australsk feilkonfigurering av autentisering som lot hans kjede hoppe over den ekstra faktoren.

2:31 Å kalle flerfaktorautentisering ødelagt overalt ville slette konfigurasjonsdetaljene utviklere trenger. Behold din ekstra faktor. Behold systemet som definerer eieren som pålitelig også. Legitimasjonen har forskjellige jobber.

Når blir en sesjon app-autoritet?

2:43 Administrator tilgang kontrollerer identitetsoppføringer. En kundesesjon representerer en fullført pålogging. Mobilappen henter tokens som aksepteres av tjenestene sine. Å kalle alle disse for et magisk token mister grensene som gjorde eier-ekvivalent tilgang mulig. Curry beskriver identitetskataloger for to unavngitte bilprodusenter på tvers av flere regioner. Han begrenser fullstendig kjøretøytesting til amerikanske kontoer og kjøretøy. Shah beskriver én bilprodusent på tvers av to australske merker,

3:09 og hevder deretter bredere kombinert rekkevidde. Disse forskjellige omfangene gir oss ingen grunnlag for å identifisere selskapene. Hacker News diskuterer om telefonlåsing burde eksistere. Et svar peker på å sjekke en glemt lås og avkjøle eller varme bilen. Folk liker nyttige funksjoner. Å gi kundene bekvemmelighet gir også tjenesten en dyr jobb. Den må fortjene sin autoritet.

Hva dekket utbedringen egentlig?

3:29 Curry rapporterer at begge bilprodusentene fikset sårbarheten omtrent to timer etter å ha mottatt den og roterte berørt legitimasjon. Det er tidslinjen for den amerikanske rapporten. Shahs juli-rapport gir ingen samsvarende utbedringstidslinje. Hans rapport lar Australias nåværende utbedringsstatus være uspesifisert. Vi kan ikke gjøre to-timersresponsen til en global reparasjonsstoppeklokke. For utviklere, start med administrasjonsoverflaten. Kartlegg hva som er eksponert og hvilket autentiseringssystem som beskytter det.

3:55 Fjern ubrukte utviklingsverktøy. Beskytt verktøyene du beholder. Gå gjennom hvert lags forespørseltolkning før du behandler en grense-regel som det siste ordet om tilgang. Shah sier at den australske kjeden til slutt fungerte rundt midnatt, og åpnet en bil de fikk lov til å teste. Identitetsrørleggerarbeid med en tilfredsstillende slutt. En rapport fortjener sin konklusjon ved å sjekke den andre enden.

4:14 Backendens tillit er bare halve samtalen. Currys amerikanske rapport sier at funksjonene avhenger av kjøretøymodellen, abonnement, og aktive tilkoblede tjenester. Støttede kommandoer inkluderer dørlås opp og fjernstart av motor. Ingen av rapportene etablerer å kjøre bort eller deaktivere en startsperre. Bevisene dekker spesifikke app-funksjoner og tillatte fysiske demonstrasjoner. Spør hvilken tjeneste som kan endre faktaene autorisasjonen din er avhengig av. Tilbakestilling av passord og kontaktendringer er viktig fordi andre systemer forbruker

4:41 dem som sannhet. En gyldig innlogging kan hvile på en omskrevet identitet. Denne bilhistorien blir din applikasjonshistorie der.

Hva beviste at bilen faktisk adlød?

4:48 Den siste sjekken skjedde ved siden av bilen. Curry sier at en akseptert API-kommando alene beviste ingenting om bilens oppførsel. De oppdaterte statusen og bekreftet det fysiske resultatet med eieren stående ved siden av den. Shah låste opp og startet kjøretøyet, deretter stoppet han det og låste det igjen. Beviset nådde oppkjørselen. Hvis du heller vil lese dette enn å høre meg si det, lander "diff-en" i innboksen din hver morgen, gratis på the daily diff dot dev, lenke nedenfor.

Hvilken grense trenger gjennomgang?

5:10 Så, dagens dom, NEEDS REVIEW. Jeg ville revidert administrative stier inn i kundeidentitet før jeg stolte på den med fysiske kontroller. Den rapporterte amerikanske rettelsen fortjener anerkjennelse. Hvem kan redefinere eieren som alle nedstrøms tjenester tror på? Og det er "the diff" for i dag. Jeg er Niko fra Axrisi. Slå sammen ansvarlig.

Kilder

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip