Segurança de identidade de carro conectado: autoridade do proprietário e prova física

O que este vídeo aborda

• O controlo administrativo da identidade do cliente de confiança pode afetar a autoridade do veículo concedida pelos serviços de aplicações a jusante.
• Curry limita os testes completos da cadeia de veículos a contas e veículos dos EUA; o alcance do diretório regional e a afirmação combinada mais ampla de Shah têm âmbitos diferentes.
• A resposta de aproximadamente duas horas pertence à linha do tempo de divulgação do relatório complementar dos EUA. O relatório australiano não fornece uma data de remediação correspondente.
• Os comandos suportados dependem do modelo, da subscrição e dos serviços conectados ativos. Não foi estabelecida a condução ou a desativação do imobilizador.
• Os investigadores atualizaram o estado do veículo e confirmaram os efeitos físicos com o proprietário ao lado do veículo.
• O guia de produção versionado do PingIDM recomenda a remoção ou proteção de ferramentas de desenvolvimento e identifica um sistema de autenticação de consola separado.

Transcrição traduzida

Traduzido da narração original em inglês. Áudio e legendas disponíveis são controlados pelo YouTube.

Como um login se tornou uma chave de carro?

0:00 A aplicação do seu carro verifica se você é o proprietário. Os investigadores fizeram com que o servidor de identidade atestasse por eles, em vez disso. Neste vídeo, como o login se tornou autoridade de veículo? E o que provou que um carro realmente obedeceu? É segunda-feira, nove de novembro, e este é o The Daily Diff. Uma verificação final separa um ecrã convincente de um carro destrancado. Os serviços de carro conectado são os sistemas online por trás da aplicação de telefone de um proprietário. Shubham Shah e Sam Curry relatam que o acesso administrativo à identidade lhes permitiu

0:25 obter a mesma autoridade de aplicação que um proprietário. Eles demonstraram comandos remotos em veículos permitidos. A sua conta dos EUA diz que as falhas foram corrigidas após a divulgação.

O que foi recentemente publicado e o que já foi corrigido?

0:33 Ambos os artigos apareceram a sete de novembro. Curry data a sua divulgação para o início deste ano. Shah descreve a pesquisa australiana começando em julho. São linhas do tempo diferentes. Lê-las como uma emergência mundial daria à manchete mais potência do que a evidência. Shah comprou um dos SUVs da montadora não identificada em dois mil e vinte e três. Qual serviço de internet recebe o toque quando destranco o meu carro?

0:53 Ele e Curry passaram duas semanas a examinar o sistema de identidade. O comando à distância adquiriu uma equipa de backend. A aplicação inicia a sua sessão e carrega a sua garagem.

Em que identidade confia o serviço do veículo?

1:01 O serviço conectado associa essa conta a veículos e comandos permitidos. Essa relação é a resposta útil. Quem controla a identidade do cliente de confiança pode herdar capacidades destinadas ao cliente. Na Austrália, uma ferramenta de gestão pública expôs informações de clientes através de interfaces protegidas por chaves enviadas em JavaScript do navegador. Definição ambiciosa de segredo. Shah também encontrou credenciais de administrador de identidade num pacote de fornecedor,

1:24 e relatou que funcionavam em produção. O perímetro bloqueou rotas sensíveis. Mas as camadas de software interpretaram o mesmo pedido de forma diferente. Curry diz que a borda tratou um caminho como conteúdo estático enquanto o backend acedia a uma consola de administração. O tapete de boas-vindas e a porta trancada estavam a consultar mapas diferentes.

Por que uma consola de desenvolvimento era importante?

1:41 Essa consola ainda aceitava credenciais de administrador predefinidas, de acordo com Curry. O guia de produção já diz aos operadores para a removerem ou protegerem, e diz que a sua autenticação é separada da autenticação do produto de identidade. Mais um login escondido entre os pontos da lista de verificação. As ferramentas de administração expostas permitiam que o código fosse executado dentro do serviço de identidade. Os investigadores acederam a registos de clientes por trás do limite de filtragem pública. Um filtro de perímetro verifica o tráfego que atravessa esse perímetro.

2:06 Um processo já dentro do serviço tem uma relação diferente com os dados. Isto explica o problema de múltiplos fatores na conta dos EUA. Os registos de identidade forneceram as informações de login e o destino para um código de verificação por e-mail. O controlo administrativo sobre esses registos permitiu aos investigadores completar o login. A definição a montante do cliente já tinha mudado. Shah descreve uma má configuração de autenticação australiana separada que permitiu à sua cadeia ignorar o fator extra.

2:31 Chamar a autenticação multifator quebrada em todo o lado apagaria os detalhes de configuração de que os programadores precisam. Mantenha o seu fator extra. Mantenha o sistema que define o seu proprietário também fiável. As credenciais têm trabalhos diferentes.

Quando uma sessão se torna autoridade de aplicação?

2:43 O acesso de administrador controla os registos de identidade. Uma sessão de cliente representa um início de sessão concluído. A aplicação móvel obtém tokens aceites pelos seus serviços. Chamar a todos eles um token mágico perde os limites que tornaram o acesso equivalente ao proprietário possível. Curry descreve dois diretórios de identidade de fabricantes de automóveis não identificados em várias regiões. Ele limita os testes completos do veículo a contas e veículos dos EUA. Shah descreve um fabricante de automóveis em duas marcas australianas,

3:09 e depois reivindica um alcance combinado mais amplo. Esses âmbitos diferentes não nos dão base para identificar as empresas. Hacker News discute se o desbloqueio do telefone deve existir. Uma resposta aponta para verificar um cadeado esquecido e arrefecer ou aquecer o carro. As pessoas gostam de funcionalidades úteis. Dar conveniência aos clientes também dá ao serviço um trabalho caro. Tem que ganhar a sua autoridade.

O que a remediação realmente cobriu?

3:29 Curry relata que ambos os fabricantes de automóveis corrigiram a vulnerabilidade cerca de duas horas depois de a receberem e rodaram as credenciais afetadas. Essa é a linha do tempo do relatório complementar dos EUA. A conta de Shah de julho não fornece uma linha do tempo de remediação correspondente. A sua conta deixa o estado atual de remediação da Austrália não especificado. Não podemos transformar a resposta de duas horas num cronómetro de reparação global. Para os programadores, comece com a superfície de administração. Inventarie o que está exposto e qual sistema de autenticação o protege.

3:55 Remova ferramentas de desenvolvimento não utilizadas. Proteja as ferramentas que mantém. Revise a interpretação do pedido de cada camada antes de tratar uma regra de borda como a última palavra sobre o acesso. Shah diz que a cadeia australiana finalmente funcionou por volta da meia-noite, abrindo um carro que eles tinham permissão para testar. Um sistema de identidade com um final satisfatório. Um artigo ganha a sua conclusão verificando a outra extremidade.

4:14 A confiança do backend é apenas metade da conversa. A conta dos EUA de Curry diz que as capacidades dependem do modelo do veículo, assinatura e serviços conectados ativos. Os comandos suportados incluem destrancar portas e ligar o motor remotamente. Nenhum dos artigos estabelece a condução ou a desativação de um imobilizador. A evidência cobre capacidades de aplicações particulares e demonstrações físicas permitidas. Pergunte qual serviço pode alterar os factos em que a sua autorização se baseia. Redefinições de senha e alterações de contacto importam porque outros sistemas as consomem

4:41 como verdade. Um login válido pode basear-se numa identidade reescrita. Esta história do carro torna-se a sua história da aplicação lá.

O que provou que o carro realmente obedeceu?

4:48 A verificação final aconteceu ao lado do carro. Curry diz que um comando API aceite por si só não provou nada sobre o comportamento do carro. Eles atualizaram o seu estado e confirmaram o resultado físico com o proprietário ao lado dele. Shah destrancou e ligou o veículo, depois parou-o e trancou-o novamente. A prova chegou à entrada da garagem. Se preferir ler isto a ouvir-me dizê-lo, o diff chega à sua caixa de entrada todas as manhãs, gratuitamente em thedailydiff.dev, link abaixo.

Qual limite precisa de revisão?

5:10 Então, o veredicto de hoje, NEEDS REVIEW (PRECISA DE REVISÃO). Eu auditava os caminhos administrativos para a identidade do cliente antes de confiar nela com controlo físico. A correção reportada nos EUA merece crédito. Quem pode redefinir o proprietário em que cada serviço a jusante acredita? E esse é o diff de hoje. Sou o Niko da Axrisi. Junte-se responsavelmente.

Fontes

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip