Securitatea identității mașinilor conectate: autoritatea proprietarului și dovada fizică

Ce acoperă acest videoclip

• Controlul administrativ al identității de încredere a clienților poate afecta autoritatea vehiculului acordată de serviciile de aplicații din aval.
• Curry limitează testarea completă a lanțului vehiculului la conturile și vehiculele din SUA; acoperirea directorului regional și afirmația combinată mai amplă a lui Shah au domenii de aplicare diferite.
• Răspunsul de aproximativ două ore aparține cronologiei de divulgare a însoțitorului din SUA. Contul australian nu oferă o dată de remediere corespunzătoare.
• Comenzile acceptate depind de model, abonament și serviciile conectate active. Nu a fost stabilită conducerea sau dezactivarea imobilizatorului.
• Cercetătorii au actualizat starea vehiculului și au confirmat efectele fizice cu proprietarul lângă vehicul.
• Ghidul de producție versionat al PingIDM recomandă eliminarea sau protejarea instrumentelor de dezvoltare și identifică un sistem separat de autentificare a consolei.

Transcrierea tradusă

Tradus din narațiunea originală în engleză. Audio-ul și subtitrările disponibile sunt controlate de YouTube.

Cum a devenit o autentificare o cheie de mașină?

0:00 Aplicația mașinii tale verifică dacă ești proprietarul. Cercetătorii au făcut ca serverul său de identitate să garanteze pentru ei în schimb. În acest videoclip, cum a devenit autentificarea autoritate de vehicul? Și ce a dovedit că o mașină a ascultat de fapt? Este luni, nouă noiembrie, și acesta este The Daily Diff. O ultimă verificare separă un ecran convingător de o mașină deblocată. Serviciile auto conectate sunt sistemele online din spatele aplicației de telefon a unui proprietar. Shubham Shah și Sam Curry raportează că accesul administrativ la identitate le-a permis

0:25 să obțină aceeași autoritate de aplicație ca un proprietar. Au demonstrat comenzi la distanță pe vehiculele permise. Contul lor din SUA spune că erorile au fost remediate după divulgare.

Ce este nou publicat și ce a fost deja remediat?

0:33 Ambele articole au apărut pe șapte noiembrie. Curry își datează divulgarea la începutul acestui an. Shah descrie cercetările australiene care au început în iulie. Acestea sunt cronologii diferite. A le citi ca o singură urgență mondială ar da titlului mai multă putere decât dovezile. Shah a cumpărat unul dintre SUV-urile producătorului auto nenumit în două mii douăzeci și trei. Ce serviciu de internet primește apăsarea când deblochez mașina?

0:53 El și Curry au petrecut două săptămâni examinând sistemul de identitate. Telecomanda cheie a dobândit o echipă de backend. Aplicația te autentifică și îți încarcă garajul.

În ce identitate are încredere serviciul vehiculului?

1:01 Serviciul conectat asociază acel cont cu vehicule și cu comenzi permise. Această relație este răspunsul util. Oricine controlează identitatea de încredere a clientului poate moșteni capacități destinate clientului. În Australia, un instrument de gestionare public a expus informații despre clienți prin interfețe protejate de chei livrate în JavaScript-ul browserului. Definiție ambițioasă a secretului. Shah a găsit, de asemenea, credențiale de administrator de identitate într-un pachet de la furnizor,

1:24 și a raportat că au funcționat în producție. Perimetrul a blocat rutele sensibile. Dar straturile software au interpretat aceeași solicitare diferit. Curry spune că marginea a tratat o cale ca conținut static, în timp ce backend-ul a ajuns la o consolă de administrare. Covorașul de bun venit și ușa încuiată consultau hărți diferite.

De ce a contat o consolă de dezvoltare?

1:41 Această consolă a acceptat în continuare credențialele de administrator implicite, potrivit lui Curry. Ghidul de producție le spune deja operatorilor să îl elimine sau să îl protejeze, și spune că autentificarea sa este separată de autentificarea produsului de identitate. O altă autentificare ascunsă între punctele de pe lista de verificare. Instrumentele de administrare expuse au permis rularea codului în cadrul serviciului de identitate. Cercetătorii au accesat înregistrări ale clienților dincolo de limita de filtrare publică. Un filtru de perimetru verifică traficul care traversează acel perimetru.

2:06 Un proces aflat deja în interiorul serviciului are o relație diferită cu datele. Acest lucru explică problema multi-factor din contul din SUA. Înregistrările de identitate au furnizat informațiile de autentificare și destinația pentru un cod de verificare prin e-mail. Controlul administrativ asupra acestor înregistrări le-a permis cercetătorilor să finalizeze autentificarea. Definiția în amonte a clientului se schimbase deja. Shah descrie o configurație greșită separată de autentificare australiană care a permis lanțului său să omită factorul suplimentar.

2:31 A numi autentificarea multi-factor spartă peste tot ar șterge detaliile de configurare de care au nevoie dezvoltatorii. Păstrează-ți factorul suplimentar. Păstrează sistemul care definește proprietarul de încredere, de asemenea. Credențialele au sarcini diferite.

Când devine o sesiune autoritate de aplicație?

2:43 Accesul de administrator controlează înregistrările de identitate. O sesiune de client reprezintă o autentificare finalizată. Aplicația mobilă obține token-uri acceptate de serviciile sale. A numi toate acestea un token magic pierde limitele care au făcut posibil accesul echivalent cu cel al proprietarului. Curry descrie directoarele de identitate a doi producători auto nenumiti din mai multe regiuni. El limitează testarea completă a vehiculelor la conturile și vehiculele din SUA. Shah descrie un producător auto pe două mărci australiene,

3:09 apoi revendică o acoperire combinată mai amplă. Aceste domenii de aplicare diferite nu ne oferă nicio bază pentru a identifica companiile. Hacker News argumentează dacă deblocarea telefonului ar trebui să existe. Un răspuns indică verificarea unei încuietori uitate și răcirea sau încălzirea mașinii. Oamenilor le plac funcțiile utile. Oferirea de comoditate clienților oferă, de asemenea, serviciului o sarcină costisitoare. Trebuie să-și câștige autoritatea.

Ce a acoperit de fapt remedierea?

3:29 Curry raportează că ambii producători auto au remediat vulnerabilitatea la aproximativ două ore după ce au primit-o și au rotit credențialele afectate. Aceasta este cronologia însoțitorului din SUA. Contul lui Shah din iulie nu oferă o cronologie de remediere corespunzătoare. Contul său lasă nespecificat starea actuală de remediere a Australiei. Nu putem transforma răspunsul de două ore într-un cronometru global de reparații. Pentru dezvoltatori, începeți cu suprafața de administrare. Inventariați ce este expus și ce sistem de autentificare îl protejează.

3:55 Eliminați instrumentele de dezvoltare neutilizate. Protejați instrumentele pe care le păstrați. Revizuiți interpretarea solicitării fiecărui strat înainte de a trata o regulă de margine ca ultimul cuvânt privind accesul. Shah spune că lanțul australian a funcționat în cele din urmă în jurul miezului nopții, deschizând o mașină pe care aveau voie să o testeze. Instalații de identitate cu un final satisfăcător. Un articol își câștigă concluzia verificând celălalt capăt.

4:14 Încrederea backend-ului este doar jumătate din conversație. Contul lui Curry din SUA spune că capacitățile depind de modelul vehiculului, abonament și serviciile conectate active. Comenzile acceptate includ deblocarea ușilor și pornirea motorului de la distanță. Niciunul dintre articole nu stabilește plecarea cu mașina sau dezactivarea unui imobilizator. Dovezile acoperă anumite capabilități ale aplicației și demonstrații fizice permise. Întrebați ce serviciu poate schimba faptele pe care se bazează autorizarea dumneavoastră. Resetările de parolă și modificările de contact contează deoarece alte sisteme le consumă

4:41 ca adevăr. O autentificare validă se poate baza pe o identitate rescrisă. Această poveste a mașinii devine povestea aplicației tale acolo.

Ce a dovedit că mașina a ascultat de fapt?

4:48 Verificarea finală a avut loc lângă mașină. Curry spune că o comandă API acceptată singură nu a dovedit nimic despre comportamentul mașinii. Au actualizat starea acesteia și au confirmat rezultatul fizic cu proprietarul stând lângă ea. Shah a deblocat și a pornit vehiculul, apoi l-a oprit și l-a blocat din nou. Dovada a ajuns pe alee. Dacă preferați să citiți acest lucru decât să mă auziți spunându-l, diff-ul ajunge în căsuța dvs. de e-mail în fiecare dimineață, gratuit la thedailydiff.dev, link mai jos.

Ce limită necesită revizuire?

5:10 Deci, verdictul de astăzi, NEEDS REVIEW. Aș audita căile administrative către identitatea clienților înainte de a le încredința controale fizice. Corecția raportată în SUA merită credit. Cine poate redefini proprietarul în care crede fiecare serviciu din aval? Și asta e diferența pentru astăzi. Sunt Niko de la Axrisi. Fuzionați responsabil.

Surse

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip