Bezpečnosť identity prepojených automobilov: oprávnenie vlastníka a fyzický dôkaz

Čo toto video pokrýva

• Administratívna kontrola dôveryhodnej identity zákazníka môže ovplyvniť oprávnenie vozidla udelené následnými aplikačnými službami.
• Curry obmedzuje kompletné testovanie reťazca vozidiel na americké účty a vozidlá; dosah regionálneho adresára a širší kombinovaný nárok Shaha majú rozdielne rozsahy.
• Približne dvojhodinová odozva patrí k časovej osi zverejnenia US companion. Austrálska správa neuvádza zodpovedajúci dátum nápravy.
• Podporované príkazy závisia od modelu, predplatného a aktívnych pripojených služieb. Nebolo zistené prekonanie jazdy alebo imobilizéra.
• Výskumníci aktualizovali stav vozidla a potvrdili fyzické účinky s majiteľom vedľa vozidla.
• Verziovaný produkčný sprievodca PingIDM odporúča odstrániť alebo chrániť vývojové nástroje a identifikuje samostatný autentifikačný systém konzoly.

Preložený prepis

Preložené z pôvodného anglického rozprávania. Dostupný zvuk a titulky sú kontrolované službou YouTube.

Ako sa z prihlásenia stal kľúč od auta?

0:00 Aplikácia vášho auta skontroluje, či ste majiteľom. Výskumníci namiesto toho prinútili jej identitný server, aby sa za nich zaručil. V tomto videu, ako sa z prihlásenia stalo oprávnenie vozidla? A čo dokázalo, že auto skutočne poslúchalo? Je pondelok, deviaty november, a toto je The Daily Diff. Jedna posledná kontrola oddeľuje presvedčivú obrazovku od odomknutého auta. Služby prepojených automobilov sú online systémy za aplikáciou telefónu majiteľa. Shubham Shah a Sam Curry uvádzajú, že administratívny prístup k identite im umožnil

0:25 získať rovnaké oprávnenie aplikácie ako majiteľ. Predviedli diaľkové príkazy na vozidlách s povolením. Ich americký účet hovorí, že chyby boli opravené po zverejnení.

Čo je novo zverejnené a čo už bolo opravené?

0:33 Oba články sa objavili siedmeho novembra. Curry datuje svoje zverejnenie na začiatok tohto roka. Shah opisuje austrálsky výskum začínajúci v júli. Sú to rozdielne časové osi. Čítať ich ako jednu celosvetovú núdzovú situáciu by dalo titulku viac konských síl ako dôkazom. Shah kúpil jeden z SUV nemenovaného výrobcu automobilov v roku 2023. Ktorá internetová služba dostane klepnutie, keď odomknem svoje auto?

0:53 On a Curry strávili dva týždne skúmaním identitného systému. Kľúč od auta získal tím backendu. Aplikácia vás prihlási a načíta vašu garáž.

Ktorá identita dôveruje služba vozidla?

1:01 Prepojená služba spája tento účet s vozidlami a povolenými príkazmi. Tento vzťah je užitočná odpoveď. Kto kontroluje dôveryhodnú identitu zákazníka, môže zdediť schopnosti určené pre zákazníka. V Austrálii verejný nástroj na správu odhalil informácie o zákazníkoch prostredníctvom rozhraní chránených kľúčmi dodávanými v prehliadačovom JavaScripte. Ambiciózna definícia tajomstva. Shah tiež našiel prihlasovacie údaje administrátora identity v balíku dodávateľa,

1:24 a uviedol, že fungovali v produkcii. Perimeter zablokoval citlivé trasy. Ale softvérové vrstvy interpretovali tú istú požiadavku odlišne. Curry hovorí, že okraj považoval cestu za statický obsah, zatiaľ čo backend dosiahol administrátorskú konzolu. Vítací rohož a zamknuté dvere konzultovali rozdielne mapy.

Prečo bola dôležitá vývojová konzola?

1:41 Táto konzola stále prijímala predvolené prihlasovacie údaje administrátora, podľa Curryho. Produkčný sprievodca už hovorí operátorom, aby ho odstránili alebo chránili, a hovorí, že jeho autentifikácia je oddelená od autentifikácie identitného produktu. Ďalšie prihlásenie skrývajúce sa medzi bodmi kontrolného zoznamu. Exponovaný administratívny nástroj umožnil spustenie kódu vo vnútri identitnej služby. Výskumníci pristupovali k záznamom zákazníkov za verejnou filtračnou hranicou. Perimeterový filter kontroluje prevádzku prechádzajúcu týmto perimetrom.

2:06 Proces, ktorý je už vo vnútri služby, má iný vzťah k údajom. To vysvetľuje problém s viacfaktorovou autentifikáciou v americkom účte. Identitné záznamy poskytli prihlasovacie údaje a cieľ pre overovací kód e-mailu. Administratívna kontrola nad týmito záznamami umožnila výskumníkom dokončiť prihlásenie. Definícia zákazníka upstream sa už zmenila. Shah opisuje samostatnú austrálsku chybnú konfiguráciu autentifikácie, ktorá umožnila jeho reťazcu preskočiť dodatočný faktor.

2:31 Nazvať viacfaktorovú autentifikáciu všade chybnou by vymazalo detaily konfigurácie, ktoré vývojári potrebujú. Uchovajte si svoj dodatočný faktor. Udržujte systém definujúci jeho vlastníka tiež dôveryhodným. Prihlasovacie údaje majú rôzne úlohy.

Kedy sa relácia stane oprávnením aplikácie?

2:43 Administrátorský prístup kontroluje identitné záznamy. Zákaznícka relácia predstavuje dokončené prihlásenie. Mobilná aplikácia získava tokeny akceptované jej službami. Nazvať všetky tieto magické tokeny stráca hranice, ktoré umožnili prístup ekvivalentný vlastníkovi. Curry opisuje identitné adresáre dvoch nemenovaných výrobcov automobilov v rôznych regiónoch. Kompletné testovanie vozidiel obmedzuje na americké účty a vozidlá. Shah opisuje jedného výrobcu automobilov prostredníctvom dvoch austrálskych značiek,

3:09 potom tvrdí širší kombinovaný dosah. Tieto rozdielne rozsahy nám nedávajú základ na identifikáciu spoločností. Hacker News sa háda o tom, či by malo existovať odomykanie telefónom. Jedna odpoveď poukazuje na kontrolu zabudnutého zámku a ochladzovanie alebo vyhrievanie auta. Ľudia majú radi užitočné funkcie. Poskytovanie pohodlia zákazníkom dáva službe aj drahú úlohu. Musí si zaslúžiť svoju autoritu.

Čo vlastne pokrývala náprava?

3:29 Curry uvádza, že obaja výrobcovia automobilov opravili zraniteľnosť približne dve hodiny po jej prijatí a otočili postihnuté prihlasovacie údaje. To je časová os US companion. Júlový účet Shaha neposkytuje zodpovedajúcu časovú os nápravy. Jeho účet ponecháva aktuálny stav nápravy v Austrálii nešpecifikovaný. Nemôžeme zmeniť dvojhodinovú odozvu na globálne stopky opravy. Pre vývojárov, začnite s administratívnym povrchom. Inventarizujte, čo je vystavené a ktorý autentifikačný systém to chráni.

3:55 Odstráňte nepoužívané vývojové nástroje. Chráňte nástroje, ktoré si ponecháte. Preskúmajte interpretáciu požiadavky každej vrstvy predtým, ako budete považovať okrajové pravidlo za posledné slovo o prístupe. Shah hovorí, že austrálsky reťazec nakoniec fungoval okolo polnoci, otvárajúc auto, ktoré smeli testovať. Identitné potrubie so uspokojivým koncom. Článok si zaslúži svoj záver kontrolou druhého konca.

4:14 Dôvera backendu je len polovicou rozhovoru. Curryho americký účet hovorí, že schopnosti závisia od modelu vozidla, predplatného a aktívnych pripojených služieb. Podporované príkazy zahŕňajú odomknutie dverí a diaľkové spustenie motora. Žiadny článok nezistil odjazd autom alebo prekonanie imobilizéra. Dôkazy pokrývajú konkrétne možnosti aplikácií a povolené fyzické demonštrácie. Opýtajte sa, ktorá služba môže zmeniť fakty, na ktorých závisí vaša autorizácia. Resetovanie hesiel a zmeny kontaktov sú dôležité, pretože iné systémy ich spotrebúvajú

4:41 ako pravdu. Platné prihlásenie môže spočívať na prepísanej identite. Tento príbeh o aute sa tam stáva príbehom vašej aplikácie.

Čo dokázalo, že auto skutočne poslúchalo?

4:48 Posledná kontrola prebehla vedľa auta. Curry hovorí, že samotný prijatý príkaz API nič nedokázal o správaní auta. Aktualizovali jeho stav a potvrdili fyzický výsledok s majiteľom stojacim vedľa neho. Shah odomkol a naštartoval vozidlo, potom ho zastavil a znova zamkol. Dôkaz dosiahol príjazdovú cestu. Ak by ste to radšej čítali, ako počuli, diff vám pristane v schránke každé ráno, zadarmo na the daily diff dot dev, odkaz nižšie.

Ktorá hranica potrebuje preskúmanie?

5:10 Takže, dnešný verdikt, NEEDS REVIEW. Audítoval by som administratívne cesty do identity zákazníka predtým, ako by som jej dôveroval s fyzickými kontrolami. Nahlásená oprava v USA si zaslúži uznanie. Kto môže predefinovať vlastníka, v ktorého verí každá následná služba? A to je dnešný rozdiel. Som Niko z Axrisi. Zlučujte zodpovedne.

Zdroje

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip