Varnost identitete povezanega avtomobila: pooblastilo lastnika in fizični dokaz

Kaj zajema ta videoposnetek

• Skrbniški nadzor zaupanja vredne identitete stranke lahko vpliva na avtoriteto vozila, ki jo podeljujejo nadaljnje storitve aplikacij.
• Curry omejuje popolno testiranje verige vozil na ameriške račune in vozila; doseg regionalnega imenika in Shahova širša skupna trditev imata različna področja.
• Približno dvourni odziv spada v časovnico razkritja v ameriškem poročilu. Avstralsko poročilo ne navaja ustreznega datuma odprave.
• Podprti ukazi so odvisni od modela, naročnine in aktivnih povezanih storitev. Vožnja ali izklop imobilizatorja nista bila dokazana.
• Raziskovalci so osvežili status vozila in potrdili fizične učinke z lastnikom poleg vozila.
• PingIDM-ov različni proizvodni vodnik priporoča odstranjevanje ali zaščito razvojnih orodij in identificira ločen sistem za avtentikacijo konzole.

Preveden prepis

Prevedeno iz izvirnega angleškega pripovedovanja. Razpoložljivi zvok in podnapisi so nadzorovani s strani YouTuba.

Kako je prijava postala ključ od avtomobila?

0:00 Aplikacija vašega avtomobila preveri, ali ste lastnik. Raziskovalci so namesto tega prepričali njen strežnik identitet, da je jamčil zanje. Kako je v tem videu prijava postala avtoriteta vozila? In kaj je dokazalo, da je avto dejansko ubogal? Ponedeljek, deveti november, in to je The Daily Diff. Zadnja preverba loči prepričljiv zaslon od odklenjenega avtomobila. Storitve povezanih avtomobilov so spletni sistemi za telefonsko aplikacijo lastnika. Shubham Shah in Sam Curry poročata, da jima je skrbniški dostop do identitete omogočil, da sta

0:25 pridobila enako avtoriteto aplikacije kot lastnik. Demonstrirala sta oddaljene ukaze na pooblaščenih vozilih. Njuno poročilo iz ZDA navaja, da so bile napake odpravljene po razkritju.

Kaj je novo objavljeno in kaj je bilo že popravljeno?

0:33 Oba zapisa sta se pojavila sedmega novembra. Curry datira svoje razkritje v začetek letošnjega leta. Shah opisuje avstralsko raziskavo, ki se je začela julija. To so različne časovnice. Branje le-teh kot ene svetovne izredne situacije bi dalo naslovu več moči kot dokazi. Shah je kupil enega od terenskih vozil neimenovanega proizvajalca avtomobilov leta 2023. Katera internetna storitev prejme dotik, ko odklenem avto?

0:53 On in Curry sta dva tedna preučevala sistem identitete. Ključavnica je dobila podporno ekipo. Aplikacija vas prijavi in naloži vašo garažo.

Kateri identiteti zaupa storitev vozila?

1:01 Povezana storitev poveže ta račun z vozili in dovoljenimi ukazi. To razmerje je koristen odgovor. Kdor nadzoruje zaupanja vredno identiteto stranke, lahko podeduje zmožnosti, namenjene stranki. V Avstraliji je javno orodje za upravljanje razkrilo informacije o strankah prek vmesnikov, zaščitenih s ključi, posredovanimi v brskalniku JavaScript. Ambiciozna definicija skrivnosti. Shah je našel tudi poverilnice skrbnika identitete v paketu dobavitelja,

1:24 in poročal, da so delovale v produkciji. Obod je blokiral občutljive poti. Toda programske plasti so isto zahtevo interpretirale različno. Curry pravi, da je rob pot obravnaval kot statično vsebino, medtem ko je zaledni sistem dosegel skrbniško konzolo. Dobrodošli predpražnik in zaklenjena vrata so uporabljala različne zemljevide.

Zakaj je bila razvojna konzola pomembna?

1:41 Ta konzola je še vedno sprejemala privzete skrbniške poverilnice, po Curryjevih besedah. Navodila za produkcijo že naročajo operaterjem, naj jo odstranijo ali zaščitijo, in pravi, da je njena avtentikacija ločena od avtentikacije produkta identitete. Druga prijava, ki se skriva med točkami kontrolnega seznama. Izpostavljeno skrbniško orodje je omogočalo izvajanje kode znotraj storitve identitete. Raziskovalci so dostopali do zapisov strank za javno mejo filtriranja. Filter oboda preveri promet, ki prečka ta obod.

2:06 Proces, ki je že znotraj storitve, ima drugačen odnos do podatkov. To pojasnjuje problem večfaktorske avtentikacije v ameriškem poročilu. Zapisi identitete so zagotovili podatke za prijavo in destinacijo za e-poštno potrditveno kodo. Skrbniški nadzor nad temi zapisi je raziskovalcem omogočil dokončanje prijave. Definicija stranke v zgornjem toku se je že spremenila. Shah opisuje ločeno avstralsko napačno konfiguracijo avtentikacije, ki je njegovi verigi omogočila, da je preskočila dodaten faktor.

2:31 Če bi večfaktorsko avtentikacijo označili za pokvarjeno povsod, bi izbrisali konfiguracijske podrobnosti, ki jih razvijalci potrebujejo. Obdržite svoj dodatni faktor. Ohranjajte tudi sistem, ki definira njegovega lastnika, zaupanja vrednega. Poverilnice imajo različne naloge.

Kdaj seja postane avtoriteta aplikacije?

2:43 Skrbniški dostop nadzoruje zapise identitete. Strankina seja predstavlja dokončano prijavo. Mobilna aplikacija pridobi žetone, ki jih sprejmejo njene storitve. Imenovanje vseh teh za čarobni žeton izgubi meje, ki so omogočile dostop, enakovreden lastniku. Curry opisuje imenike identitet dveh neimenovanih proizvajalcev avtomobilov v več regijah. Popolno testiranje vozil omejuje na ameriške račune in vozila. Shah opisuje enega proizvajalca avtomobilov v dveh avstralskih blagovnih znamkah,

3:09 nato pa trdi o širšem skupnem dosegu. Ta različna področja nam ne dajejo osnove za identifikacijo podjetij. Hacker News razpravlja o tem, ali bi odklepanje telefona moralo obstajati. Eden od odgovorov omenja preverjanje pozabljene ključavnice in hlajenje ali ogrevanje avtomobila. Ljudje imajo radi uporabne funkcije. Zagotavljanje udobja strankam storitvi nalaga tudi drago delo. Svojo avtoriteto mora zaslužiti.

Kaj je dejansko zajemala sanacija?

3:29 Curry poroča, da sta oba proizvajalca avtomobilov odpravila ranljivost približno dve uri po prejemu in zamenjala prizadete poverilnice. To je časovnica ameriškega poročila. Shahovo julijsko poročilo ne vsebuje ustrezne časovnice odprave. Njegovo poročilo pušča trenutni status odprave v Avstraliji nedoločen. Dvournega odziva ne moremo spremeniti v svetovno štoparico popravil. Za razvijalce začnite z administracijsko površino. Popišite, kaj je izpostavljeno in kateri avtentikacijski sistem to ščiti.

3:55 Odstranite neuporabljena razvojna orodja. Zaščitite orodja, ki jih ohranite. Preglejte interpretacijo zahteve vsake plasti, preden robno pravilo obravnavate kot zadnjo besedo o dostopu. Shah pravi, da je avstralska veriga končno delovala okoli polnoči, odprla avto, ki so ga smeli testirati. Identitetna napeljava z zadovoljivim koncem. Zapis si zaključek prisluži s preverjanjem drugega konca.

4:14 Zaupanje zalednega sistema je le polovica pogovora. Curryjevo ameriško poročilo pravi, da so zmožnosti odvisne od modela vozila, naročnine in aktivnih povezanih storitev. Podprti ukazi vključujejo odklepanje vrat in daljinski zagon motorja. Noben zapis ne potrjuje odpeljave ali izklopa imobilizatorja. Dokazi zajemajo določene zmožnosti aplikacije in dovoljene fizične demonstracije. Vprašajte se, katera storitev lahko spremeni dejstva, na katerih temelji vaše pooblastilo. Ponastavitve gesla in spremembe kontaktov so pomembne, ker jih drugi sistemi sprejemajo

4:41 kot resnico. Veljavna prijava lahko temelji na prepisani identiteti. Ta zgodba o avtomobilu postane vaša zgodba o aplikaciji tam.

Kaj je dokazalo, da je avto dejansko ubogal?

4:48 Končno preverjanje se je zgodilo poleg avtomobila. Curry pravi, da samo sprejet API ukaz ni dokazal ničesar o obnašanju avtomobila. Osvežili so njegovo stanje in potrdili fizični rezultat z lastnikom, ki je stal poleg njega. Shah je odklenil in zagnal vozilo, nato ga ustavil in spet zaklenil. Dokaz je dosegel dovoz. Če to raje berete kot slišite, diff prispe v vašo mapo »Prejeto« vsako jutro, brezplačno na the daily diff dot dev, povezava spodaj.

Katera meja potrebuje pregled?

5:10 Torej, današnja sodba, POTREBUJE PREGLED. Preveril bi skrbniške poti do identitete stranke, preden bi ji zaupal fizične kontrolnike. Poročani popravek v ZDA si zasluži pohvalo. Kdo lahko ponovno definira lastnika, ki mu zaupajo vse nadaljnje storitve? In to je razlika za danes. Sem Niko iz Axrisi. Združite odgovorno.

Viri

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip