Siguria e identitetit të makinës së lidhur: autoriteti i pronarit dhe prova fizike

Çfarë mbulon kjo video

• Kontrolli administrativ i identitetit të besuar të klientit mund të ndikojë në autoritetin e automjetit të dhënë nga shërbimet e aplikacioneve të mëposhtme.
• Curry kufizon testimin e plotë të zinxhirit të automjetit në llogaritë dhe automjetet e SHBA-së; shtrirja e drejtorisë rajonale dhe pretendimi më i gjerë i kombinuar i Shah-ut kanë fusha të ndryshme.
• Përgjigjja afërsisht dy-orëshe i përket afatit kohor të zbulimit të shoqëruesit të SHBA-së. Llogaria australiane nuk jep datë remediacioni të përputhshme.
• Komandat e mbështetura varen nga modeli, abonimi dhe shërbimet e lidhura aktive. Nuk u vërtetua drejtimi ose çaktivizimi i bllokuesit.
• Studiuesit rifreskuan statusin e automjetit dhe konfirmuan efektet fizike me pronarin pranë automjetit.
• Udhëzuesi i prodhimit të versionuar të PingIDM rekomandon heqjen ose mbrojtjen e mjeteve të zhvillimit dhe identifikon një sistem të veçantë autentifikimi të konsolës.

Transkript i përkthyer

Përkthyer nga tregimi origjinal në anglisht. Audio dhe titrat e disponueshme kontrollohen nga YouTube.

Si u bë një hyrje një çelës makine?

0:00 Aplikacioni i makinës tuaj kontrollon nëse jeni pronari. Studiuesit bënë që serveri i identitetit të tyre t'i garantonte ata në vend të kësaj. Në këtë video, si u bë hyrja autoritet i automjetit? Dhe çfarë provoi se një makinë në të vërtetë zbatoi? Është e hënë, nëntë nëntori, dhe ky është The Daily Diff. Një kontroll i fundit ndan një ekran bindës nga një makinë e zhbllokuar. Shërbimet e makinave të lidhura janë sistemet online pas aplikacionit të telefonit të pronarit. Shubham Shah dhe Sam Curry raportojnë se aksesi administrativ i identitetit i lejoi ata

0:25 të merrnin të njëjtin autoritet aplikacioni si një pronar. Ata demonstruan komanda në distancë në automjete me leje. Llogaria e tyre në SHBA thotë se defektet u rregulluan pas zbulimit.

Çfarë është publikuar rishtazi, dhe çfarë ishte rregulluar tashmë?

0:33 Të dy shkrimet u shfaqën më 7 nëntor. Curry daton zbulimin e tij në fillim të këtij viti. Shah përshkruan kërkimin australian që filloi në korrik. Këto janë afate kohore të ndryshme. Leximi i tyre si një urgjencë mbarëbotërore do t'i jepte titullit më shumë kuptim sesa provat. Shah bleu një nga SUV-të e prodhuesit të paemërtuar në vitin 2023. Cili shërbim interneti merr kërkesën kur zhbllokoj makinën time?

0:53 Ai dhe Curry kaluan dy javë duke ekzaminuar sistemin e identitetit. Çelësi ka fituar një ekip backend. Aplikacioni ju identifikon dhe ngarkon garazhin tuaj.

Cilin identitet e beson shërbimi i automjetit?

1:01 Shërbimi i lidhur e lidh atë llogari me automjete dhe komanda të lejuara. Kjo marrëdhënie është përgjigja e dobishme. Kushdo që kontrollon identitetin e besuar të klientit mund të trashëgojë aftësi të destinuara për klientin. Në Australi, një mjet publik menaxhimi ekspozonte informacione të klientit përmes ndërfaqeve të mbrojtura nga çelësat e dërguar në JavaScript të shfletuesit. Përkufizim ambicioz i sekretit. Shah gjeti gjithashtu kredencialet e administratorit të identitetit në një pako të shitësit,

1:24 dhe raportoi se ato funksiononin në prodhim. Perimetri bllokoi rrugët sensitive. Por shtresat e softuerit interpretuan të njëjtën kërkesë ndryshe. Curry thotë se skaji trajtoi një rrugë si përmbajtje statike ndërsa backend arriti një konsolë administrimi. Pragu dhe dera e kyçur po konsultoheshin me harta të ndryshme.

Pse ishte e rëndësishme një konsolë zhvillimi?

1:41 Ajo konsolë ende pranonte kredencialet e administratorit të paracaktuar, sipas Curry. Udhëzuesi i prodhimit tashmë u thotë operatorëve ta heqin ose ta mbrojnë atë, dhe thotë se autentifikimi i saj është i ndarë nga autentifikimi i produktit të identitetit. Një tjetër hyrje që fshihet midis pikave të listës kontrolluese. Mjeti i administrimit i ekspozuar lejoi kodin të ekzekutohej brenda shërbimit të identitetit. Studiuesit kishin akses në të dhënat e klientëve pas kufirit të filtrimit publik. Një filtër perimetri kontrollon trafikun që kalon atë perimetër.

2:06 Një proces tashmë brenda shërbimit ka një marrëdhënie të ndryshme me të dhënat. Kjo shpjegon problemin me shumë faktorë në llogarinë e SHBA-së. Të dhënat e identitetit siguruan informacionin e hyrjes dhe destinacionin për një kod verifikimi me email. Kontrolli administrativ mbi ato të dhëna i lejoi studiuesit të përfundonin hyrjen. Përkufizimi i klientit në rrjedhën e sipërme kishte ndryshuar tashmë. Shah përshkruan një konfigurim të gabuar të veçantë të autentifikimit australian që lejoi zinxhirin e tij të anashkalonte faktorin shtesë.

2:31 Të thuash se autentifikimi me shumë faktorë është i thyer kudo do të fshinte detajet e konfigurimit që u duhen zhvilluesve. Mbani faktorin tuaj shtesë. Mbani sistemin që e përkufizon pronarin e tij të besueshëm gjithashtu. Kredencialet kanë punë të ndryshme.

Kur bëhet një sesion autoritet i aplikacionit?

2:43 Aksesi i administratorit kontrollon të dhënat e identitetit. Një sesion klienti përfaqëson një identifikim të përfunduar. Aplikacioni celular merr shenja të pranuara nga shërbimet e tij. Të quash të gjitha këto një shenjë magjike humbet kufijtë që bënë të mundur aksesin ekuivalent me pronarin. Curry përshkruan drejtoritë e identitetit të dy prodhuesve të paemërtuar nëpër rajone të shumta. Ai kufizon testimin e plotë të automjetit në llogaritë dhe automjetet e SHBA-së. Shah përshkruan një prodhues automjetesh në dy marka australiane,

3:09 pastaj pretendon shtrirje më të gjerë të kombinuar. Këto fusha të ndryshme nuk na japin bazë për të identifikuar kompanitë. Hacker News diskuton nëse zhbllokimi i telefonit duhet të ekzistojë. Një përgjigje tregon kontrollin e një bllokimi të harruar dhe ftohjen ose ngrohjen e makinës. Njerëzve u pëlqejnë veçoritë e dobishme. Dhënia e lehtësisë klientëve gjithashtu i jep shërbimit një punë të shtrenjtë. Duhet ta fitojë autoritetin e tij.

Çfarë mbuloi në të vërtetë remediacioni?

3:29 Curry raporton se të dy prodhuesit e automjeteve rregulluan dobësinë rreth dy orë pasi e morën dhe rrotulluan kredencialet e prekura. Ky është afati kohor i shoqëruesit të SHBA-së. Llogaria e Shah-ut e korrikut nuk ofron asnjë afat kohor të ngjashëm remediacioni. Llogaria e tij e lë të paspecifikuar statusin aktual të remediacionit të Australisë. Ne nuk mund ta kthejmë përgjigjen dy-orëshe në një kronometër global riparimi. Për zhvilluesit, filloni me sipërfaqen e administrimit. Listoni çfarë është ekspozuar dhe cili sistem autentifikimi e mbron atë.

3:55 Hiqni mjetet e zhvillimit të papërdorura. Mbroni mjetet që mbani. Rishikoni interpretimin e kërkesës së çdo shtrese përpara se të trajtoni një rregull skaji si fjalën e fundit për aksesin. Shah thotë se zinxhiri australian më në fund funksionoi rreth mesnatës, duke hapur një makinë që u lejuan ta testonin. Hidraulik identiteti me një fund të kënaqshëm. Një shkrim e fiton përfundimin e tij duke kontrolluar anën tjetër.

4:14 Besimi i backend-it është vetëm gjysma e bisedës. Llogaria e Curry-t në SHBA thotë se aftësitë varen nga modeli i automjetit, abonimi dhe shërbimet e lidhura aktive. Komandat e mbështetura përfshijnë zhbllokimin e derës dhe ndezjen e motorit në distancë. Asnjë shkrim nuk vërteton largimin me makinë ose çaktivizimin e një bllokuesi. Provat mbulojnë aftësi të veçanta aplikacioni dhe demonstrime fizike të lejuara. Pyesni cili shërbim mund të ndryshojë faktet mbi të cilat mbështetet autorizimi juaj. Rivendosja e fjalëkalimeve dhe ndryshimet e kontakteve janë të rëndësishme sepse sistemet e tjera i konsumojnë

4:41 ato si të vërteta. Një hyrje e vlefshme mund të bazohet në një identitet të rishkruar. Kjo histori makine bëhet historia e aplikacionit tuaj atje.

Çfarë provoi se makina në të vërtetë zbatoi?

4:48 Kontrolli përfundimtar ndodhi pranë makinës. Curry thotë se një komandë API e pranuar vetëm nuk provoi asgjë për sjelljen e makinës. Ata rifreskuan statusin e saj dhe konfirmuan rezultatin fizik me pronarin që qëndronte pranë saj. Ata rifreskuan statusin e saj dhe konfirmuan rezultatin fizik me pronarin që qëndronte pranë saj. Shah zhbllokoi dhe ndezi automjetin, pastaj e ndaloi dhe e kyçi sërish. Prova arriti në rrugë. Nëse preferoni ta lexoni këtë sesa të më dëgjoni ta them, the diff ju vjen në postë çdo mëngjes, falas në the daily diff dot dev, linku më poshtë.

Cili kufi ka nevojë për rishikim?

5:10 Pra, verdikti i sotëm, NEEDS REVIEW. Do të auditoja rrugët administrative në identitetin e klientit të besuar përpara se t'i besoja ato me kontrolle fizike. Rregullimi i raportuar në SHBA meriton meritë. Kush mund të ripërkufizojë pronarin që beson çdo shërbim i mëposhtëm? Dhe kjo është the diff për sot. Unë jam Niko nga Axrisi. Bashkohuni me përgjegjësi.

Burimet

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip