Bezbednost identiteta povezanog automobila: ovlašćenje vlasnika i fizički dokaz
Shubham Shah i Sam Curry prijavljuju administrativni pristup identitetu koji je doveo do ovlašćenja aplikacije za povezana vozila ekvivalentnog vlasniku na vozilima sa dozvolom.
Shubham Shah i Sam Curry prijavljuju administrativni pristup identitetu koji je doveo do ovlašćenja aplikacije za povezana vozila ekvivalentnog vlasniku na vozilima sa dozvolom. Njihove publikacije od 7. novembra opisuju ranija istraživanja. Pratilac iz SAD-a izveštava o rešavanju istog dana; poseban australijski julski izveštaj ostavlja status trenutnog rešavanja neodređenim.
Pročitajte pisano izdanje (engleski) ↗
Šta ovaj video pokriva
- Administrativna kontrola pouzdanog identiteta korisnika može uticati na ovlašćenje vozila koje dodeljuju nizvodne usluge aplikacija.
- Curry ograničava kompletno testiranje lanca vozila na američke naloge i vozila; regionalni doseg direktorijuma i Šahova šira kombinovana tvrdnja imaju različite opsege.
- Približno dvočasovni odgovor pripada vremenskoj liniji objavljivanja američkog pratioca. Australijski izveštaj ne navodi odgovarajući datum otklanjanja.
- Podržane komande zavise od modela, pretplate i aktivnih povezanih usluga. Vožnja ili onesposobljavanje imobilizatora nisu utvrđeni.
- Istraživači su osvežili status vozila i potvrdili fizičke efekte sa vlasnikom pored vozila.
- PingIDM-ov verzirani proizvodni vodič preporučuje uklanjanje ili zaštitu razvojnih alata i identifikuje zaseban sistem autentifikacije konzole.
Pitanja i odgovori
Kako je pristup serveru identiteta postao ovlašćenje za povezani automobil?
Administrativni pristup identitetu omogućio je istraživačima da dobiju ovlašćenje aplikacije ekvivalentno vlasniku, prema Shubham Shah-u i Samu Curry-u. Povezana usluga je povezivala korisničke naloge sa vozilima i podržanim komandama. Njihov izveštaj razlikuje administrativni pristup, završenu korisničku sesiju i tokene mobilne aplikacije koje prihvataju njene usluge. Demonstracije su koristile vozila sa dozvolom.
Šta utvrđuju prijavljeni datumi i regionalni opsezi?
Američki pratilac opisuje ranije istraživanje i popravku istog dana nakon objavljivanja. Curry ograničava kompletno testiranje lanca vozila na američke naloge i vozila, dok su pogođeni direktorijumi identiteta opsluživali više regiona. Shah zasebno opisuje australijsko istraživanje koje je počelo u julu. Njegov članak ostavlja trenutni status sanacije u Australiji nepreciziranim, tako da izvori ne uspostavljaju jedno svetsko otkriće ili vremensku liniju popravke.
Šta smernice za jačanje proizvodnje kažu o razvojnim konzolama?
Uklonite ili zaštitite razvojne i alate za debagovanje pre proizvodnje, prema Ping Identity-ovom verziranom bezbednosnom vodiču. On identifikuje konzolu kao nešto što ima autentifikaciju odvojenu od autentifikacije proizvoda za identitet. Ta razlika čini konzolu sopstvenom granicom pregleda. Epizoda preporučuje popisivanje administrativnih površina i proveru koji sistem autentifikacije štiti svaku.
Kako su istraživači potvrdili fizički rezultat vozila?
Oni su osvežili status vozila i proverili fizički rezultat sa vlasnikom pored vozila, prema američkom izveštaju Shah-a i Curry-ja. Samo prihvatanje API-ja nije dokazalo akciju. Shah je otključao i pokrenuo vozilo, zatim ga zaustavio i ponovo zaključao. Prijavljeni dokazi obuhvataju podržane komande aplikacije; odvoženje ili onesposobljavanje imobilizatora nisu utvrđeni.
Kakva je bila presuda The Daily Diff-a o granici poverenja identiteta?
Presuda The Daily Diff-a bila je POTREBAN JE PREGLED. Niko bi revidirao administrativne puteve u pouzdan identitet korisnika pre nego što se osloni na njih za fizičke kontrole, dok je priznao prijavljenu popravku u SAD. Izveštaji Shah-a i Curry-ja pokazuju zašto je uzvodna kontrola nad evidencijom identiteta važna za nizvodno ovlašćenje. Presuda ne tvrdi da postoji tekuća globalna ranjivost.
Preveden transkript
Prevedeno sa originalne engleske naracije. Dostupan audio i titlovi kontrolisani su od strane YouTube-a.
Kako je prijava postala ključ automobila?
0:00 Aplikacija vašeg automobila proverava da li ste vlasnik. Istraživači su umesto toga napravili da njihov server identiteta garantuje za njih. U ovom videu, kako je prijava postala ovlašćenje vozila? I šta je dokazalo da je automobil zaista poslušao? Ponedeljak je, deveti novembar, i ovo je The Daily Diff. Još jedna poslednja provera deli uverljiv ekran od otključanog automobila. Povezane auto usluge su online sistemi iza aplikacije za telefon vlasnika. Shubham Shah i Sam Curry izveštavaju da im je administrativni pristup identitetu omogućio
0:25 dobijanje istog ovlašćenja aplikacije kao vlasnik. Demonstrirali su daljinske komande na vozilima sa dozvolom. Njihov američki nalog kaže da su nedostaci otklonjeni nakon objavljivanja.
Šta je novo objavljeno, a šta je već popravljeno?
0:33 Oba zapisa su se pojavila sedmog novembra. Curry datira svoje objavljivanje na početak ove godine. Shah opisuje australijsko istraživanje koje je počelo u julu. To su različite vremenske linije. Čitanje njih kao jedne svetske hitne situacije dalo bi naslovu više snage nego dokazima. Shah je kupio jedan od SUV-ova neimenovanog proizvođača automobila 2023. godine. Koji internet servis prima dodir kada otključam automobil?
0:53 On i Curry su proveli dve nedelje ispitujući sistem identiteta. Ključ je dobio tim za pozadinske operacije. Aplikacija vas prijavljuje i učitava vašu garažu.
Koji identitet veruje servisu vozila?
1:01 Povezana usluga povezuje taj nalog sa vozilima i dozvoljenim komandama. Taj odnos je koristan odgovor. Ko god kontroliše pouzdan identitet korisnika može naslediti sposobnosti namenjene korisniku. U Australiji, javni alat za upravljanje je izložio informacije o klijentima kroz interfejse zaštićene ključevima isporučenim u JavaScript-u pretraživača. Ambiciozna definicija tajne. Shah je takođe pronašao administrativne akreditive identiteta u paketu dobavljača,
1:24 i izvestio da su radili u proizvodnji. Perimetar je blokirao osetljive rute. Ali slojevi softvera su istu zahtev interpretirali različito. Curry kaže da je ivica tretirala putanju kao statički sadržaj dok je pozadinski sistem pristupao administratorskoj konzoli. Dobrodošlica i zaključana vrata su konsultovali različite mape.
Zašto je razvojna konzola bila važna?
1:41 Ta konzola je i dalje prihvatala podrazumevane administrativne akreditive, prema Curryju. Vodič za proizvodnju već nalaže operaterima da ga uklone ili zaštite, i kaže da je njegova autentifikacija odvojena od autentifikacije proizvoda za identitet. Još jedna prijava se krije između tačaka na kontrolnoj listi. Izloženi administratorski alati omogućili su izvršavanje koda unutar servisa za identitet. Istraživači su pristupili zapisima korisnika iza granice javnog filtriranja. Filter perimetra proverava saobraćaj koji prelazi taj perimetar.
2:06 Proces koji je već unutar usluge ima drugačiji odnos sa podacima. Ovo objašnjava višefaktorski problem u američkom izveštaju. Evidencija identiteta je obezbedila informacije za prijavu i odredište za verifikacioni kod putem e-pošte. Administrativna kontrola nad tim evidencijama omogućila je istraživačima da završe prijavu. Uzvodna definicija kupca se već promenila. Shah opisuje zasebnu australijsku pogrešnu konfiguraciju autentifikacije koja je omogućila njegovom lancu da preskoči dodatni faktor.
2:31 Nazivanje višefaktorske autentifikacije pokvarenom svuda izbrisalo bi detalje konfiguracije koji su potrebni programerima. Zadržite svoj dodatni faktor. Takođe, neka sistem koji definiše svog vlasnika ostane pouzdan. Kredencijali imaju različite uloge.
Kada sesija postaje ovlašćenje aplikacije?
2:43 Administratorski pristup kontroliše evidencije identiteta. Korisnička sesija predstavlja završenu prijavu. Mobilna aplikacija dobija tokene koje prihvataju njeni servisi. Nazivanje svih njih magičnim tokenom gubi granice koje su omogućile pristup ekvivalentan vlasniku. Curry opisuje direktorijume identiteta dva neimenovana proizvođača automobila u više regiona. On ograničava kompletno testiranje vozila na američke naloge i vozila. Shah opisuje jednog proizvođača automobila kroz dva australijska brenda,
3:09 zatim tvrdi širi kombinovani doseg. Ti različiti opsezi nam ne daju osnov za identifikaciju kompanija. Hacker News raspravlja o tome da li bi otključavanje telefona trebalo da postoji. Jedan odgovor ukazuje na proveru zaboravljene brave i hlađenje ili grejanje automobila. Ljudi vole korisne funkcije. Pružanje pogodnosti korisnicima takođe daje servisu skup posao. Mora zaslužiti svoje ovlašćenje.
Šta je sanacija zapravo obuhvatila?
3:29 Curry izveštava da su oba proizvođača automobila otklonila ranjivost otprilike dva sata nakon što su je primili i rotirali pogođene akreditive. To je vremenska linija američkog pratioca. Šahov julski izveštaj ne pruža odgovarajuću vremensku liniju sanacije. Njegov izveštaj ostavlja trenutni status sanacije u Australiji nepreciziranim. Ne možemo dvočasovni odgovor pretvoriti u globalnu štopericu za popravku. Za programere, počnite sa administrativnom površinom. Popišite šta je izloženo i koji sistem autentifikacije ga štiti.
3:55 Uklonite neiskorišćene razvojne alate. Zaštitite alate koje zadržite. Pregledajte interpretaciju zahteva svakog sloja pre nego što tretirate rubno pravilo kao poslednju reč o pristupu. Shah kaže da je australijski lanac konačno radio oko ponoći, otvarajući automobil koji im je bilo dozvoljeno da testiraju. Identitetsko povezivanje sa zadovoljavajućim završetkom. Izveštaj zaslužuje svoj zaključak proverom drugog kraja.
4:14 Samopouzdanje pozadinskog sistema je samo pola razgovora. Curryjev američki izveštaj kaže da mogućnosti zavise od modela vozila, pretplate i aktivnih povezanih usluga. Podržane komande uključuju otključavanje vrata i daljinsko pokretanje motora. Nijedan izveštaj ne utvrđuje odvoženje ili onesposobljavanje imobilizatora. Dokazi obuhvataju specifične mogućnosti aplikacije i demonstracije fizičkih radnji sa dozvolom. Pitajte koja usluga može promeniti činjenice na koje se vaše ovlašćenje oslanja. Resetovanje lozinki i promene kontakta su važne jer ih drugi sistemi koriste
4:41 kao istinu. Važeća prijava može se zasnivati na prepisanom identitetu. Ova priča o automobilu postaje vaša priča o aplikaciji tu.
Šta je dokazalo da je auto zaista poslušao?
4:48 Završna provera se desila pored automobila. Curry kaže da sama prihvaćena API komanda nije dokazala ništa o ponašanju automobila. Osvežili su status i potvrdili fizički rezultat sa vlasnikom koji stoji pored njega. Shah je otključao i pokrenuo vozilo, zatim ga zaustavio i ponovo zaključao. Dokaz je stigao do prilaza. Ako više volite da ovo pročitate nego da me čujete kako to kažem, "diff" vam stiže u inbox svako jutro, besplatno na daily diff dot dev, link ispod. Dakle, današnja presuda, POTREBAN JE PREGLED.
Koja granica treba pregled?
5:10 Današnja presuda: POTREBAN JE PREGLED. Revizirao bih administrativne puteve u identitet korisnika pre nego što mu poverim fizičke kontrole. Prijavljena popravka u SAD zaslužuje priznanje. Ko može redefinisati vlasnika u kojeg veruje svaka nizvodna usluga? I to je diff za danas. Ja sam Niko iz Axrisija. Spojite odgovorno.
Izvori
- Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
- unlocking any car from X brand in most of the worldShubham Shah
- Remove or protect development and debug tools — PingIDM 7.2Ping Identity
- Connected-car disclosure discussionHacker News
- Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
- Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
- Sam Curry's official About page corroborates portrait identitySam Curry
- Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
- GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
- Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip
