Безбедност идентитета повезаног аутомобила: овлашћење власника и физички доказ

Шта овај видео покрива

• Административна контрола поузданог идентитета корисника може утицати на овлашћење возила које дају низводне услуге апликација.
• Кари ограничава комплетно тестирање ланца возила на америчке налоге и возила; регионални домет директоријума и Шахова шира комбинована тврдња имају различите опсеге.
• Приближно двочасовни одговор припада временској линији откривања пратећег документа из САД. Аустралијски извештај не даје одговарајући датум санације.
• Подржане команде зависе од модела, претплате и активних повезаних услуга. Вожња или онемогућавање имобилајзера нису утврђени.
• Истраживачи су освежили статус возила и потврдили физичке ефекте са власником поред возила.
• Верзионирани производни водич PingIDM-а препоручује уклањање или заштиту развојних алата и идентификује засебан систем за аутентификацију конзоле.

Преведени транскрипт

Преведено са оригиналне енглеске нарације. Доступни аудио и титлови контролисани су од стране YouTube-а.

Како је пријава постала кључ од аутомобила?

0:00 Апликација вашег аутомобила проверава да ли сте власник. Истраживачи су уместо тога натерали његов сервер идентитета да их потврди. У овом видеу, како је пријава постала овлашћење возила? И шта је доказало да је аутомобил заиста послушао? Понедељак је, девети новембар, а ово је The Daily Diff. Још једна провера дели убедљив екран од откључаног аутомобила. Услуге повезаних аутомобила су онлајн системи иза апликације за телефон власника. Шубхам Шах и Сем Кари извештавају да им је административни приступ идентитету омогућио

0:25 да добију исто овлашћење апликације као и власник. Демонстрирали су даљинске команде на возилима са дозволом. Њихов амерички извештај каже да су грешке исправљене након откривања.

Шта је ново објављено, а шта је већ поправљено?

0:33 Оба написа појавила су се 7. новембра. Кари датира своје откриће на почетак ове године. Шах описује аустралијско истраживање које је почело у јулу. То су различите временске линије. Читање њих као једне светске ванредне ситуације дало би наслову више коњских снага него докази. Шах је купио један од СУВ возила неименованог произвођача аутомобила 2023. године. Коју интернет услугу добија тапкање када откључам аутомобил?

0:53 Он и Кари провели су две недеље испитујући систем идентитета. Кључ са даљинским управљачем је добио позадински тим. Апликација вас пријављује и учитава вашу гаражу.

Који идентитет услуга возила верује?

1:01 Повезана услуга повезује тај налог са возилима и дозвољеним командама. Тај однос је користан одговор. Ко год контролише поуздани идентитет корисника може наследити могућности намењене кориснику. У Аустралији је јавни алат за управљање изложио информације о корисницима путем интерфејса заштићених кључевима испорученим у прегледачу JavaScript. Амбициозна дефиниција тајне. Шах је такође пронашао акредитиве администратора идентитета у пакету продавца,

1:24 и известио да су радили у производњи. Периметар је блокирао осетљиве руте. Али софтверски слојеви су различито тумачили исти захтев. Кари каже да је ивица третирала путању као статички садржај док је позадина достигла административну конзолу. Отирач добродошлице и закључана врата су консултовали различите мапе.

Зашто је развојна конзола била важна?

1:41 Та конзола је и даље прихватала подразумеване администраторске акредитиве, према Карију. Производни водич већ говори оператерима да га уклоне или заштите, и каже да је његова аутентификација одвојена од аутентификације производа идентитета. Још једна пријава која се крије између тачака на контролној листи. Изложени административни алати омогућили су покретање кода у оквиру услуге идентитета. Истраживачи су приступили записима корисника иза јавне границе филтрирања. Периметарски филтер проверава саобраћај који прелази тај периметар.

2:06 Процес који је већ унутар услуге има другачији однос са подацима. Ово објашњава проблем вишефакторске аутентификације у америчком налогу. Записи идентитета су пружили информације о пријави и одредиште за е-пошту код за верификацију. Административна контрола над тим записима омогућила је истраживачима да заврше пријаву. Узводна дефиниција корисника је већ промењена. Шах описује засебну аустралијску погрешну конфигурацију аутентификације која је омогућила његовом ланцу да прескочи додатни фактор.

2:31 Називати вишефакторску аутентификацију свуда поквареном избрисало би детаље конфигурације који су потребни програмерима. Задржите свој додатни фактор. Такође, нека систем који дефинише свог власника буде поуздан. Акредитиви имају различите послове.

Када се сесија претвара у овлашћење апликације?

2:43 Приступ администратора контролише записе идентитета. Корисничка сесија представља завршену пријаву. Мобилна апликација добија токене које прихватају њене услуге. Називање свега тога магичним токеном губи границе које су омогућиле приступ еквивалентан власнику. Кари описује идентитетске директоријуме два неименована произвођача аутомобила у више региона. Он ограничава комплетно тестирање возила на америчке налоге и возила. Шах описује једног произвођача аутомобила у оквиру два аустралијска бренда,

3:09 затим тврди шири комбиновани домет. Ти различити опсези нам не дају основу за идентификацију компанија. Hacker News расправља о томе да ли откључавање телефона треба да постоји. Један одговор указује на проверу заборављене браве и хлађење или загревање аутомобила. Људи воле корисне функције. Пружање погодности корисницима такође даје услузи скуп посао. Мора да заслужи свој ауторитет.

Шта је санација заправо обухватила?

3:29 Кари извештава да су оба произвођача аутомобила поправила рањивост отприлике два сата након што су је примили и ротирали погођене акредитиве. То је временска линија пратећег документа из САД. Шахов јулски извештај не даје одговарајућу временску линију санације. Његов извештај оставља тренутни статус санације у Аустралији неутврђеним. Не можемо претворити двочасовни одговор у глобални штоперицу за поправку. За програмере, почните са административном површином. Попишите шта је изложено и који систем аутентификације га штити.

3:55 Уклоните некоришћене развојне алате. Заштитите алате које задржите. Прегледајте тумачење захтева сваког слоја пре него што третирате правило ивице као коначну реч о приступу. Шах каже да је аустралијски ланац коначно прорадио око поноћи, откључавајући аутомобил који им је било дозвољено да тестирају. Идентитетски вод са задовољавајућим завршетком. Напис заслужује свој закључак провером другог краја.

4:14 Поверење позадине је само пола разговора. Каријев амерички извештај каже да могућности зависе од модела возила, претплате и активних повезаних услуга. Подржане команде укључују откључавање врата и даљинско покретање мотора. Ниједан напис не утврђује одлазак или онемогућавање имобилајзера. Докази покривају одређене могућности апликације и дозвољене физичке демонстрације. Питајте која услуга може променити чињенице на које се ослања ваша ауторизација. Ресетовање лозинке и промене контакта су важни јер их други системи користе

4:41 као истину. Валидна пријава може се заснивати на преписаном идентитету. Ова прича о аутомобилу постаје ваша прича о апликацији тамо.

Шта је доказало да је аутомобил заиста послушао?

4:48 Коначна провера се догодила поред аутомобила. Кари каже да сама прихваћена АПИ команда није доказала ништа о понашању аутомобила. Они су освежили његов статус и потврдили физички резултат са власником који је стајао поред њега. Шах је откључао и покренуо возило, затим га зауставио и поново закључао. Доказ је стигао до прилаза. Ако више волите да ово прочитате него да ме чујете, diff вам стиже у инбокс сваког јутра, бесплатно на the daily diff dot dev, линк испод.

Која граница захтева преглед?

5:10 Дакле, данашња пресуда, NEEDS REVIEW. Прегледао бих административне путање до идентитета клијента пре него што му верујем са физичким контролама. Пријављена америчка исправка заслужује признање. Ко може редефинисати власника у кога верује свака низводна услуга? И то је diff за данас. Ја сам Нико из Axrisi. Спајајте одговорно.

Извори

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip