Säkerhet för uppkopplade bilars identiteter: ägarauktoritet och fysiska bevis

Vad den här videon täcker

• Administrativ kontroll över betrodda kundidentiteter kan påverka fordonsbehörigheten som beviljas av nedströms apptjänster.
• Curry begränsar fullständig testning av fordonskedjan till amerikanska konton och fordon; regional katalogräckvidd och Shahs bredare kombinerade påstående har olika omfattningar.
• Den ungefär två timmar långa responsen tillhör den amerikanska rapportens tidslinje för offentliggörande. Den australiska rapporten anger inget matchande åtgärdsdatum.
• Stödda kommandon beror på modell, prenumeration och aktiva uppkopplade tjänster. Att köra iväg eller inaktivera startspärren fastställdes inte.
• Forskarna uppdaterade fordonsstatus och bekräftade fysiska effekter med ägaren bredvid fordonet.
• PingIDM:s versionerade produktionsguide rekommenderar att man tar bort eller skyddar utvecklingsverktyg och identifierar ett separat konsolautentiseringssystem.

Översatt transkription

Översatt från den ursprungliga engelska berättelsen. Tillgängligt ljud och undertexter styrs av YouTube.

Hur blev en inloggning en bilnyckel?

0:00 Din bils app kontrollerar att du är ägaren. Forskare fick dess identitetsserver att intyga för dem istället. I den här videon, hur blev inloggning fordonsbehörighet? Och vad bevisade att en bil faktiskt lydde? Det är måndag, den nionde november, och detta är The Daily Diff. En sista kontroll skiljer en övertygande skärm från en olåst bil. Uppkopplade biltjänster är onlinesystemen bakom en ägares telefonapp. Shubham Shah och Sam Curry rapporterar att administrativ identitetsåtkomst lät dem

0:25 få samma appbehörighet som en ägare. De demonstrerade fjärrkommandon på tillåtna fordon. Deras amerikanska redogörelse säger att bristerna åtgärdades efter offentliggörandet.

Vad är nypublicerat, och vad var redan fixat?

0:33 Båda skriftliga rapporter publicerades den sjunde november. Curry daterar sitt offentliggörande till början av detta år. Shah beskriver australisk forskning som började i juli. Det är olika tidslinjer. Att läsa dem som en världsomspännande nödsituation skulle ge rubriken mer hästkrafter än bevisen. Shah köpte en av den icke namngivna biltillverkarens SUV:ar under tjugohundratjugotre. Vilken internettjänst tar emot knackningen när jag låser upp min bil?

0:53 Han och Curry tillbringade två veckor med att undersöka identitetssystemet. Bilnyckeln har fått ett backend-team. Appen loggar in dig och laddar din garage.

Vilken identitet litar fordonstjänsten på?

1:01 Den uppkopplade tjänsten kopplar det kontot till fordon och tillåtna kommandon. Det förhållandet är det användbara svaret. Den som kontrollerar den betrodda kundidentiteten kan ärva funktioner avsedda för kunden. I Australien exponerade ett offentligt hanteringsverktyg kundinformation genom gränssnitt skyddade av nycklar som levererats i webbläsarens JavaScript. Ambitiös definition av hemlighet. Shah hittade också administratörsuppgifter för identitet i ett leverantörspaket,

1:24 och rapporterade att de fungerade i produktion. Perimetern blockerade känsliga rutter. Men mjukvarulager tolkade samma begäran olika. Curry säger att kanten behandlade en sökväg som statiskt innehåll medan backend nådde en administrativ konsol. Välkomstmattan och den låsta dörren konsulterade olika kartor.

Varför spelade en utvecklingskonsol roll?

1:41 Den konsolen accepterade fortfarande standardadministratörsuppgifter, enligt Curry. Produktionsguiden säger redan till operatörer att ta bort eller skydda den, och säger att dess autentisering är separat från identitetsproduktens autentisering. Ytterligare en inloggning gömd mellan krysslistans punkter. Det exponerade administrationsverktyget tillät kod att köras inuti identitetstjänsten. Forskarna fick åtkomst till kundregister bakom den offentliga filtreringsgränsen. Ett perimeterfilter kontrollerar trafik som korsar den perimetern.

2:06 En process som redan befinner sig inuti tjänsten har ett annat förhållande till data. Detta förklarar flerfaktorproblemet i den amerikanska redogörelsen. Identitetsregister tillhandahöll inloggningsinformation och destination för en e-postverifikationskod. Administrativ kontroll över dessa register lät forskarna slutföra inloggningen. Den uppströms definitionen av kunden hade redan ändrats. Shah beskriver en separat australisk autentiseringsfelkonfiguration som lät hans kedja hoppa över den extra faktorn.

2:31 Att kalla flerfaktorsautentisering trasig överallt skulle radera konfigurationsdetaljerna utvecklare behöver. Behåll din extra faktor. Se till att systemet som definierar dess ägare också är pålitligt. Uppgifterna har olika uppgifter.

När blir en session app-behörighet?

2:43 Administratörsåtkomst kontrollerar identitetsregister. En kundsession representerar en slutförd inloggning. Mobilappen får tokens som accepteras av dess tjänster. Att kalla alla dessa för en magisk token förlorar de gränser som gjorde ägarkvivalent åtkomst möjlig. Curry beskriver två icke namngivna biltillverkares identitetskataloger över flera regioner. Han begränsar fullständig fordonstestning till amerikanska konton och fordon. Shah beskriver en biltillverkare över två australiska märken,

3:09 och hävdar sedan bredare kombinerad räckvidd. Dessa olika omfattningar ger oss ingen grund att identifiera företagen. Hacker News debatterar om telefonupplåsning borde existera. Ett svar pekar på att kontrollera ett glömt lås och kyla eller värma bilen. Människor gillar användbara funktioner. Att ge kunder bekvämlighet ger också tjänsten ett dyrt jobb. Den måste förtjäna sin auktoritet.

Vad täckte åtgärden egentligen?

3:29 Curry rapporterar att båda biltillverkarna fixade sårbarheten ungefär två timmar efter att ha mottagit den och roterat berörda uppgifter. Det är den amerikanska rapportens tidslinje. Shahs julirapport ger ingen matchande åtgärdstidslinje. Hans rapport lämnar Australiens nuvarande åtgärdsstatus ospecificerad. Vi kan inte förvandla tvåtimmarsresponsen till ett globalt reparationsstoppur. För utvecklare, börja med administrationsytan. Inventera vad som exponeras och vilket autentiseringssystem som skyddar det.

3:55 Ta bort oanvända utvecklingsverktyg. Skydda de verktyg du behåller. Granska varje lagers tolkning av begäran innan du behandlar en kantregel som det sista ordet om åtkomst. Shah säger att den australiska kedjan äntligen fungerade runt midnatt, och öppnade en bil de fick testa. Identitetsrörsystem med ett tillfredsställande slut. En rapport förtjänar sin slutsats genom att kontrollera den andra änden.

4:14 Backendens förtroende är bara halva samtalet. Currys amerikanska redogörelse säger att funktioner beror på fordonsmodellen, prenumeration och aktiva uppkopplade tjänster. Stödda kommandon inkluderar dörrupplåsning och fjärrstart av motor. Ingen av rapporterna fastställer att man kör iväg eller inaktiverar en startspärr. Bevisen omfattar specifika appfunktioner och tillåtna fysiska demonstrationer. Fråga vilken tjänst som kan ändra fakta som din auktorisering bygger på. Återställning av lösenord och kontaktändringar är viktiga eftersom andra system använder

4:41 dem som sanning. En giltig inloggning kan bygga på en omskriven identitet. Denna bilhistoria blir din applikationshistoria där.

Vad bevisade att bilen faktiskt lydde?

4:48 Den sista kontrollen skedde bredvid bilen. Curry säger att ett accepterat API-kommando ensamt inte bevisade något om bilens beteende. De uppdaterade dess status och bekräftade det fysiska resultatet med ägaren stående bredvid den. Shah låste upp och startade fordonet, stoppade det sedan och låste det igen. Beviset nådde uppfarten. Om du hellre läser detta än hör mig säga det, landar diffen i din inkorg varje morgon, gratis på thedailydiff.dev, länk nedan.

Vilken gräns behöver granskas?

5:10 Så, dagens dom, NEEDS REVIEW. Jag skulle granska administrativa vägar till kundidentitet innan jag litar på den med fysiska kontroller. Den rapporterade amerikanska fixen förtjänar beröm. Vem kan omdefiniera ägaren som varje nedströms tjänst tror på? Och det är diffen för idag. Jag är Niko från Axrisi. Slå samman ansvarsfullt.

Källor

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip