Usalama wa utambulisho wa gari iliyounganishwa: mamlaka ya mmiliki na uthibitisho halisi

Nini video hii inashughulikia

• Udhibiti wa kiutawala wa utambulisho wa mteja unyeti unaweza kuathiri mamlaka ya gari inayotolewa na huduma za programu za chini.
• Curry anapunguza upimaji kamili wa mnyororo wa gari kwa akaunti na magari ya Marekani; upatikanaji wa saraka ya kikanda na dai pana la Shah yana vigezo tofauti.
• Majibu ya takriban saa mbili ni sehemu ya muda wa ufichuzi wa ripoti ya Marekani. Ripoti ya Australia haitoi tarehe inayolingana ya urekebishaji.
• Amri zinazotumika hutegemea mfumo, usajili na huduma zinazotumika zilizounganishwa. Kuendesha au kulemaza kipinga-mwizi hakukuthibitishwa.
• Watafiti waliboresha hali ya gari na kuthibitisha matokeo halisi na mmiliki kando ya gari.
• Mwongozo wa uzalishaji uliopangwa wa PingIDM unapendekeza kuondoa au kulinda zana za ukuzaji na kubainisha mfumo tofauti wa uthibitishaji wa kiweko.

Nakala iliyotafsiriwa

Imetafsiriwa kutoka simulizi asili ya Kiingereza. Sauti na manukuu yanayopatikana yanadhibitiwa na YouTube.

Je, kuingia kuliwezaje kuwa ufunguo wa gari?

0:00 Programu ya gari lako huangalia kama wewe ndiye mmiliki. Watafiti walifanya seva yake ya utambulisho iwashuhudie wao badala yake. Katika video hii, kuingia kuliwezaje kuwa mamlaka ya gari? Na ni nini kilithibitisha gari ilitii kweli? Ni Jumatatu, Novemba tisa, na huu ni The Daily Diff. Ukaguzi mmoja wa mwisho hutenganisha skrini inayoshawishi kutoka kwa gari iliyofunguliwa. Huduma za gari zilizounganishwa ni mifumo ya mtandaoni iliyo nyuma ya programu ya simu ya mmiliki. Shubham Shah na Sam Curry wanaripoti kuwa ufikiaji wa utambulisho wa kiutawala uliwaruhusu

0:25 kupata mamlaka ya programu sawa na mmiliki. Walionyesha amri za mbali kwenye magari yaliyoidhinishwa. Akaunti yao ya Marekani inasema kasoro hizo zilitatuliwa baada ya ufichuzi.

Ni nini kipya kilichochapishwa, na ni nini kilicharekebishwa tayari?

0:33 Makatili yote mawili yalionekana Novemba saba. Curry anaweka tarehe ya ufichuzi wake mapema mwaka huu. Shah anaelezea utafiti wa Australia ulioanza Julai. Hizo ni nyakati tofauti. Kuzisoma kama dharura moja ya ulimwengu ingeipa kichwa cha habari nguvu zaidi kuliko ushahidi. Shah alinunua mojawapo ya SUV za mtengenezaji wa magari asiyejulikana mwaka wa 2023. Ni huduma gani ya mtandao inayopokea bomba ninapofungua gari langu?

0:53 Yeye na Curry walitumia wiki mbili kuchunguza mfumo wa utambulisho. Kitufe cha fob kimepata timu ya nyuma. Programu inakuingiza na kupakia gereji yako.

Huduma ya gari inaamini utambulisho gani?

1:01 Huduma iliyounganishwa inahusisha akaunti hiyo na magari na amri zilizoruhusiwa. Uhusiano huo ndio jibu muhimu. Yeyote anayedhibiti utambulisho wa mteja anayeaminika anaweza kurithi uwezo unaokusudiwa kwa mteja. Nchini Australia, chombo cha usimamizi cha umma kilifichua habari za wateja kupitia viunganishi vilivyolindwa na funguo zilizotumwa kwenye JavaScript ya kivinjari. Ufafanuzi kabambe wa siri. Shah pia alipata stakabadhi za msimamizi wa utambulisho katika kifurushi cha muuzaji,

1:24 na aliripoti kuwa zilifanya kazi katika uzalishaji. Mpaka ulizuia njia nyeti. Lakini tabaka za programu zilitafsiri ombi lile lile tofauti. Curry anasema ukingo ulitambua njia kama maudhui tuli wakati backend ilifikia kiweko cha usimamizi. Mkeka wa kukaribisha na mlango uliofungwa walikuwa wakishauriana ramani tofauti.

Kwa nini kiweko cha ukuzaji kilikuwa muhimu?

1:41 Kiweko hicho bado kilikubali stakabadhi za msimamizi chaguomsingi, kulingana na Curry. Mwongozo wa uzalishaji tayari unawaambia waendeshaji kuiondoa au kuilinda, na inasema uthibitishaji wake umetenganishwa na uthibitishaji wa bidhaa ya utambulisho. Kuingia kwingine kukificha kati ya sehemu za orodha ya ukaguzi. Zana za usimamizi zilizo wazi ziliruhusu msimbo kuendeshwa ndani ya huduma ya utambulisho. Watafiti walifikia rekodi za wateja nyuma ya mpaka wa uchujaji wa umma. Kichujio cha mzunguko huangalia trafiki inayovuka mzunguko huo.

2:06 Mchakato ambao tayari uko ndani ya huduma una uhusiano tofauti na data. Hii inaelezea shida ya vipengele vingi katika akaunti ya Marekani. Rekodi za utambulisho zilitoa habari ya kuingia na mahali pa kupokea nambari ya uthibitishaji wa barua pepe. Udhibiti wa kiutawala juu ya rekodi hizo uliwawezesha watafiti kukamilisha kuingia. Ufafanuzi wa juu wa mteja ulikuwa tayari umebadilika. Shah anaelezea usanidi mbaya tofauti wa uthibitishaji wa Australia uliofanya mnyororo wake uruke kipengele cha ziada.

2:31 Kusema uthibitishaji wa vipengele vingi umevunjika kila mahali kungefuta maelezo ya usanidi ambayo watengenezaji wanahitaji. Weka kipengele chako cha ziada. Weka mfumo unaofafanua mmiliki wake uaminike pia. Vitambulisho vina kazi tofauti.

Kikao kinakuwa mamlaka ya programu lini?

2:43 Ufikiaji wa msimamizi hudhibiti rekodi za utambulisho. Kikao cha mteja kinawakilisha kuingia kukamilika. Programu ya rununu hupata ishara zinazokubalika na huduma zake. Kuziita zote ishara ya uchawi hupoteza mipaka iliyowezesha ufikiaji sawa na mmiliki. Curry anaelezea saraka za utambulisho za watengenezaji magari wawili wasiojulikana katika mikoa mingi. Anapunguza upimaji kamili wa gari kwa akaunti na magari ya Marekani. Shah anaelezea mtengenezaji mmoja wa magari katika chapa mbili za Australia,

3:09 kisha anadai ufikiaji mpana zaidi. Maeneo hayo tofauti hayatupei msingi wa kutambua kampuni hizo. Hacker News inabishana kuhusu kama kufungua simu kunapaswa kuwepo. Jibu moja linaelekeza kwenye kuangalia kufuli iliyosahaulika na kupoza au kupasha joto gari. Watu wanapenda vipengele muhimu. Kuwawezesha wateja urahisi pia huipa huduma kazi ghali. Lazima ijipatie mamlaka yake.

Urekebishaji ulijumuisha nini hasa?

3:29 Curry anaripoti kuwa watengenezaji wote wawili walirekebisha udhaifu takriban saa mbili baada ya kuupokea na kuzungusha stakabadhi zilizoathirika. Hiyo ni ratiba ya ripoti ya Marekani. Akaunti ya Shah ya Julai haitoi ratiba inayolingana ya urekebishaji. Akaunti yake inaacha hali ya sasa ya urekebishaji wa Australia bila kutajwa. Hatuwezi kubadilisha majibu ya saa mbili kuwa saa ya ulimwengu ya ukarabati. Kwa watengenezaji, anza na eneo la usimamizi. Panga orodha ya kile kilicho wazi na mfumo gani wa uthibitishaji unakilinda.

3:55 Ondoa zana za ukuzaji zisizotumika. Linda zana unazobakisha. Kagua tafsiri ya ombi ya kila safu kabla ya kutambua sheria ya ukingo kama neno la mwisho juu ya ufikiaji. Shah anasema mnyororo wa Australia hatimaye ulifanya kazi karibu na usiku wa manane, akifungua gari waliloruhusiwa kujaribu. Mifumo ya utambulisho yenye mwisho wenye kuridhisha. Andiko linapata hitimisho lake kwa kuangalia upande mwingine.

4:14 Ujasiri wa backend ni nusu tu ya mazungumzo. Akaunti ya US ya Curry inasema uwezo hutegemea mfumo wa gari, usajili, na huduma zinazotumika zilizounganishwa. Amri zinazotumika ni pamoja na kufungua mlango na kuwasha injini kwa mbali. Hakuna andiko linalothibitisha kuondoka au kulemaza kipinga-mwizi. Ushahidi unahusu uwezo maalum wa programu na maonyesho halisi yaliyoidhinishwa. Uliza ni huduma gani inaweza kubadilisha ukweli ambao idhini yako inategemea. Upyaji wa nywila na mabadiliko ya mawasiliano ni muhimu kwa sababu mifumo mingine huzitumia

4:41 kama ukweli. Kuingia halali kunaweza kutegemea utambulisho ulioandikwa upya. Hadithi hii ya gari inakuwa hadithi yako ya programu hapo.

Ni nini kilithibitisha gari ilitii kweli?

4:48 Ukaguzi wa mwisho ulifanyika kando ya gari. Curry anasema amri ya API iliyokubaliwa peke yake haikuthibitisha chochote kuhusu tabia ya gari. Waliboresha hali yake na kuthibitisha matokeo halisi na mmiliki amesimama karibu nayo. Shah alifungua na kuwasha gari, kisha akaiacha na kuifunga tena. Ushahidi ulifikia njia ya kuendeshea gari. Ikiwa unapendelea kusoma hii kuliko kunisikia nikisema, diff inatua kwenye kikasha chako kila asubuhi, bure kwa the daily diff dot dev, kiungo hapo chini.

Mpaka gani unahitaji kukaguliwa?

5:10 Kwa hivyo, hukumu ya leo, NEEDS REVIEW. Ningechunguza njia za kiutawala za kuingia kwenye utambulisho wa mteja kabla ya kuuamini na vidhibiti halisi. Marekebisho yaliyoripotiwa ya Marekani yanastahili sifa. Nani anaweza kufafanua upya mmiliki ambaye kila huduma ya chini inamwamini? Na huo ndio tofauti kwa leo. Mimi ni Niko kutoka Axrisi. Unganisha kwa uwajibikaji.

Vyanzo

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip