இணைக்கப்பட்ட-கார் அடையாளப் பாதுகாப்பு: உரிமையாளரின் அதிகாரம் மற்றும் உடல் ஆதாரம்

இந்த வீடியோ எதைப் பற்றி விவாதிக்கிறது

• நம்பகமான வாடிக்கையாளர் அடையாளத்தின் நிர்வாகக் கட்டுப்பாடு, கீழ்நிலை பயன்பாட்டு சேவைகளால் வழங்கப்படும் வாகன அதிகாரத்தை பாதிக்கலாம்.
• கறி, முழுமையான வாகன-சங்கிலி சோதனையை அமெரிக்க கணக்குகள் மற்றும் வாகனங்களுக்கு மட்டுமே கட்டுப்படுத்துகிறார்; பிராந்திய அடைவு மற்றும் ஷாவின் பரந்த ஒருங்கிணைந்த கோரிக்கை வெவ்வேறு வரம்புகளைக் கொண்டுள்ளன.
• தோராயமாக இரண்டு மணி நேர பதில், அமெரிக்க இணைப்பியின் வெளிப்படுத்தல் காலவரிசைக்கு சொந்தமானது. ஆஸ்திரேலிய கணக்கில் பொருத்தமான சரிசெய்தல் தேதி இல்லை.
• ஆதரிக்கப்படும் கட்டளைகள் மாதிரி, சந்தா மற்றும் செயலில் உள்ள இணைக்கப்பட்ட சேவைகளைப் பொறுத்தது. ஓட்டுதல் அல்லது தடுக்கும் கருவியை செயலிழக்கச் செய்வது நிறுவப்படவில்லை.
• ஆராய்ச்சியாளர்கள் வாகனத்தின் நிலைமையைப் புதுப்பித்து, வாகனத்தின் அருகில் உரிமையாளருடன் உடல்ரீதியான விளைவுகளை உறுதிப்படுத்தினர்.
• PingIDM இன் பதிப்பிற்குட்பட்ட தயாரிப்பு வழிகாட்டி, மேம்பாட்டுக் கருவிகளை அகற்றுவது அல்லது பாதுகாப்பது பரிந்துரைக்கிறது மற்றும் ஒரு தனி கன்சோல் அங்கீகார அமைப்பை அடையாளம் காட்டுகிறது.

மொழிபெயர்க்கப்பட்ட டிரான்ஸ்கிரிப்ட்

அசல் ஆங்கில விளக்கத்திலிருந்து மொழிபெயர்க்கப்பட்டது. கிடைக்கும் ஆடியோ மற்றும் தலைப்புகள் YouTube ஆல் கட்டுப்படுத்தப்படுகின்றன.

ஒரு உள்நுழைவு எப்படி ஒரு கார் சாவியாக மாறியது?

0:00 உங்கள் காரின் பயன்பாடு நீங்கள் உரிமையாளர் என்பதை சரிபார்க்கிறது. ஆராய்ச்சியாளர்கள் அதற்குப் பதிலாக அதன் அடையாள சேவையகத்தை தங்கள் சார்பாக உத்தரவாதம் அளிக்கச் செய்தனர். இந்த வீடியோவில், உள்நுழைவு எப்படி வாகன அதிகாரமாக மாறியது? மற்றும் ஒரு கார் உண்மையில் கீழ்ப்படிந்தது என்பதை எது நிரூபித்தது? இது நவம்பர் ஒன்பதாம் தேதி திங்கட்கிழமை, இது The Daily Diff. ஒரு நம்பகமான திரையிலிருந்து பூட்டு திறக்கப்பட்ட காரைப் பிரிப்பது ஒரு இறுதிச் சரிபார்ப்பு. இணைக்கப்பட்ட கார் சேவைகள் என்பது உரிமையாளரின் தொலைபேசி பயன்பாட்டிற்குப் பின்னால் உள்ள ஆன்லைன் அமைப்புகள். சுப்ஹாம் ஷா மற்றும் சாம் கறி, நிர்வாக அடையாள அணுகல் அவர்களுக்கு அனுமதித்ததாக தெரிவிக்கின்றனர்

0:25 ஒரு உரிமையாளருக்கு இணையான பயன்பாட்டு அதிகாரத்தைப் பெற. அவர்கள் அனுமதியளிக்கப்பட்ட வாகனங்களில் தொலைதூர கட்டளைகளை நிரூபித்தனர். அவர்களின் அமெரிக்க கணக்கு, குறைபாடுகள் வெளிப்படுத்தலுக்குப் பிறகு சரிசெய்யப்பட்டதாகக் கூறுகிறது.

புதிதாக வெளியிடப்பட்டது என்ன, ஏற்கனவே சரிசெய்யப்பட்டது என்ன?

0:33 இரண்டு கட்டுரைகளும் நவம்பர் ஏழாம் தேதி தோன்றின. கறி தனது வெளிப்படுத்தலை இந்த ஆண்டின் தொடக்கத்தில் இருந்து தேதியிடுகிறார். ஷா, ஜூலையில் தொடங்கிய ஆஸ்திரேலிய ஆராய்ச்சியை விவரிக்கிறார். அவை வெவ்வேறு காலவரிசைகள். அவற்றை ஒரு உலகளாவிய அவசரமாகப் படிப்பது தலைப்புக்கு அதிக குதிரைத்திறனைக் கொடுக்கும் ஆதாரத்தை விட. ஷா, இருபத்தி இருபத்தி மூன்றில் பெயரிடப்படாத கார் தயாரிப்பாளரின் SUV ஒன்றைக் வாங்கினார். நான் என் காரைத் திறக்கும்போது எந்த இணைய சேவைக்கு அழைப்பு வரும்?

0:53 அவரும் கறியும் அடையாள அமைப்பை ஆய்வு செய்ய இரண்டு வாரங்கள் செலவிட்டனர். கீ ஃபாப் ஒரு பின்நிலை குழுவை பெற்றுள்ளது. பயன்பாடு உங்களை உள்நுழைந்து உங்கள் கேரேஜை ஏற்றுகிறது.

வாகன சேவை எந்த அடையாளத்தை நம்புகிறது?

1:01 இணைக்கப்பட்ட சேவை அந்த கணக்கை வாகனங்கள் மற்றும் அனுமதிக்கப்பட்டவற்றுடன் கட்டளைகளுடன் இணைக்கிறது. அந்த உறவு தான் பயனுள்ள பதில். நம்பகமான வாடிக்கையாளர் அடையாளத்தைக் கட்டுப்படுத்துபவர், நோக்கம் கொண்ட திறன்களைப் பெற முடியும் வாடிக்கையாளருக்காக. ஆஸ்திரேலியாவில், ஒரு பொது மேலாண்மை கருவி, உலாவியின் JavaScript இல் அனுப்பப்பட்ட சாவிகளால் பாதுகாக்கப்பட்ட இடைமுகங்கள் வழியாக வாடிக்கையாளர் தகவல்களை வெளிப்படுத்தியது. ரகசியம் என்பதற்கான லட்சிய வரையறை. ஷா, ஒரு விற்பனையாளர் தொகுப்பில் அடையாள நிர்வாகி சான்றுகளையும் கண்டறிந்தார்,

1:24 மற்றும் அவை உற்பத்தியில் வேலை செய்ததாக அறிவித்தார். சுற்றுப்புறம் முக்கியமான வழிகளைத் தடுத்தது. ஆனால் மென்பொருள் அடுக்குகளில் அதே கோரிக்கை வெவ்வேறு விதமாக விளக்கப்பட்டது. முனை ஒரு பாதையை நிலையான உள்ளடக்கமாக கருதியது, அதே நேரத்தில் பின்நிலை ஒரு நிர்வாக கன்சோலை அணுகியது என்று கறி கூறுகிறார். வரவேற்பு பாய் மற்றும் பூட்டப்பட்ட கதவு வெவ்வேறு வரைபடங்களை ஆலோசித்தன.

ஒரு மேம்பாட்டு கன்சோல் ஏன் முக்கியமானது?

1:41 அந்த கன்சோல் இன்னும் இயல்புநிலை நிர்வாகி சான்றுகளை ஏற்றுக்கொண்டது, கறியின் கூற்றுப்படி. உற்பத்தி வழிகாட்டி ஏற்கனவே இயக்குனர்களுக்கு அதை அகற்ற அல்லது பாதுகாக்கச் சொல்கிறது, மற்றும் அதன் அங்கீகாரம் அடையாள தயாரிப்பின் அங்கீகாரத்திலிருந்து வேறுபட்டது என்று கூறுகிறது. சரிபார்ப்புப் பட்டியலின் புல்லட் புள்ளிகளுக்கு இடையில் மறைந்திருக்கும் மற்றொரு உள்நுழைவு. வெளிப்படுத்தப்பட்ட நிர்வாகக் கருவிகள், அடையாள சேவைக்குள் குறியீட்டை இயக்க அனுமதித்தன. ஆராய்ச்சியாளர்கள் பொது வடிகட்டுதல் எல்லைக்கு பின்னால் உள்ள வாடிக்கையாளர் பதிவுகளை அணுகினர். ஒரு எல்லை வடிகட்டி அந்த எல்லையைக் கடக்கும் போக்குவரத்தை சரிபார்க்கிறது.

2:06 சேவைக்குள் ஏற்கனவே உள்ள ஒரு செயல்முறை தரவுகளுடன் ஒரு வேறுபட்ட உறவைக் கொண்டுள்ளது. இது அமெரிக்க கணக்கில் உள்ள பன்முக சிக்கலை விளக்குகிறது. அடையாளப் பதிவுகள், மின்னஞ்சல் சரிபார்ப்புக் குறியீட்டிற்கான உள்நுழைவு தகவல் மற்றும் இலக்கை வழங்கின. அந்தப் பதிவுகளின் நிர்வாகக் கட்டுப்பாடு, ஆராய்ச்சியாளர்களை உள்நுழைவை முடிக்க அனுமதித்தது. வாடிக்கையாளரின் மேல்நிலை வரையறை ஏற்கனவே மாறிவிட்டது. ஷா, ஒரு தனி ஆஸ்திரேலிய அங்கீகார தவறான அமைப்பை விவரிக்கிறார், அது அவரது சங்கிலியை கூடுதல் காரணியைத் தவிர்க்க அனுமதித்தது.

2:31 பன்முக அங்கீகாரத்தை எல்லா இடங்களிலும் செயலிழந்தது என்று அழைப்பது, டெவலப்பர்களுக்குத் தேவையான அமைப்பு விவரங்களை அழித்துவிடும். உங்கள் கூடுதல் காரணியை வைத்திருங்கள். அதன் உரிமையாளரை நம்பகமானதாகவும் வரையறுக்கும் அமைப்பையும் வைத்திருங்கள். சான்றுகள் வெவ்வேறு வேலைகளைக் கொண்டுள்ளன.

ஒரு அமர்வு எப்போது பயன்பாட்டு அதிகாரமாகிறது?

2:43 நிர்வாகி அணுகல் அடையாளப் பதிவுகளைக் கட்டுப்படுத்துகிறது. ஒரு வாடிக்கையாளர் அமர்வு ஒரு நிறைவுற்ற உள்நுழைவைக் குறிக்கிறது. மொபைல் பயன்பாடு அதன் சேவைகளால் ஏற்றுக்கொள்ளப்பட்ட டோக்கன்களைப் பெறுகிறது. அவை அனைத்தையும் ஒரு மந்திர டோக்கன் என்று அழைப்பது, உரிமையாளருக்கு இணையான அணுகலை சாத்தியமாக்கிய எல்லைகளை இழக்கச் செய்கிறது. கறி, பல பிராந்தியங்களில் இரண்டு பெயரிடப்படாத கார் தயாரிப்பாளர்களின் அடையாள அடைவுகளை விவரிக்கிறார். அவர் முழுமையான வாகன சோதனையை அமெரிக்க கணக்குகள் மற்றும் வாகனங்களுக்கு மட்டுமே கட்டுப்படுத்துகிறார். ஷா, இரண்டு ஆஸ்திரேலிய பிராண்டுகளில் ஒரு கார் தயாரிப்பாளரை விவரிக்கிறார்,

3:09 பின்னர் பரந்த ஒருங்கிணைந்த வரம்பைக் கோருகிறார். அந்த வெவ்வேறு வரம்புகள் நிறுவனங்களை அடையாளம் காண நமக்கு எந்த அடிப்படையும் கொடுக்கவில்லை. ஹேக்கர் நியூஸ், தொலைபேசி திறத்தல் இருக்க வேண்டுமா என்று விவாதிக்கிறது. ஒரு பதில், மறக்கப்பட்ட பூட்டை சரிபார்ப்பது மற்றும் காரை குளிர்ப்பது அல்லது சூடேற்றுவதைக் குறிப்பிடுகிறது. மக்கள் பயனுள்ள அம்சங்களை விரும்புகிறார்கள். வாடிக்கையாளர்களுக்கு வசதி வழங்குவது சேவைக்கு ஒரு விலையுயர்ந்த வேலையையும் தருகிறது. அது அதன் அதிகாரத்தை சம்பாதிக்க வேண்டும்.

சரிசெய்தல் உண்மையில் எதை உள்ளடக்கியது?

3:29 இரண்டு கார் தயாரிப்பாளர்களும் அதைப் பெற்ற இரண்டு மணி நேரத்திற்குப் பிறகு பாதிக்கப்பட்டுள்ள பாதிப்பை சரிசெய்ததாகவும், பாதிக்கப்பட்ட சான்றுகளை சுழற்றியதாகவும் கறி அறிவிக்கிறார். அது அமெரிக்க இணைப்பியின் காலவரிசை. ஷாவின் ஜூலை கணக்கில் பொருந்தக்கூடிய சரிசெய்தல் காலவரிசை இல்லை. அவரது கணக்கு ஆஸ்திரேலியாவின் தற்போதைய சரிசெய்தல் நிலையை குறிப்பிடாமல் விட்டுவிடுகிறது. இரண்டு மணி நேர பதிலை உலகளாவிய பழுதுபார்க்கும் காலக்கடிகாரமாக மாற்ற முடியாது. டெவலப்பர்களுக்கு, நிர்வாகப் பரப்பிலிருந்து தொடங்கவும். எது வெளிப்படுத்தப்பட்டுள்ளது மற்றும் எந்த அங்கீகார அமைப்பு அதை பாதுகாக்கிறது என்பதைப் பட்டியலிடுங்கள்.

3:55 பயன்படுத்தப்படாத மேம்பாட்டுக் கருவிகளை அகற்றவும். நீங்கள் வைத்திருக்கும் கருவிகளை பாதுகாக்கவும். அணுகல் குறித்த இறுதி வார்த்தையாக ஒரு முனை விதியை கருதுவதற்கு முன், ஒவ்வொரு அடுக்கின் கோரிக்கை விளக்கத்தையும் மறுபரிசீலனை செய்யவும். ஷா, ஆஸ்திரேலிய சங்கிலி இறுதியாக நள்ளிரவில் வேலை செய்தது, அதை சோதிக்க அனுமதிக்கப்பட்ட ஒரு காரை திறந்தது என்று கூறுகிறார். திருப்திகரமான முடிவைக் கொண்ட அடையாள குழாய்த்திட்டங்கள். ஒரு கட்டுரை மற்ற முனையை சரிபார்த்து அதன் முடிவை ஈட்டுகிறது.

4:14 பின்நிலை நம்பிக்கை உரையாடலின் பாதி மட்டுமே. கறியின் அமெரிக்க கணக்கு, திறன்கள் வாகன மாதிரி, சந்தா மற்றும் செயலில் உள்ள இணைக்கப்பட்ட சேவைகளைப் பொறுத்தது என்று கூறுகிறது. ஆதரிக்கப்படும் கட்டளைகளில் கதவு திறப்பு மற்றும் தொலைதூர எஞ்சின் தொடக்கம் ஆகியவை அடங்கும். எந்த கட்டுரையும் ஓட்டிச் செல்வதையோ அல்லது தடுக்கும் கருவியை செயலிழக்கச் செய்வதையோ நிறுவவில்லை. ஆதாரம் குறிப்பிட்ட பயன்பாட்டு திறன்கள் மற்றும் அனுமதிக்கப்பட்ட உடல் ரீதியான நிரூபணங்களை உள்ளடக்கியது. உங்கள் அங்கீகாரம் சார்ந்த உண்மைகளை எந்த சேவை மாற்ற முடியும் என்று கேளுங்கள். கடவுச்சொல் மீட்டமைப்புகள் மற்றும் தொடர்பு மாற்றங்கள் முக்கியம், ஏனெனில் மற்ற அமைப்புகள் அவற்றை

4:41 உண்மையாக எடுத்துக்கொள்கின்றன. ஒரு செல்லுபடியாகும் உள்நுழைவு ஒரு திருத்தி எழுதப்பட்ட அடையாளத்தை அடிப்படையாகக் கொள்ளலாம். இந்த கார் கதை உங்கள் பயன்பாட்டு கதையாக அங்கு மாறுகிறது.

கார் உண்மையில் கீழ்ப்படிந்தது என்பதை எது நிரூபித்தது?

4:48 இறுதிச் சரிபார்ப்பு காரின் அருகே நடந்தது. ஏற்றுக்கொள்ளப்பட்ட API கட்டளை மட்டும் காரின் நடத்தையைப் பற்றி எதையும் நிரூபிக்கவில்லை என்று கறி கூறுகிறார். அவர்கள் அதன் நிலையைப் புதுப்பித்து, உரிமையாளர் அருகே நின்றபோது உடல் ரீதியான முடிவை உறுதிப்படுத்தினர். ஷா வாகனத்தைத் திறந்து ஸ்டார்ட் செய்து, பின்னர் அதை நிறுத்தி மீண்டும் பூட்டினார். ஆதாரம் வண்டி நிறுத்தும் இடம் வரை சென்றது. நான் இதைச் சொல்வதை விட நீங்கள் இதை படிக்க விரும்பினால், டிஃப் ஒவ்வொரு காலையிலும் உங்கள் இன்பாக்ஸில் இலவசமாக daily diff dot dev இல் வந்து சேரும், கீழே இணைப்பு உள்ளது.

எந்த எல்லைக்கு மறுபரிசீலனை தேவை?

5:10 ஆகவே, இன்றைய தீர்ப்பு, NEEDS REVIEW. உடல்ரீதியான கட்டுப்பாடுகளுக்கு அதை நம்புவதற்கு முன், வாடிக்கையாளர் அடையாளத்திற்கான நிர்வாகப் பாதைகளை நான் தணிக்கை செய்வேன். அறிவிக்கப்பட்ட அமெரிக்க சரிசெய்தல் பாராட்டுக்குரியது. ஒவ்வொரு கீழ்நிலை சேவையும் நம்பும் உரிமையாளரை யார் மறுவரையறை செய்ய முடியும்? மற்றும் இன்றைய டிஃப் இதுதான். நான் Axrisi இலிருந்து Niko. பொறுப்புடன் ஒன்றிணைக்கவும்.

ஆதாரங்கள்

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip