ความปลอดภัยข้อมูลระบุตัวตนในรถยนต์ไร้สาย: สิทธิ์เจ้าของและการพิสูจน์ทางกายภาพ

วิดีโอนี้ครอบคลุมอะไรบ้าง

• การควบคุมการบริหารจัดการข้อมูลระบุตัวตนลูกค้าที่เชื่อถือได้สามารถส่งผลต่ออำนาจของยานพาหนะที่ได้รับอนุญาตจากบริการแอปพลิเคชันปลายทาง
• Curry จำกัดการทดสอบระบบยานพาหนะทั้งหมดเฉพาะบัญชีและยานพาหนะในสหรัฐฯ การเข้าถึงไดเรกทอรีในภูมิภาคและข้ออ้างร่วมที่กว้างกว่าของ Shah มีขอบเขตที่แตกต่างกัน
• การตอบสนองภายในประมาณสองชั่วโมงเป็นส่วนหนึ่งของไทม์ไลน์การเปิดเผยข้อมูลของเอกสารฉบับสหรัฐฯ บัญชีของออสเตรเลียไม่ได้ระบุวันที่แก้ไขที่ตรงกัน
• คำสั่งที่รองรับขึ้นอยู่กับรุ่น การสมัครสมาชิก และบริการเชื่อมต่อที่ใช้งานอยู่ ไม่ได้มีการยืนยันการขับขี่หรือการปิดใช้งานระบบป้องกันการโจรกรรม
• นักวิจัยได้อัปเดตสถานะของยานพาหนะและยืนยันผลกระทบทางกายภาพกับเจ้าของที่อยู่ข้างยานพาหนะ
• คู่มือการผลิตเวอร์ชันของ PingIDM แนะนำให้ลบหรือปกป้องเครื่องมือการพัฒนา และระบุระบบการตรวจสอบสิทธิ์คอนโซลแยกต่างหาก

บทถอดเสียงที่แปลแล้ว

แปลจากการบรรยายภาษาอังกฤษต้นฉบับ เสียงและคำบรรยายที่มีให้จะควบคุมโดย YouTube

การเข้าสู่ระบบกลายเป็นกุญแจรถได้อย่างไร?

0:00 แอปในรถของคุณจะตรวจสอบว่าคุณเป็นเจ้าของหรือไม่ นักวิจัยได้ให้เซิร์ฟเวอร์ระบุตัวตนของแอปรับรองพวกเขาแทน ในวิดีโอนี้ การเข้าสู่ระบบกลายเป็นสิทธิ์การใช้งานยานพาหนะได้อย่างไร? และอะไรพิสูจน์ว่ารถปฏิบัติตามจริง? วันนี้วันจันทร์ที่ 9 พฤศจิกายน และนี่คือ The Daily Diff การตรวจสอบขั้นสุดท้ายแยกหน้าจอที่น่าเชื่อถือออกจากรถที่ไม่ได้ล็อก บริการรถยนต์ไร้สายคือระบบออนไลน์ที่อยู่เบื้องหลังแอปพลิเคชันบนโทรศัพท์ของเจ้าของ Shubham Shah และ Sam Curry รายงานว่าการเข้าถึงข้อมูลประจำตัวผู้ดูแลระบบทำให้พวกเขา

0:25 ได้รับสิทธิ์การใช้งานแอปพลิเคชันเทียบเท่ากับเจ้าของ พวกเขาได้แสดงคำสั่งระยะไกลบนยานพาหนะที่ได้รับอนุญาต บัญชีของพวกเขาในสหรัฐอเมริการะบุว่าข้อบกพร่องได้รับการแก้ไขแล้วหลังจากการเปิดเผย

มีอะไรที่เพิ่งเผยแพร่ และอะไรที่ได้รับการแก้ไขแล้ว?

0:33 บทความทั้งสองปรากฏเมื่อวันที่ 7 พฤศจิกายน Curry ระบุวันที่เปิดเผยของเขาคือต้นปีนี้ Shah อธิบายการวิจัยในออสเตรเลียที่เริ่มต้นในเดือนกรกฎาคม นั่นเป็นไทม์ไลน์ที่แตกต่างกัน การอ่านเรื่องราวทั้งหมดเป็นการฉุกเฉินทั่วโลกจะทำให้พาดหัวข่าวมีน้ำหนักมากขึ้น กว่าหลักฐาน Shah ซื้อรถ SUV ของผู้ผลิตรถยนต์ที่ไม่ระบุชื่อคันหนึ่งในปี 2023 บริการอินเทอร์เน็ตใดที่ได้รับสัญญาณเมื่อฉันปลดล็อกรถของฉัน?

0:53 เขาและ Curry ใช้เวลาสองสัปดาห์ในการตรวจสอบระบบระบุตัวตน กุญแจรีโมทได้มีทีมงานแบ็กเอนด์แล้ว แอปจะลงชื่อเข้าใช้และโหลดโรงรถของคุณ

บริการยานพาหนะเชื่อถือข้อมูลระบุตัวตนใด?

1:01 บริการที่เชื่อมต่อจะเชื่อมโยงบัญชีนั้นกับยานพาหนะและคำสั่งที่ได้รับอนุญาต ความสัมพันธ์นั้นคือคำตอบที่เป็นประโยชน์ ใครก็ตามที่ควบคุมข้อมูลระบุตัวตนลูกค้าที่เชื่อถือได้สามารถสืบทอดความสามารถที่ตั้งใจไว้ สำหรับลูกค้า ในออสเตรเลีย เครื่องมือจัดการสาธารณะได้เปิดเผยข้อมูลลูกค้าผ่าน อินเทอร์เฟซที่ได้รับการป้องกันโดยคีย์ที่จัดส่งใน JavaScript ของเบราว์เซอร์ คำนิยามของความลับที่ทะเยอทะยาน Shah ยังพบข้อมูลประจำตัวผู้ดูแลระบบประจำตัวในชุดรวมของผู้ขาย

1:24 และรายงานว่าใช้งานได้จริงในการผลิต ขอบเขตได้บล็อกเส้นทางที่ละเอียดอ่อน แต่ชั้นซอฟต์แวร์ตีความคำขอเดียวกันต่างกัน Curry กล่าวว่าส่วนขอบถือว่าเส้นทางเป็นเนื้อหาสถิตในขณะที่ส่วนหลังเข้าถึง คอนโซลผู้ดูแลระบบ พรมเช็ดเท้าต้อนรับและประตูที่ล็อกไว้กำลังปรึกษาแผนที่ที่แตกต่างกัน

ทำไมคอนโซลการพัฒนาจึงมีความสำคัญ?

1:41 คอนโซลนั้นยังคงยอมรับข้อมูลประจำตัวผู้ดูแลระบบเริ่มต้น ตามที่ Curry กล่าว คู่มือการผลิตได้บอกผู้ปฏิบัติงานให้ลบหรือปกป้องไว้แล้ว และระบุว่าการตรวจสอบสิทธิ์ของมันแยกจากการตรวจสอบสิทธิ์ของผลิตภัณฑ์ระบุตัวตน การเข้าสู่ระบบอีกอย่างที่ซ่อนอยู่ระหว่างจุดรายการในรายการตรวจสอบ เครื่องมือบริหารที่เปิดเผยได้อนุญาตให้โค้ดทำงานภายในบริการระบุตัวตน นักวิจัยเข้าถึงบันทึกข้อมูลลูกค้าที่อยู่เบื้องหลังขอบเขตการกรองสาธารณะ ตัวกรองขอบเขตจะตรวจสอบการรับส่งข้อมูลที่ข้ามขอบเขตนั้น

2:06 กระบวนการที่อยู่ภายในบริการแล้วมีความสัมพันธ์ที่แตกต่างกันกับข้อมูล นี่อธิบายปัญหาการยืนยันตัวตนหลายปัจจัยในบัญชีสหรัฐฯ บันทึกข้อมูลประจำตัวให้ข้อมูลการเข้าสู่ระบบและปลายทางสำหรับรหัสยืนยันอีเมล การควบคุมการบริหารจัดการบันทึกเหล่านั้นทำให้นักวิจัยสามารถ ดำเนินการเข้าสู่ระบบให้เสร็จสมบูรณ์ คำจำกัดความของลูกค้าต้นทางได้เปลี่ยนไปแล้ว Shah อธิบายถึงการกำหนดค่าการตรวจสอบสิทธิ์ในออสเตรเลียที่แยกต่างหากซึ่งทำให้ ขั้นตอนของเขาสามารถข้ามปัจจัยเพิ่มเติมได้

2:31 การเรียกการตรวจสอบสิทธิ์แบบหลายปัจจัยว่าเสียทุกที่จะลบรายละเอียดการกำหนดค่าที่นักพัฒนาต้องการออกไป การกำหนดค่ารายละเอียดที่นักพัฒนาต้องการ เก็บปัจจัยเสริมของคุณไว้ รักษาความน่าเชื่อถือของระบบที่กำหนดเจ้าของด้วย ข้อมูลประจำตัวมีหน้าที่แตกต่างกัน

เมื่อใดที่เซสชันจะกลายเป็นสิทธิ์การใช้งานแอป?

2:43 การเข้าถึงของผู้ดูแลระบบควบคุมบันทึกข้อมูลประจำตัว เซสชันของลูกค้าแสดงถึงการลงชื่อเข้าใช้ที่สมบูรณ์ แอปพลิเคชันมือถือได้รับโทเค็นที่บริการของตนยอมรับ การเรียกทั้งหมดนั้นว่าโทเค็นเวทมนตร์ทำให้สูญเสียขอบเขตที่ทำให้ การเข้าถึงเทียบเท่าเจ้าของเป็นไปได้ Curry อธิบายไดเรกทอรีข้อมูลประจำตัวของผู้ผลิตรถยนต์สองรายที่ไม่ระบุชื่อในหลาย ภูมิภาค เขากำหนดขอบเขตการทดสอบยานพาหนะที่สมบูรณ์เฉพาะบัญชีและยานพาหนะในสหรัฐฯ Shah อธิบายถึงผู้ผลิตรถยนต์หนึ่งรายในสองแบรนด์ของออสเตรเลีย

3:09 จากนั้นอ้างถึงขอบเขตที่กว้างขึ้น ขอบเขตที่แตกต่างกันเหล่านี้ทำให้เราไม่มีข้อมูลในการระบุบริษัท Hacker News ถกเถียงกันว่าการปลดล็อกโทรศัพท์ควรมีอยู่หรือไม่ คำตอบหนึ่งชี้ไปที่การตรวจสอบการล็อกที่ลืมและทำความเย็นหรืออุ่นรถ ผู้คนชอบคุณสมบัติที่มีประโยชน์ การให้ความสะดวกแก่ลูกค้ายังทำให้บริการมีงานที่แพง มันต้องได้รับอำนาจของมัน

การแก้ไขครอบคลุมอะไรบ้าง?

3:29 Curry รายงานว่าผู้ผลิตรถยนต์ทั้งสองได้แก้ไขช่องโหว่ประมาณสองชั่วโมงหลังจาก ได้รับข้อมูลและหมุนเวียนข้อมูลรับรองที่ได้รับผลกระทบ นั่นคือไทม์ไลน์ของเอกสารคู่ฉบับสหรัฐฯ บัญชีของ Shah ในเดือนกรกฎาคมไม่ได้ระบุไทม์ไลน์การแก้ไขที่ตรงกัน บัญชีของเขายังไม่ได้ระบุสถานะการแก้ไขในปัจจุบันของออสเตรเลีย เราไม่สามารถเปลี่ยนการตอบสนองสองชั่วโมงให้เป็นนาฬิกาจับเวลาการซ่อมแซมทั่วโลกได้ สำหรับนักพัฒนา ให้เริ่มต้นที่พื้นผิวการดูแลระบบ รวบรวมข้อมูลว่ามีอะไรเปิดเผยอยู่บ้าง และระบบการตรวจสอบสิทธิ์ใดที่ปกป้องมัน

3:55 ลบเครื่องมือการพัฒนาที่ไม่ได้ใช้ ปกป้องเครื่องมือที่คุณยังคงไว้ ตรวจสอบการตีความคำขอของแต่ละเลเยอร์ก่อนที่จะถือว่ากฎขอบเป็นคำขาดเกี่ยวกับการเข้าถึง คำขาดเกี่ยวกับการเข้าถึง Shah กล่าวว่าขั้นตอนในออสเตรเลียในที่สุดก็ทำงานได้ประมาณเที่ยงคืน โดยเปิดรถที่พวกเขาได้รับอนุญาตให้ทดสอบ ระบบระบุตัวตนที่มีตอนจบที่น่าพอใจ บทความจะได้รับข้อสรุปโดยการตรวจสอบอีกด้านหนึ่ง

4:14 ความมั่นใจของแบ็คเอนด์เป็นเพียงครึ่งหนึ่งของการสนทนา บัญชีของ Curry ในสหรัฐฯ ระบุว่าความสามารถขึ้นอยู่กับรุ่นรถ การสมัครสมาชิก และบริการที่เชื่อมต่อที่ใช้งานอยู่ คำสั่งที่รองรับรวมถึงการปลดล็อกประตูและการสตาร์ทเครื่องยนต์ระยะไกล ไม่มีรายงานใดที่ยืนยันการขับออกไปหรือการปิดใช้งานระบบป้องกันการโจรกรรม หลักฐานครอบคลุมความสามารถของแอปพลิเคชันที่เฉพาะเจาะจงและการสาธิตทางกายภาพที่ได้รับอนุญาต ถามว่าบริการใดสามารถเปลี่ยนแปลงข้อเท็จจริงที่การอนุญาตของคุณอ้างอิงถึงได้ การรีเซ็ตรหัสผ่านและการเปลี่ยนแปลงข้อมูลติดต่อมีความสำคัญเพราะระบบอื่นนำไปใช้

4:41 เป็นความจริง การเข้าสู่ระบบที่ถูกต้องสามารถอิงตามข้อมูลระบุตัวตนที่เขียนใหม่ได้ เรื่องราวรถยนต์นี้กลายเป็นเรื่องราวแอปพลิเคชันของคุณที่นั่น

อะไรพิสูจน์ว่ารถปฏิบัติตามจริง?

4:48 การตรวจสอบขั้นสุดท้ายเกิดขึ้นข้างรถ Curry กล่าวว่าคำสั่ง API ที่ได้รับการยอมรับเพียงอย่างเดียวไม่ได้พิสูจน์อะไรเกี่ยวกับพฤติกรรมของรถ พวกเขาอัปเดตสถานะและยืนยันผลลัพธ์ทางกายภาพกับเจ้าของที่ยืนอยู่ข้างรถ เจ้าของที่ยืนอยู่ข้างรถ Shah ปลดล็อกและสตาร์ทรถ จากนั้นหยุดและล็อกอีกครั้ง หลักฐานไปถึงลานจอดรถ หากคุณต้องการอ่านมากกว่าฟังผมพูด ความแตกต่างจะส่งถึงกล่องจดหมายของคุณ ทุกเช้า ฟรีที่ thedailydiff.dev ลิงก์ด้านล่าง

ขอบเขตใดที่ต้องตรวจสอบ?

5:10 ดังนั้น คำตัดสินของวันนี้คือ NEEDS REVIEW ฉันจะตรวจสอบเส้นทางการบริหารจัดการในการเข้าถึงข้อมูลประจำตัวของลูกค้าก่อนที่จะเชื่อถือ มันในการควบคุมทางกายภาพ การแก้ไขที่รายงานในสหรัฐฯ สมควรได้รับเครดิต ใครสามารถกำหนดนิยามเจ้าของใหม่ที่ทุกบริการปลายน้ำเชื่อถือได้? และนั่นคือความแตกต่างสำหรับวันนี้ ฉันชื่อ Niko จาก Axrisi รวมอย่างรับผิดชอบ

แหล่งที่มา

1. Hacking Two Automakers: ForgeRock Path Confusion, RCE, and Remote Vehicle AccessShubham Shah and Sam Curry
2. unlocking any car from X brand in most of the worldShubham Shah
3. Remove or protect development and debug tools — PingIDM 7.2Ping Identity
4. Connected-car disclosure discussionHacker News
5. Sam Curry portrait by Magistr8; cropped/background-masked/resized without generated detail; photograph date unspecifiedWikimedia Commons
6. Portrait licence — CC0; no endorsement or current-reaction claimCreative Commons
7. Sam Curry's official About page corroborates portrait identitySam Curry
8. Jurassic Park fictional-character GIF; silent maximum two-second transformed process commentary, no actual automaker reaction or blanket reuse licenceScreenJunkies / GIPHY
9. GIF uploader's native Source link; publisher provenance is not a blanket reuse licenceScreenJunkies
10. Is This A Pigeon template; maximum two-second transformed fictional process satire, no actual automaker reaction or blanket reuse licenceImgflip